DevSecOps v pipeline

Doplníme do vašich pipeline automatické bezpečnostní kontroly, aby se zranitelný kód, závislosti nebo kontejnerové image nedostaly do produkce. Každý release bude mít seznam komponent (SBOM) a podpis, který se ověří před nasazením.

od 150 000 Kč

3 až 10 týdnů podle varianty, do 3 pipeline 150 000 Kč, 4 až 8 pipeline 280 000 Kč, 9 až 15 pipeline 400 000 Kč. Bez DPH.

Domluvit konzultaci

Co nabízíme

Kontroly zavádíme postupně. Nejprve jen hlásí, po vyladění začnou blokovat. Vývoj tak nezastavíme falešnými poplachy a nálezy z minulosti nezablokují práci ze dne na den.

Výsledkem je pipeline, která sama hlídá bezpečnost, a evidence, kterou můžete předložit auditorovi, například pro požadavky na bezpečný vývoj podle NIS2.

Aplikace neprogramujeme. Zaměřujeme se výhradně na infrastrukturu, cloud a DevOps.

Kdy služba dává smysl

NIS2, zákazníci nebo interní audit vyžadují bezpečný vývoj a dohledatelnost.
Nemáte přehled o zranitelnostech v závislostech a kontejnerových image.
Bezpečnostní tým kontroluje ručně, pozdě a jen namátkou.
Chcete mít jistotu, že do produkce jde jen to, co prošlo vaší pipeline.

Co získáte

Automatické bezpečnostní kontroly v každém buildu.
Blokace buildů s kritickými a vysokými nálezy podle vaší politiky.
SBOM a podpis pro každý release, ověření podpisu před nasazením.
Jasný proces výjimek s vlastníkem a datem expirace.
Přehled nálezů pro bezpečnostní tým a evidence pro audit.

DevSecOps implementace podrobně →

Co přesně uděláme

Přednostně používáme nástroje, které už máte. Výchozí sada je open source, takže licence nejsou podmínkou.

Statická analýza kódu (SAST): Například Semgrep nebo SonarQube, podle nástrojů, které už máte.
Kontrola závislostí a licencí (SCA): Známé zranitelnosti v knihovnách a problematické licence.
Skenování image a infrastruktury jako kódu: Trivy a Checkov pro kontejnery a Terraform.
Tajemství v kódu: Gitleaks v pipeline a doporučení pro kontrolu před commitem.
SBOM: Seznam komponent ve formátu CycloneDX nebo SPDX pro každý artefakt.
Podpis artefaktů: Cosign a ověření podpisu při nasazení (v Kubernetes pomocí Kyverno), aby nešlo nasadit nepodepsaný image.
Politika a gate: Co blokuje, prahy podle závažnosti, proces výjimek s expirací.
Přehled nálezů: Centrální přehled pro bezpečnost podle vašich nástrojů, například GitHub Advanced Security nebo DefectDojo.

Varianty a rozsah

Cena závisí na počtu pipeline:

Varianta	Rozsah	Cena	Délka
S	do 3 pipeline	150 000 Kč	3 až 4 týdny
M	4 až 8 pipeline	280 000 Kč	5 až 6 týdnů
L	9 až 15 pipeline	400 000 Kč	8 až 10 týdnů
Nad 15	každá další pipeline	+25 000 Kč	podle rozsahu

Kdo na projektu pracuje

Na projektu pracují tři lidé. Rozsah ve dnech platí pro variantu M.

Senior, vedoucí projektu
8 dnů

Za co odpovídá
Návrh bezpečnostní politiky pipeline, schválení s vaší bezpečností, kontrola blokovacích pravidel a výjimek, report pro bezpečnost, workshop.

Co od ní dostanete
Hlavní kontakt, politika, report
Middle
10 dnů

Za co odpovídá
Integrace kontrol do šablon pipeline, SBOM, podpisy, ověření podpisu při nasazení, blokovací gate.

Co od ní dostanete
Funkční kontroly a gate
Junior
12 dnů

Za co odpovídá
Nastavení kontrol v jednotlivých pipeline, sběr výchozích nálezů, ladění falešných poplachů, dokumentace.

