Traducido con IA del original en ruso.
La clasificación de los "hallazgos" se realiza según los estándares industriales (CWE y OWASP Top 10), y la evaluación de la gravedad según CVSS.
El Centro de Seguridad de la Información de "1C-Bitrix" ha implementado un nuevo nivel de control para soluciones de terceros. Ahora, para la publicación en el marketplace, que cuenta con más de 2000 módulos y aplicaciones, se utiliza el análisis de código basado en inteligencia artificial.
La nueva auditoría de IA complementa el sistema de protección multinivel existente, que ya incluye análisis estático, verificación por especialistas y el mantenimiento de un registro público de vulnerabilidades. Según los representantes de la compañía, esta es una iniciativa propia destinada a desarrollar la seguridad de todo el ecosistema.
La particularidad de la auditoría de IA es su capacidad para identificar vulnerabilidades atípicas y complejas que podrían pasar desapercibidas en las verificaciones automáticas estándar. Todos los problemas encontrados se clasifican según estándares internacionales, y el desarrollador del módulo es responsable de su eliminación.
El proceso de respuesta no ha cambiado. Si se detecta una amenaza en una nueva solución, su publicación se bloquea. Si se encuentra una vulnerabilidad en un módulo ya publicado, el desarrollador recibe un informe y debe lanzar una corrección en el plazo establecido. Hasta que se lance el parche, la información sobre el problema no se divulga para proteger a los usuarios. En caso de negarse a cooperar, el módulo se elimina del marketplace.
