Modulo 10 — Cancelli di qualità e sicurezza

Blocco B · La filiera automatizzata · 4 ore

Obiettivi

Aggiungere alla pipeline i controlli che l'Ente esigerà da chiunque (interni e

fornitori): lint dei Dockerfile, scansione vulnerabilità delle immagini, SBOM.

Definire la policy: cosa blocca e chi può derogare.

Ora	Attività
0:00–0:45	Vulnerabilità nelle immagini: da dove vengono (base image, pacchetti, dipendenze), CVE e severità; il rebuild periodico come igiene
0:45–1:30	Strumenti: hadolint, Trivy, SBOM (CycloneDX); policy dell'Ente: CRITICAL blocca, HIGH tracciata; ruolo del referente sicurezza (RACI)
1:30–3:30	Lab 10: hadolint + stage scan con Trivy + SBOM come artefatto; lettura dei report; errore hadolint provocato
3:30–4:00	Debrief: il "caso log4j" giocato con la SBOM alla mano

Si scandisce l'IMMAGINE (ciò che va in produzione), non solo il codice.
Il gate è automatico e uguale per tutti; la DEROGA è umana, motivata e tracciata.
La SBOM è l'inventario che risponde a "dove siamo esposti?" in minuti, non giorni.

Slide

Laboratorio