Audit CI/CD

Za dva týdny projdeme vaše pipeline a celý proces od commitu po produkci. Zjistíme, co zdržuje, co je křehké a kde jsou bezpečnostní mezery.

85 000 Kč

2 týdny, až 15 repozitářů a 1 CI platforma. Bez DPH.

Domluvit konzultaci

Co nabízíme

Výsledkem je seznam nálezů seřazený podle dopadu. U každého nálezu je konkrétní doporučení a odhad pracnosti, takže ho můžete rovnou převzít do backlogu. Do vašich pipeline přitom nic neměníme.

Aplikace neprogramujeme. Zaměřujeme se výhradně na infrastrukturu, cloud a DevOps.

Kdy služba dává smysl

Release trvá dlouho nebo často selhává a nevíte přesně proč.
Každý tým má pipeline postavenou jinak.
Připravujete se na audit nebo NIS2 a nevíte, jak jste na tom s bezpečností dodavatelského řetězce.
Před investicí do přestavby CI/CD chcete vědět, kde začít.

Co získáte

Nezávislý pohled na vaše CI/CD.
Seznam nálezů s prioritami, doporučením a pracností.
Rychlé kroky, které přinesou výsledek do několika dnů.
Základní metriky dodávky (frekvence nasazení, doba od commitu do produkce, podíl neúspěšných nasazení), pokud jsou data k dispozici.
Popis cílového stavu, ke kterému se chcete dostat.

Co přesně uděláme

Pipeline hodnotíme v osmi oblastech:

Architektura a znovupoužitelnost: Šablony, duplicity, konzistence mezi týmy.
Build a reprodukovatelnost: Verze nástrojů, cache, doba buildu, deterministické výsledky.
Testy a quality gates: Co se spouští, kdy a co build zastaví.
Artefakty a verzování: Registr, tagy, neměnnost artefaktů, dohledatelnost verze v produkci.
Nasazení a prostředí: Strategie nasazení, schvalování, návrat na předchozí verzi, rozdíly mezi prostředími.
Tajemství a přístupy: Statické klíče oproti federaci přes OIDC, oprávnění runnerů a pipeline.
Bezpečnost dodavatelského řetězce: Skenování, SBOM, podpisy, ochrana větví, kontrola závislostí.
Rychlost a spolehlivost: Metriky dodávky, nestabilní testy, fronty runnerů.

Kdo na projektu pracuje

Na auditu pracují tři lidé. Vedoucím je senior.

Senior, vedoucí projektu
2,5 dne

Za co odpovídá
Vede rozhovory, kontroluje nálezy, určuje priority a doporučení, prezentuje výsledky.

Co od ní dostanete
Hlavní kontakt, priority, readout
Middle
2,5 dne

Za co odpovídá
Analýza pipeline podle kontrolního seznamu, ověření nálezů, odhad pracnosti.

Co od ní dostanete
Ověřené nálezy, odhady
Junior
3 dny

Za co odpovídá
Inventura repozitářů a pipeline, sběr dat z historie běhů, příprava tabulky nálezů.

Co od ní dostanete
Inventura, data, tabulka nálezů

Úkoly přidělujeme podle složitosti: rutinní práci podle šablon dělají junioři, složitější části middle, návrh, kontrolu kvality a rozhodnutí o rizicích senior. Nemusíte řešit, komu co zadat. Rozsah ve dnech je orientační a slouží k vysvětlení ceny. Cena je pevná a nezávisí na skutečně odpracovaných dnech.

Jak projekt probíhá

Audit má čtyři fáze a trvá 10 pracovních dnů od zpřístupnění repozitářů.

Dny 1 a 2: úvodní schůzka a inventura
Cíl: Získat přístupy a přehled o všem, co budeme hodnotit.
- Úvodní schůzka: cíle, repozitáře v rozsahu, známé problémy.
- Přístup pouze pro čtení do repozitářů a CI platformy.
- Inventura pipeline, runnerů, cílů nasazení a použití tajemství (jen metadata, hodnoty nečteme).
- Rozhovory se 2 až 3 lidmi (vývoj, provoz, bezpečnost).
Výstup: Inventura a potvrzený rozsah. Kdo: junior inventura, senior rozhovory
Dny 3 až 6: analýza
Cíl: Projít pipeline v osmi oblastech a ověřit nálezy.
- Kontrola pipeline podle našeho kontrolního seznamu.
- Analýza historie běhů: doba, úspěšnost, nestabilní kroky.
- Ověření nálezů na konkrétních příkladech.
Výstup: Ověřené nálezy. Kdo: middle analýza, junior data
Dny 7 až 9: priority a doporučení
Cíl: Převést nálezy do plánu.
- Priorita každého nálezu (kritický, vysoký, střední, nízký).
- Doporučení a odhad pracnosti.
- Rychlé kroky a popis cílového stavu.
Výstup: Report a tabulka nálezů. Kdo: senior, odhady middle
Den 10: readout
Cíl: Předat výsledky a domluvit další postup.
- Prezentace výsledků vašemu týmu na 60 minut.
- Předání reportu a tabulky nálezů.
Výstup: Předaný report. Kdo: senior