Co od ní dostanete
Nastavené pipeline, dokumentace

Úkoly přidělujeme podle složitosti: rutinní práci podle šablon dělají junioři, složitější části middle, návrh, kontrolu kvality a rozhodnutí o rizicích senior. Nemusíte řešit, komu co zadat. Rozsah ve dnech je orientační a slouží k vysvětlení ceny. Cena je pevná a nezávisí na skutečně odpracovaných dnech.

Jak projekt probíhá

Projekt má čtyři fáze, harmonogram platí pro variantu M (4 až 8 pipeline). Klíčový je přechod z režimu hlášení do režimu blokace, který děláme až po vyladění.

Týden 1: analýza a bezpečnostní politika
Cíl: Dohodnout se, co se kontroluje a co blokuje.
- Inventura pipeline, jazyků a nástrojů, které už máte.
- Výběr nástrojů pro každý typ kontroly.
- Návrh politiky: prahy, co blokuje, proces výjimek, vlastníci.
- Schválení politiky vaší bezpečností.
Výstup: Schválená bezpečnostní politika pipeline. Kdo: senior, inventura junior
Týdny 2 a 3: zavedení v režimu hlášení
Cíl: Spustit kontroly ve všech pipeline, zatím bez blokace.
- Integrace kontrol do šablon a jednotlivých pipeline.
- Napojení na přehled nálezů.
- Výchozí stav (baseline): kolik nálezů existuje dnes.
Výstup: Všechny pipeline spouštějí kontroly, baseline nálezů. Kdo: middle šablony, junior pipeline
Týden 4: ladění, SBOM a podpisy
Cíl: Odstranit falešné poplachy a doplnit dohledatelnost.
- Ladění pravidel a falešných poplachů.
- Triáž existujících nálezů s vývojáři: vysvětlíme, co znamenají a jak je opravit (opravy dělá váš vývoj).
- SBOM a podpis každého artefaktu.
Výstup: Vyladěné kontroly, SBOM a podpisy. Kdo: junior ladění, middle SBOM a podpisy, senior triáž
Týdny 5 a 6: blokace a předání
Cíl: Zapnout blokaci a předat vašemu týmu.
- Přepnutí na blokaci: nové kritické a vysoké nálezy zastaví build, staré nálezy z baseline mají plán řešení.
- Ověření podpisu před nasazením.
- Report pro bezpečnost a evidence pro audit.
- Dokumentace a workshop pro vývojáře a bezpečnost.
Výstup: Pipeline s blokací, report, evidence, proškolený tým. Kdo: middle blokace, senior report a workshop

Jak spolupráce funguje

Hlavní kontakt: Vedoucí projektu (senior). Odpovídá za výsledek, termíny, rizika a rozhodnutí. V každodenní práci se můžete obracet přímo na kohokoli z týmu.
Komunikace: Sdílený kanál ve Slacku nebo Teams a ticketovací systém podle vaší volby. Každý dotaz a změna mají stopu.
Úvodní schůzka: Na začátku potvrdíme rozsah, přístupy, kontakty a termíny klíčových milníků.
Týdenní stav: Krátký sync na 15 až 30 minut: co je hotovo, co nás čeká, co potřebujeme od vás a jaká vidíme rizika.
Závěrečný readout: Výsledky představíme vašemu týmu a vedení a projdeme další kroky.
Eskalace: Junior → middle → vedoucí projektu. Pokud hrozí posun termínu nebo zásadní riziko, ozve se vám vedoucí projektu ještě týž den.
Pracovní doba: Pracovní dny 8:00 až 17:00 středoevropského času. Změny v produkci provádíme v okně, které si vyberete, a vždy přes váš change management.

Co potřebujeme od vás

Termíny platí, pokud máme k dispozici následující. Pokud se něco zdrží, posune se harmonogram o stejnou dobu a dáme vám vědět hned.

Přístup do repozitářů a CI platformy (změny přes pull requesty, které schvalujete vy).
Kontakt v bezpečnosti, který schválí politiku a výjimky.
Vývojáře z každého týmu na triáž nálezů (zhruba 1 hodina na tým).
Rozhodnutí o nástrojích a případných licencích.
Přístup do clusteru pro ověření podpisů, pokud nasazujete do Kubernetes.

