К содержанию
IT Institute Доказательная аналитика российского IT-рынка
Личный кабинет
IT Institute
PDF-выпуск · Кибербезопасность · Q2 2026

Security gates в CI/CD 2026: конфигурация для GitLab, Jenkins, Sber CI

Практический разбор внедрения SAST, Secret Scan и SCA в pipeline разработки. С приходом приказа ФСТЭК №117 security gates стали обязательным контролем для команд КИИ и ГИС.

Получить PDF в кабинете Что в выпуске ↓
Регистрация за 30 секунд · доступ ко всем PDF тарифа Free
85%Российских банков и крупного enterprise внедрили security-gate в CI/CD
12 минутСредняя задержка pipeline после SAST-gate без оптимизации
−27%Снижение критических дефектов на pre-prod при triage до 48 часов

Жёсткие gates на старте убивают доверие

01
Security gates стали обязательными.Приказ ФСТЭК №117 (вступил 01.03.2026) формализует требования к разработке ПО для ГИС: SAST, контроль зависимостей, secret scanning. 85% банков уже внедрили хотя бы один gate.
02
Модель warn → fail → block.Лучшая стратегия — 3 уровня: warn (логировать) → fail (помечать pipeline жёлтым) → block (не давать merge). Постепенное ужесточение через 1–3 квартала.
03
Лидеры РФ-рынка SAST.PT Application Inspector (банки), Solar appScreener (госсектор), CodeScoring (среднее предприятие). SonarQube и Semgrep — open-source альтернативы для не-регулируемого сегмента.
04
Gate-fatigue — главный риск.Если SAST даёт >100 false-positive в день и нет процесса triage за 48 часов — команда начнёт игнорировать алерты. Дисциплина triage даёт −27% критических дефектов.
05
Open-source инструменты допустимы.Semgrep + Bandit + Trivy покрывают 80% базовых проверок без лицензионных платежей. Для регулируемых отраслей обязательны российские с сертификатом ФСТЭК.

Частые вопросы

С какого инструмента начать: SAST, DAST или SCA?

Со Secret Scan. Это самый дешёвый и однозначный gate (gitleaks/Trufflehog) — секрет либо есть, либо нет, без false-positive. После SAST в warn-mode на главные репозитории, потом SCA, потом DAST в pre-prod.

Что делать, если gate блокирует hotfix в продакшен?

Должен быть процесс exception: Security Champion даёт временный override на конкретный CVE с обязательным follow-up ticket'ом. Без процесса разработчики начнут обходить через [skip-ci].

Сколько false-positive нормально для нового SAST?

8–25% в зависимости от инструмента (PT AI: 8–15%, SonarQube CE: 15–25%). Если >40% — не настроен исключения в .yml. Цель: довести до <20% за квартал калибровки.

Можно ли использовать open-source инструменты или нужны российские?

Для не-регулируемого сегмента (продуктовые стартапы, e-com): Semgrep + Bandit + ESLint покрывают 80% задач за 0 ₽. Для банков, госсектора, ГИС: PT AI или Solar appScreener — нужен сертификат ФСТЭК.

Где скачать полный PDF?

PDF с конфигурациями yaml/Jenkinsfile, сравнением инструментов и checklist'ом triage доступен после регистрации в личном кабинете IT Institute.

PDF-выпуск Скачайте PDF — 12 страниц с конфигурациями
Получить PDF в кабинете Регистрация за 30 секунд · доступ ко всем PDF тарифа Free