Jak spolupráce funguje

Hlavní kontakt: Vedoucí projektu (senior). Odpovídá za výsledek, termíny, rizika a rozhodnutí. V každodenní práci se můžete obracet přímo na kohokoli z týmu.
Komunikace: Sdílený kanál ve Slacku nebo Teams a ticketovací systém podle vaší volby. Každý dotaz a změna mají stopu.
Úvodní schůzka: Na začátku potvrdíme rozsah, přístupy, kontakty a termíny klíčových milníků.
Týdenní stav: Krátký sync na 15 až 30 minut: co je hotovo, co nás čeká, co potřebujeme od vás a jaká vidíme rizika.
Závěrečný readout: Výsledky představíme vašemu týmu a vedení a projdeme další kroky.
Eskalace: Junior → middle → vedoucí projektu. Pokud hrozí posun termínu nebo zásadní riziko, ozve se vám vedoucí projektu ještě týž den.
Pracovní doba: Pracovní dny 8:00 až 17:00 středoevropského času. Změny v produkci provádíme v okně, které si vyberete, a vždy přes váš change management.

Co potřebujeme od vás

Termíny platí, pokud máme k dispozici následující. Pokud se něco zdrží, posune se harmonogram o stejnou dobu a dáme vám vědět hned.

Přístup pouze pro čtení do repozitářů a CI platformy, včetně nastavení a historie běhů.
Seznam repozitářů v rozsahu (až 15).
2 až 3 lidi na rozhovory po 45 minutách.
Popis procesu releasu, pokud existuje.

Přístupy a bezpečnost

Každý člen týmu má vlastní pojmenovaný účet. Sdílené účty nepoužíváme.
Žádáme jen oprávnění, která daná fáze potřebuje. Kde stačí čtení, pracujeme pouze s přístupem pro čtení.
Data z vašeho prostředí nevynášíme. V dokumentech uvádíme jen souhrny potřebné pro výsledek.
Po skončení projektu nám přístupy odeberete, nebo je na vaši žádost odebereme sami a potvrdíme to.
Na přání podepíšeme NDA ještě před úvodní schůzkou.

Co je součástí a co ne

Součástí ceny

Až 15 repozitářů a jedna CI platforma
Hodnocení v osmi oblastech
Report, tabulka nálezů, metriky dodávky (pokud jsou data)
Readout

Není součástí, naceníme zvlášť nebo řešíte vy

Oprava nálezů (lze navázat službou CI/CD implementace nebo DevSecOps v pipeline)
Audit kódu aplikací a penetrační testy
Hodnocení infrastruktury mimo pipeline

Pokud v průběhu zjistíme, že skutečnost je jiná, než jsme předpokládali, upozorníme vás dřív, než začneme pracovat mimo rozsah. Pošleme krátký odhad dopadu na cenu a termín a pokračujeme až po vašem souhlasu.

Výstupy a akceptace

Výstup	Co obsahuje	Forma
Report	Hodnocení osmi oblastí, nálezy, doporučení, cílový stav	PDF a Word
Tabulka nálezů	Priorita, popis, doporučení, pracnost	Excel připravený k importu do backlogu
Metriky dodávky	Frekvence nasazení, doba do produkce, podíl selhání	Součást reportu
Readout	Prezentace výsledků	Schůzka a PDF

Projekt je hotový, když:

Předali jsme report a tabulku nálezů.
Proběhl readout.
Zapracovali jsme vaše připomínky z jednoho kola.

Výstupy předáme a projdeme s vámi. Připomínky zapracujeme v jednom kole do 5 pracovních dnů od jejich obdržení.

Rizika a jak je řešíme

Riziko	Jak ho řešíme
Historie běhů není dostupná	Metriky odhadneme z rozhovorů a označíme je jako odhad.
Repozitářů je víc než 15	Doplatek zhruba 25 000 Kč za každých dalších 10 repozitářů nebo další CI platformu, potvrdíte předem.
Obavy z přístupu k tajemstvím	Hodnoty tajemství nečteme, kontrolujeme jen způsob jejich použití.

Cena a podmínky

85 000 Kč bez DPH, pevná cena (až 15 repozitářů a jedna CI platforma).

Délka: 2 týdny.
Ceny jsou bez DPH, fakturace v CZK nebo EUR.
Práce nad rámec rozsahu: samostatná cenová nabídka, vždy předem.

Na co můžete navázat

Další kroky

1Krátký call na 30 minut: projdeme vaše prostředí a ověříme, že služba odpovídá tomu, co potřebujete.
2Potvrdíme rozsah, termín zahájení a kontaktní osoby.
3Pošleme smlouvu a seznam přístupů, které budeme potřebovat k zahájení.

Časté otázky

Uvidíte naše tajemství?

Ne. Kontrolujeme, jak a kde se tajemství používají, ne jejich hodnoty.

Můžeme výsledky použít pro audit?

Ano, report slouží i jako podklad pro auditora.

Musíme pak opravy objednat u vás?

Ne. Doporučení jsou popsaná tak, aby je zvládl váš tým.

Řekněte nám, co řešíte.

Třicet minut, zdarma. Odpovíme do jednoho pracovního dne.