DevSecOps · Q2 2026 · Supporting
Security gates в CI/CD 2026: конфигурация для GitLab, Jenkins, Sber CI
Практический разбор внедрения SAST, Secret Scan и SCA в pipeline разработки. С приходом приказа ФСТЭК №117 security gates стали обязательным контролем для команд КИИ и ГИС.
Получить PDF в кабинете
Регистрация за 30 секунд · доступ ко всем PDF тарифа Free
85%
Российских банков и крупного enterprise внедрили security-gate в CI/CD
12 минут
Средняя задержка pipeline после SAST-gate без оптимизации
−27%
Снижение критических дефектов на pre-prod при triage до 48 часов
Ключевые выводы
Жёсткие gates на старте убивают доверие
- 01Security gates стали обязательными. Приказ ФСТЭК №117 (вступил 01.03.2026) формализует требования к разработке ПО для ГИС: SAST, контроль зависимостей, secret scanning. 85% банков уже внедрили хотя бы один gate.
- 02Модель warn → fail → block. Лучшая стратегия — 3 уровня: warn (логировать) → fail (помечать pipeline жёлтым) → block (не давать merge). Постепенное ужесточение через 1–3 квартала.
- 03Лидеры РФ-рынка SAST. PT Application Inspector (банки), Solar appScreener (госсектор), CodeScoring (среднее предприятие). SonarQube и Semgrep — open-source альтернативы для не-регулируемого сегмента.
- 04Gate-fatigue — главный риск. Если SAST даёт >100 false-positive в день и нет процесса triage за 48 часов — команда начнёт игнорировать алерты. Дисциплина triage даёт −27% критических дефектов.
- 05Open-source инструменты допустимы. Semgrep + Bandit + Trivy покрывают 80% базовых проверок без лицензионных платежей. Для регулируемых отраслей обязательны российские с сертификатом ФСТЭК.
Что внутри PDF
12 страниц — конфигурации и сравнения
01
Регуляторика 2026: ФСТЭК №117, ГОСТ 56939, supply chain
02
Архитектура gates: модель warn/fail/block
03
GitLab CI/CD: SAST, Secret Scan, SCA через .gitlab-ci.yml
04
Jenkins: PT Application Inspector, SonarQube, Solar appScreener
05
Sber CI: корпоративная специфика и mandatory gates
06
Сравнение SAST: PT AI, Solar, SonarQube, Semgrep, CodeScoring
07
Триаж и метрики DevSecOps
08
5 шагов внедрения по кварталам
Скачайте PDF — 12 страниц с конфигурациями
Регистрация в кабинете it-institute.ru открывает доступ ко всем исследованиям тарифа Free и сохраняет историю загрузок. Pro-тариф открывает аналитические обзоры по DevSecOps и flagship-отчёты.
Получить PDF в кабинете
FAQ
Частые вопросы
С какого инструмента начать: SAST, DAST или SCA?
Со Secret Scan. Это самый дешёвый и однозначный gate (gitleaks/Trufflehog) — секрет либо есть, либо нет, без false-positive. После SAST в warn-mode на главные репозитории, потом SCA, потом DAST в pre-prod.
Что делать, если gate блокирует hotfix в продакшен?
Должен быть процесс exception: Security Champion даёт временный override на конкретный CVE с обязательным follow-up ticket'ом. Без процесса разработчики начнут обходить через [skip-ci].
Сколько false-positive нормально для нового SAST?
8–25% в зависимости от инструмента (PT AI: 8–15%, SonarQube CE: 15–25%). Если >40% — не настроен исключения в .yml. Цель: довести до <20% за квартал калибровки.
Можно ли использовать open-source инструменты или нужны российские?
Для не-регулируемого сегмента (продуктовые стартапы, e-com): Semgrep + Bandit + ESLint покрывают 80% задач за 0 ₽. Для банков, госсектора, ГИС: PT AI или Solar appScreener — нужен сертификат ФСТЭК.
Где скачать полный PDF?
PDF с конфигурациями yaml/Jenkinsfile, сравнением инструментов и checklist'ом triage доступен после бесплатной регистрации в кабинете my.it-institute.ru.