Eén lijst met wat te fixen. Voordat de release uitgaat.
Scanners, pipelines en pentests voeden één register per applicatie. Rangschik fixes op wat echt wordt uitgebuit, laat releasegates werken op regels die je hebt vastgelegd en bewaar per release een SBOM voor het CRA-dossier.
Wat dit vervangt
- Zes scanners, zes dashboards en geen enkele lijst van wat eerst gefixt moet worden.
- De releasedag komt voordat er overeenstemming is of open kritieke bevindingen hem blokkeren.
- De toezichthouder vraagt om een SBOM; de buildserver had er ergens een.
Wat er verandert
- Eén prioriteit per bevinding uit KEV en EPSS, met een uiterste fixdatum erbij.
- Een gatebeslissing noemt de regel erachter; een uitzondering heeft een einddatum.
- Een SBOM-snapshot per release, geëxporteerd voor de technische CRA-documentatie.
Wat je hier doet
- 1Registreer elke applicatie met haar kriticiteit.
Elk project heeft zijn levenscyclusfase, zijn gates en de tests die het vereist — wat een releasereview leest.
Projects - 2Haal elke scanner in één register.
Bevindingen uit SCA, SAST, secrets, containers, IaC, DAST en API landen per project, elk met zijn bron.
Findings - 3Rangschik fixes op uitbuiting, niet op CVSS alleen.
Bekend uitgebuite CVE's en EPSS bepalen de prioriteit; elke prioriteit heeft een eigen uiterste fixdatum.
Risk posture - 4Zet de release achter een gate met vastgelegde regels.
Een gate laat door of blokkeert tegen het beleid; een uitzondering noemt haar eigenaar en einddatum.
Release gates - 5Voed SBOM's rechtstreeks vanuit de pipeline.
CycloneDX of SPDX komt binnen via upload of API-sleutel; snapshots, VEX en export volgen voor het CRA-dossier.
SBOM - 6Draai de pentest naast de code die hij testte.
Scope, bevindingen en hertests staan bij het project, zodat een fix sluit op bewijs in plaats van een belofte.
Pentesting
Waar de rol ophoudt
Applicaties, bevindingen, gates en pentests beheer jij. Het risicoregister, de complianceframeworks en de gebruikersaccounts blijven bij hun eigenaren.
Werkt samen met
ARCHSecurityarchitectElk systeem, zoals het draait. Elke laag, gescoord.Teken elk systeem zoals het echt draait en lees het af tegen acht verdedigingslagen. De dunne laag, het pad met één muur en de achterstallige designreview komen boven voordat een aanvaller of een auditor ze vindt.
INTELThreat-intelligence-analistVeertig adviezen per dag. Drie raken jou.Openbare dreigingsfeeds, gelegd naast je eigen bevindingen: welke CVE's bekend misbruikt worden, welke door ransomware gebruikt worden, welke waarschijnlijk de volgende zijn. Daarna de aanvalspaden van een toegangspunt naar de systemen die het zwaarst wegen.
PENTESTPentesterBevindingen waar de fix gebeurt. Geen PDF om over te tikken.Op uitnodiging, voor één opdracht: accepteer de rules of engagement, lees de scope, leg bevindingen vast met bewijs en hertest de fixes — in de eigen werkruimte van de klant, binnen de datums en adressen die de klant toestond.
Klaar om verder te gaan
dan klassieke GRC?
14 dagen gratis proberen. Geen creditcard. Cloud of on-premises.