(Не)безопасность Open Source пакетов: о доверии, культуре и инструментах DevSecOps

Про (не)безопасность Open Source не говорит сегодня только ленивый. Для митигации подобных рисков существует целый класс решений OSA/SCA (Open Source Analysis / Software Composition Analysis). Мы поговорили с экспертом по аудиту исходных кодов и создателем российской системы SCA CodeScoring, Алексеем Смирновым, о проблемах Open Source, культуре разработки и тенденциях на рынке DevSecOps. Также мы разобрали как SCA встраивается в жизненный цикл разработки программного обеспечения (SDLC) и почему проверки Open Source только на входе недостаточно, а проверка с применением только SAST-инструментов не всегда эффективна.