ทำให้นโยบายข้อมูลอ่อนไหวเป็นอัตโนมัติได้ง่ายด้วย Custom Mixin และ GitHub Actions (feat. Querypie)

แชร์กรณีตัวอย่างของการนำระบบอัตโนมัติมาใช้ โดยประยุกต์ใช้ QueryPie DAC (Database Access Controller) ซึ่งให้ความสามารถด้านการควบคุมการเข้าถึงข้อมูลและการตรวจสอบย้อนหลัง เพื่อปรับปรุงความไม่มีประสิทธิภาพจากวิธีตั้งค่านโยบายแบบทำด้วยมือเดิม ผ่านการใช้ Custom Mixin กับ Django Model และ GitHub Actions

1. SensitiveFieldMixin สำหรับนิยามข้อมูลอ่อนไหว

• ออกแบบและพัฒนา SensitiveFieldMixin เพื่อให้สามารถนิยามข้อมูลอ่อนไหวได้อย่างชัดเจนใน Django model
• เมื่อระบุฟิลด์ใดเป็นข้อมูลอ่อนไหว ระบบจะสร้างนโยบายที่เกี่ยวข้องกับฟิลด์นั้นโดยอัตโนมัติผ่าน QueryPie API

2. พัฒนาคำสั่งสำหรับซิงก์นโยบาย

• พัฒนาคำสั่งสำหรับสร้างและซิงก์นโยบายข้อมูลอ่อนไหวโดยใช้ API ของ QueryPie
• ช่วยลดโอกาสตกหล่นในการตั้งค่านโยบาย และคงมาตรฐานความปลอดภัยไว้ได้

3. ผสานรวมกับ GitHub Actions และ CI/CD pipeline

• รวมคำสั่งซิงก์นโยบายเข้ากับ GitHub Actions เพื่อเชื่อมโยงกับกระบวนการ deploy
• ตั้งค่าให้มีการซิงก์นโยบายโดยอัตโนมัติทุกครั้งที่มีการ deploy ใหม่ เพื่อเพิ่มประสิทธิภาพสูงสุด

ผลลัพธ์

• ลดโอกาสตกหล่นที่อาจเกิดขึ้นในการจัดการนโยบายความปลอดภัยให้เหลือน้อยที่สุด
• บรรลุทั้งประสิทธิภาพการพัฒนาและความสมดุลด้านความปลอดภัยพร้อมกัน ผ่านระบบอัตโนมัติใน deployment pipeline

[moderato]

น่าจะเพราะเป็นบริษัทที่ผมจับตามองมาตั้งแต่ช่วงเริ่มก่อตั้ง พอมาเห็น Querypie ที่นี่เลยรู้สึกยินดีครับ
การจัดการนโยบายต้องใช้แรงค่อนข้างมาก แต่พอทำให้เป็นอัตโนมัติได้ก็น่าสนใจมากครับ