Soluzioni / Sviluppatori
Gran parte dei controlli su cui fanno domande auditor e clienti è in mano ai team di sviluppo. Gorilli Compliance li verifica nei tuoi repository a ogni push e propone le correzioni come pull request.
Aggiungi il webhook GitHub firmato e ogni push avvia una scansione. I nuovi problemi compaiono come criticità segnalate come nuove rispetto all'ultima scansione.
Verifica branch protection, CODEOWNERS, SECURITY.md, impostazioni di aggiornamento delle dipendenze, lockfile, action fissate a una versione, permessi dei token dei workflow e secret finiti nei commit.
Per le criticità supportate, apri una pull request con la correzione o le indicazioni e fai il merge come per qualsiasi altra modifica.
Owner e admin ricevono un'email quando un controllo che prima passava inizia a fallire, così un controllo rotto non aspetta il prossimo audit.