Безопасный GitLab CI: риски, компромиссы и правила гигиены

Secure by design. Безопасность, DevSecOps

Непрерывная интеграция

Автоматизация разработки, доставки, эксплуатации

Безопасность

Программный комитет ещё не принял решения по этому докладу

Целевая аудитория

Мы собрали pipeline в GitLab CI — но сделали ли мы это безопасно? В докладе разберём ключевые риски, возникающие в процессе CI, обсудим практические способы их минимизации и неизбежные trade-off’ы. В финале сформируем чек-лист гигиены CI/CD, который поможет значительно повысить безопасность ваших pipeline без сложных дополнительных инструментов.

Тезисы

Мы собрали pipeline в GitLab CI, но точно ли мы это сделали безопасно? Разберем основные появившиеся риски, пути их митигации, на какие trade-off нам придется пойти и составим чек лист правил гигиены в CI/CD.

Александр Лысенко

К2 Кибербезопасность

В IT более десяти лет. Опыт работы в разных ролях: Team/Tech lead, DevSecOps, AppSec, InfraSec, DevOps, разработчик, системный администратор. Основной акцент на безопасность приложений и сервисов. Есть опыт запуска проектов на различных стеках технологий (GO, Rust, C# и другие), перевода инфраструктуры на контейнеризированную среду (Kubernetes), реализации систем безопасности как приложений, так и инфраструктуры, организации безопасности MlOps. Сильный упор на автоматизацию и масштабирование IT, ИБ и бизнес-процессов.
Также есть опыт публикаций (Habr, Online meetup) и выступлений на профильных конференциях (CISO Forum, K2 SecDay, Росатом Информационная Безопасность и другие).

Видео

Другие доклады секции

Secure by design. Безопасность, DevSecOps

Один за всех и все за одного: зачем и для кого мы строим в Ozon институт бизнес-партнёров по информационной безопасности

Глеб Поварницын

Озон

Secure-by-design: сценарий реализации архитектуры безопасности для крупного бизнеса

Сергиенко Эдуард Анатольевич

ПАО Вымпелком

Smart Zero Trust in k8s

Александр Копылов

Независимый исследователь

Mos.Hub - Экосистема инструментов для полного цикла безопасной разработки и эксплуатации ПО

Илья Мочалов

Департамент Информационных технологий г. Москвы

Secure SDLC замес в 2026

Даниил Слюсарь

Positive Technologies

Воркшоп: Безопасная разработка своими руками

Лев Николаев

Техническая академия Росатома

Web API: поверхностное натяжение. Или почему безопасность API ломается именно там, где вы ее не видите

Михаил Черкашин

Innostage

Идеальная поставка контейнеров глазами Регулятора

Андрей Слепых

ООО «НТЦ Фобос-НТ»

Строим пайплайн безопасной разработки без регистрации и SMS

Лев Николаев

Техническая академия Росатома

Атаки на ИИ-агентов: старые уязвимости в новом контексте

Денис Макрушин

Яндекс

Безопасность веб-приложения во внешнем и внутреннем контуре

Александр Подгорный

МТС Web Services (MWS)

Non-Human Identities против вас: почему аккаунты-призраки и токены-зомби до сих пор живы

Анна Лучник

Независимый консультант

Посылаем секреты на три-четыре буквы: MPC, TSS, FSSS

Сергей Прилуцкий

MixBytes

Чудеса Teleport-ации. Личная история нюансов эксплуатации Open-Source PAM

Лев Хакимов

MWS Cloud Platform

Автоматизация концепции shift left в devsecops

Игорь Бирюков

InfEra Security

Как защитить раннеры и не сломать пайплайны в gitlab

Дмитрий Стеганцев

Wildberries & Russ

Бенчмаркинг eBPF агентов мониторинга безопасности

Андрей Федотов

Т-Банк

Как приручить доступы от портала заявок к автоматизации - строим быстрый и понятный self-service

Дарья Ильменская

Latech

За гранью безопасности: как защитить секреты от дампа памяти

Киселёв Максим Николаевич

АО «Флант»