La policy di sicurezza, come codice.
Scrivi una volta il tuo livello di sicurezza e ogni scansione, team e pipeline lo rispetta.
policy.yamlOrganizzazioneApplicata
- BloccaFinding SAST critici
- BloccaSQL injection su un branch protetto
- AvvisaCVSS 7.0 e oltre
- EsclusoReport legacy, rischio accettato
Scritta una volta. Applicata a ogni merge.
policy.yamlvalutato a ogni scansione
name: Block Critical Vulnerabilitiesscope: ORGANIZATIONpriority: 50enabled: truerules: - name: Block Critical SAST Findings action: block criteria: - scanner_type eq SAST - severity eq CRITICALImposta le regole una volta, ereditate ovunque.
La baseline della tua organizzazione arriva a ogni team e progetto. Un progetto può irrigidirla, mai allentarla.
AcmeOrganizzazione
Block Critical Vulnerabilitiesseverity eq CRITICAL → block- PaymentsTeamereditata
payments-apiereditatacheckout-webereditata+ severity eq HIGH → blockpiù severa, mai più blanda
- PlatformTeamereditata
infraereditatadocs-siteereditata
Inizia da un repository.
Collega GitHub, GitLab, Bitbucket o Azure DevOps, scegli un repository e la prima scansione parte.
Nel dettaglio
Cosa può dire una regola
Scrivi la regola. Blocca il merge. Registra l'eccezione.
10 tipi di regole, 8 operatori, logica AND / OR. Da una semplice soglia CVSS a una specifica CWE su un branch protetto.
policy.yamlOrganizzazioneApplicata
- BloccaFinding SAST criticiscanner_type eq SASTAND severity eq CRITICAL
- BloccaSQL injection su un branch protettoCWE-89AND main
- AvvisaCVSS 7.0 e oltreCVSS 4.0
- EsclusoReport legacy, rischio accettatolegacy/reports/**2026-12-31
10 tipi di regole, 8 operatori, logica AND / OR. Da una semplice soglia CVSS a una specifica CWE su un branch protetto.
Gestione delle policy, in breve
Che cos'è la policy di sicurezza come codice?
I tuoi requisiti di sicurezza vivono come YAML versionato accanto al codice. CybeDefend valuta la policy corrente su ogni scansione tra SAST, SCA, secrets, container, IaC e CI/CD, così le regole viaggiano insieme al repo.
Qual è la differenza tra blocco e avviso?
Il blocco ferma la pipeline e registra la violazione. L'avviso la registra e lascia proseguire la pipeline: è il modo sicuro per introdurre una nuova regola prima di applicarla.
Come funziona la gerarchia tra organizzazione, team e progetto?
Le policy scendono a cascata dall'alto. L'organizzazione definisce una baseline che team e progetti ereditano e possono solo rendere più severa, così un obbligo aziendale non viene mai scavalcato in silenzio.
La valutazione delle policy rallenta la mia pipeline?
No. Le policy vengono valutate in modo asincrono con un timeout configurabile, così scansioni e deployment non aspettano mai il gate.
Posso creare un'eccezione per un file o per un rischio accettato?
Sì. Ogni policy supporta esclusioni mirate con pattern glob e date di scadenza opzionali, e puoi contrassegnare una rilevazione come rischio accettato con una motivazione. Entrambe lasciano una traccia di audit.