13 октября 2026
8 октября Digital Design совместно с Positive Technologies провела вебинар о том, как организовать проверки безопасности приложений и встроить их в повседневную работу разработчиков. Эксперты рассмотрели возможности инструментов анализа кода и практический опыт их интеграции в процессы разработки безопасного программного обеспечения.
Спикерами выступили Андрей Миняев, руководитель Центра информационной безопасности Digital Design, и Евгений Никулин, пресейл-инженер Positive Technologies. Одна из основных проблем, которой был посвящен вебинар, — разрозненность инструментов безопасности. Когда анализаторы работают отдельно, а результаты проверок хранятся в разных местах, специалистам сложнее оценивать состояние приложения и определять, какие уязвимости требуют внимания. Дополнительные трудности возникают, если проверки запускаются нерегулярно или задерживают выпуск новых версий ПО.
Эксперты рассмотрели, как объединить проверки безопасности в единый процесс с помощью трех компонентов. PT Application Inspector отвечает за анализ безопасности приложений, AppSec Pipeline встраивает проверки в CI/CD — процессы непрерывной интеграции и поставки ПО, а ASOC собирает результаты разных анализаторов и обеспечивает централизованную работу с выявленными уязвимостями. На основе собранных в ASOC данных работает security gate — проверка, которая по заданным правилам разрешает или блокирует дальнейшую поставку ПО.
Евгений Никулин рассказал о подходе Shift Left — поиске уязвимостей на ранних этапах разработки — и представил возможности PT Application Inspector: статический анализ исходного кода, анализ сторонних компонентов и поиск секретов, например паролей и токенов, случайно оставленных в коде.
Практическая часть была посвящена опыту интеграции решения в уже работающий контур безопасной разработки. Андрей Миняев рассказал, как команда дополнила существующие инструменты промышленным статическим анализатором, сохранив общий подход к управлению проверками. AppSec Pipeline продолжил отвечать за их запуск, а ASOC осталась единой системой для сбора результатов и работы с уязвимостями. Настройки проверок остались в Git, что позволило сохранить привычный порядок управления ими.
В завершение вебинара участники активно задавали вопросы о практических деталях внедрения. Их интересовало, сколько времени заняла интеграция SAST в существующий пайплайн, что происходит при одновременном запуске нескольких сканирований одного репозитория и как обеспечить соответствие результатов конкретному сканированию. Обсуждение показало интерес аудитории к конкретным задачам, с которыми команды сталкиваются при внедрении проверок безопасности в процессы разработки.