Beheer technische kwetsbaarheden

Kwetsbaarheden in dependencies worden automatisch gesignaleerd via Dependabot; verdere scanning van eigen code en infrastructuur is nog niet ingericht.

Wat we doen

Scope: eigen infrastructuur en ontwikkelproces

YipYip bouwt software voor klanten. Pentesten van productieomgevingen is de verantwoordelijkheid van de klant; YipYip faciliteert (toegang, testomgeving, opvolging van bevindingen). YipYip is zelf verantwoordelijk voor:

• Security testing als onderdeel van het ontwikkelproces (zie 8.29)
• Kwetsbaarhedenbeheer van de eigen infrastructuur en toolchain (GCP, GitHub, CI/CD, laptops, SaaS)

Dependency scanning

• Dependabot is actief op de GitHub-repositories en signaleert kwetsbare dependencies automatisch; dit is de enige geautomatiseerde security scanning.
• Kritieke kwetsbaarheden worden met voorrang opgepakt, als Jira-ticket in project ISMS of IMS. Voorbeelden: ISMS-318 (Axios) en IMS-41 (regreSSHion), beide afgehandeld.
• Periodieke cross-repo scan met /dep-vuln over alle GitHub-organisaties is opgenomen in het controleprogramma (C.19).

Overig

• Threat intelligence-bronnen worden gevolgd (zie 5.07).
• OS-updates op laptops installeert de medewerker zelf (zie 8.01).

Gaps

• Geen SAST-tooling in de CI-pipeline (ISMS-380).
• Geen GitHub secret scanning met push protection; verbeteractie ISMS-385.
• GCP Security Command Center staat niet aan; beoordeling als verbeteractie onder ISMS-323.
• De jaarlijkse vulnerability assessment van de eigen infrastructuur (C.18) en de cross-repo scan (C.19) zijn nog niet uitgevoerd; bewijs is het afgeronde ticket per ronde.

Bewijs

• Dependabot-alerts en -pull requests per repository (GitHub Security-tab)
• Jira: ISMS-318, IMS-41 (afgehandelde kwetsbaarheden)
• C.18 en C.19: nog geen bewijs; zie Gaps.