Přístupy a bezpečnost

Každý člen týmu má vlastní pojmenovaný účet. Sdílené účty nepoužíváme.
Žádáme jen oprávnění, která daná fáze potřebuje. Kde stačí čtení, pracujeme pouze s přístupem pro čtení.
Data z vašeho prostředí nevynášíme. V dokumentech uvádíme jen souhrny potřebné pro výsledek.
Po skončení projektu nám přístupy odeberete, nebo je na vaši žádost odebereme sami a potvrdíme to.
Na přání podepíšeme NDA ještě před úvodní schůzkou.

Co je součástí a co ne

Součástí ceny

SAST, SCA, skenování image a IaC, tajemství v kódu
SBOM a podpis artefaktů, ověření podpisu před nasazením
Bezpečnostní politika pipeline a proces výjimek
Přehled nálezů, report pro bezpečnost, evidence pro audit
Dokumentace a workshop

Není součástí, naceníme zvlášť nebo řešíte vy

Opravy zranitelností v kódu aplikací (dělá váš vývoj, pomůžeme s výkladem)
Dynamické testy běžící aplikace (DAST) a penetrační testy
Licence komerčních nástrojů
ISMS a bezpečnostní dokumentace mimo pipeline

Pokud v průběhu zjistíme, že skutečnost je jiná, než jsme předpokládali, upozorníme vás dřív, než začneme pracovat mimo rozsah. Pošleme krátký odhad dopadu na cenu a termín a pokračujeme až po vašem souhlasu.

Výstupy a akceptace

Výstup	Co obsahuje	Forma
Pipeline s kontrolami	Všechny pipeline v rozsahu s kontrolami a blokací	Ve vašem repozitáři
Bezpečnostní politika	Prahy, blokace, výjimky, vlastníci	Dokument
SBOM a podpisy	Pro každý release	Automaticky v pipeline
Report pro bezpečnost	Baseline, aktuální stav, trend	PDF a přehled nálezů
Evidence pro audit	Doklad o kontrolách v procesu vývoje	Dokument
Workshop	Pro vývojáře a bezpečnost	Schůzka se záznamem

Projekt je hotový, když:

Všechny pipeline v rozsahu spouštějí dohodnuté kontroly.
Testovací build s kritickou zranitelností je zablokován.
Každý release má SBOM a podpis.
Nepodepsaný image nejde nasadit (pokud nasazujete do Kubernetes).
Bezpečnost má přístup k přehledu nálezů.

Výstupy předáme a projdeme s vámi. Připomínky zapracujeme v jednom kole do 5 pracovních dnů od jejich obdržení.

Rizika a jak je řešíme

Riziko	Jak ho řešíme
Na začátku je velké množství nálezů	Staré nálezy zapíšeme do baseline s plánem řešení. Blokujeme jen nové kritické a vysoké.
Falešné poplachy brzdí vývoj	Kontroly nejprve jen hlásí. Blokaci zapneme až po vyladění.
Kontroly zpomalí build	Paralelní běh, cache a rozdělení na rychlé kontroly v každém buildu a důkladné noční kontroly.
Různé jazyky a technologie	Nástroje vybereme v první fázi podle vašich jazyků.

Cena a podmínky

od 150 000 Kč bez DPH za variantu S (do 3 pipeline). M 280 000 Kč, L 400 000 Kč, nad 15 pipeline +25 000 Kč za každou.

Délka podle varianty: 3 až 10 týdnů.
Ceny jsou bez DPH, fakturace v CZK nebo EUR.
Práce nad rámec rozsahu: samostatná cenová nabídka, vždy předem.

Na co můžete navázat

Další kroky

1Krátký call na 30 minut: projdeme vaše prostředí a ověříme, že služba odpovídá tomu, co potřebujete.
2Potvrdíme rozsah, termín zahájení a kontaktní osoby.
3Pošleme smlouvu a seznam přístupů, které budeme potřebovat k zahájení.

Časté otázky

Zastaví to náš vývoj?

Ne. Kontroly zavádíme postupně a blokaci zapínáme až po vyladění. Staré nálezy nic neblokují.

Musíme kupovat licence?

Ne. Výchozí sada nástrojů je open source. Pokud už nějaký komerční nástroj máte, použijeme ho.

Opravíte i nalezené zranitelnosti?

Opravy v kódu dělá váš vývoj. My vysvětlíme, co nález znamená a jak ho opravit, a pomůžeme s prioritami.

Řekněte nám, co řešíte.

Třicet minut, zdarma. Odpovíme do jednoho pracovního dne.