Kaynak kod yönetimimiz, kod incelememiz ve derleme otomasyonumuz GitHub Enterprise Cloud üzerinde çalışır. Bu yazının yazıldığı tarihte GitHub; SOC 1 Type II, SOC 2 Type II ve SOC 3 raporlarına, ISO/IEC 27001:2022 ve ISO/IEC 42001:2023 sertifikalarına ve bir PCI DSS Uygunluk Beyanı'na sahiptir. GitHub ayrıca bağımsız üçüncü taraflara sızma testleri yaptırır ve platformunu kapsayan kamuya açık bir hata ödül programı yürütür.
Bunlar GitHub'ın kendi altyapısı ve operasyonları için GitHub'ın kendi sertifikalarıdır — Apivom'un değil. Bu ayrımı açıkça belirtiyoruz çünkü önemlidir: "üzerine inşa ettiğimiz platform sertifikalı" ile "biz sertifikalıyız" ifadelerini birbirine karıştıran bir tedarikçi güvenlik anketi cevabı, kendi tedarikçilerimizden birinden alsaydık işaretleyeceğimiz türden bir cevaptır.
Güvenle söyleyebileceğimiz şey şu: kaynak kodumuzun durduğu platform; erişim kontrolü, değişiklik yönetimi, kullanılabilirlik ve gizlilik gibi SOC 2 güven hizmetleri kriterlerini kapsayan bağımsız ve tekrarlayan denetimlerden geçmiştir; buna ISO/IEC 27001'in daha geniş bilgi güvenliği yönetim sistemi kapsamı da eklenir. Bu, kaynak kodunu denetlenmemiş bir altyapıda barındırmaktan anlamlı ölçüde farklı bir başlangıç noktasıdır.
Bu platformun üzerine kendi kontrollerimizi ekliyoruz: kaynak koduna erişen her mühendis için zorunlu iki adımlı doğrulama ve her depoda otomatik bağımlılık güvenlik açığı taraması — ikisi de bu sayfanın başka bölümlerinde anlatılıyor.
Bunun anlamına gelmediği şey
Apivom olarak şirket düzeyinde şu anda kendimize ait bir SOC 2 ya da ISO/IEC 27001 sertifikamız yok. GitHub'ın sertifikaları GitHub'ı kapsar; depolarımızı nasıl yapılandırdığımıza, erişimi kime verdiğimize veya kendi uygulamamızı nasıl inşa edip dağıttığımıza kadar uzanmaz. Bunlar tam olarak bu sayfanın geri kalanında anlattığımız uygulamalardır; böylece bir platform sertifikasını onların yerine geçen bir vekil olarak almak yerine, onları doğrudan değerlendirebilirsiniz.