# Setting up a DevSecOps Software Factory with GitLab - Jonathan Lim

{%hackmd @DevOpsDay/BJXaW1_k6 %}

> 從這裡開始寫

+ what is a software Factory
software Factor 用一系列的工具做到自動化
舉例：燒烤店，少少的廚師能夠快速備料一桌菜多種菜餚，很像software Factory
+ DevSecOps workflow
公司內會用多種工具完成 pipeline，但更新維護造成高efforts -> GitLab 可以做到全部 CICD 功能

+ pipeline standardization

+ workflow -> CICD -> 準備項目：COE（DevOps Center of Excellence）
1. 建立 templates 專案，設計 CI job 模板
2. 不同的 sub-group 跟 proj 可直接重用 templates
3. 大家共用 pipeline，修改一個就可以套用到全部
+ compliance and audit 合規與審計？
+ 概念： GRC (Governance, Compliance, Risk) 很多公司當作 framework 完成合規審計
+ Gitlab 有 compliance workflows (ISO27001, SOC2, SOX) 可以搭配 Gitlab compliance framework 達到合規

+ Workflow 需要批准 (Workflow security Controls and Gating) such as approval (ISO27001 require approve, review, etc.)
+

+ Security

+ 近幾年的資安事件頻傳:Log4j -> Why：以前專案都自己寫，但現在ＳＯＳＡ使用第三方 library，故要考慮的點更多 (version compability )
+ Supply chains 的問題 (external libary vulnerbility)
+ Software factories 要注意內部的 source，version 等等
+ 台灣比較少看到 fast testing 的部分
+ DevSecOps workflow shift left, 盡早在 commit 就要跑安裝掃描 (SAST,CI testing, dependency scanning)
+ 不要等到最後才做安全掃描

+ Infrastructure testing
+ 使用第三方開源 terraform 等，同時部署多雲端跟地端
+ 使用 AWS transit gateway 接軌地端或是 Google Azure 雲端
+ For example, AWS CloudWatch, Guard Duty monitor networking
+ 提到網路安全，幾點注意
+ iP allow list
+ inbound/Outbound private link
+ Case Study
+ GovTech 新加坡政府 (GovTech SHIP-HATS 2.0)（有興趣相關連結在 slides 上）

結束~

---

講者好可愛

安全性功能是不是gitlab企業版才有？

辛苦書記了