Технический директор GitFlic советует учитывать происхождение компонентов кода

Технический директор GitFlic Максим Козлов предложил компаниям проверить, откуда приходят зависимости их программ и кто меняет код. По его мнению, в 2027 году эти сведения будут нужны наряду с контролем над местом хранения исходников.

Для открытых проектов эксперт рекомендует держать основную копию в собственном контуре или на российской площадке, а GitHub использовать как зеркало для внешней аудитории. Такая схема сохраняет исходники и сборочную инфраструктуру при потере доступа к внешнему аккаунту. Собственный закрытый код Козлов также советует хранить без зависимости от одного иностранного провайдера.

Какие зависимости проверить

Первым шагом Козлов называет инвентаризацию репозиториев и источников пакетов. Затем предлагает настроить прокси-реестры пакетов и контейнеров, анализировать состав программ и заранее определить замену каждой критичной зависимости на случай прекращения её поддержки.

Отдельная задача — учёт компонентов в SBOM и происхождения изменений, внесённых людьми или ИИ-агентами. Эти данные эксперт предлагает собирать в репозиториях и конвейерах сборки, чтобы не восстанавливать их вручную перед проверкой. GitFlic входит в «Группу Астра».