האתגר
- קוד רגיש. קוד המקור של הארגון לא יכול לצאת החוצה, וחשבונות GitHub פרטיים לא יכולים לגשת אליו.
- צוותים שרוצים AI. חסימה גורפת עוצרת את הפיתוח, ופתיחה גורפת מסכנת את הארגון.
- צריך לראות את כל התמונה. לא מספיק לאבטח את סביבת הפיתוח. צריך להתייחס לכל הארכיטקטורה: זהויות, רשת, תחנות קצה, ענן ורגולציה. לכן הארגון חיפש מומחיות משולבת, של סמנכ"ל פיתוח ושל ארכיטקט אבטחת מידע בענן, שתוביל את התהליך מקצה לקצה.
- פיתוח ואבטחה לא מדברים באותה שפה. אנשי התשתיות והאבטחה לא מכירים את העולם של סביבות פיתוח, מאגרי קוד ועוזרי AI. והמפתחים לא תמיד מבינים למה צריך את כל החסימות. היה צריך מישהו שיגשר בין שני הצדדים.
- רגולציה. כל שירות ענן בארגון פיננסי צריך לעמוד בדרישות של זהות, הרשאות, הצפנה ורשת.
- תחנות פיתוח בניהול ידני. אין שליטה מרכזית על גרסאות, תוספים וחשבונות.
מה עשינו יחד
סמנכ"ל הפיתוח וארכיטקט אבטחת הענן של OnCloud עבדו יחד עם צוותי הפיתוח, התשתיות והאבטחה של הארגון. תרגמנו את הצרכים של המפתחים לדרישות אבטחה, ואת דרישות האבטחה להגדרות שלא עוצרות את הפיתוח.
1שימוש ב-GitHub רק בתור שכבת רישוי ל-Copilot
חסמנו יצירת מאגרים, fork, שינוי נראות, GitHub Pages, Actions, Projects ושיתוף פעולה עם חיצוניים. הגבלנו את ה-Personal Access Tokens, ואכפנו branch rulesets והרשאות בסיס מינימליות.
היתרון: המפתחים מקבלים עוזר AI, הקוד נשאר במאגרים של הארגון, ו-Copilot לא משתמש בו לאימון.
2זהויות בניהול הארגון
חשבונות מנוהלים בלבד, עם הקצאה אוטומטית מ-Entra ID (SCIM) ודומיינים מאושרים. כניסה עם חשבון GitHub פרטי חסומה.
היתרון: עובד שעוזב מאבד גישה אוטומטית, ואין חשבונות שאף אחד לא מנהל.
3גישה ומנהלים
מדיניות Conditional Access עם MFA, גישה רק מרשתות מאושרות, וחסימה של כניסות בסיכון גבוה. למנהלים: MFA עמיד לפישינג, מכשיר תקין, ותפקידים דרך PIM, רק לזמן שצריך.
היתרון: סיסמה שדלפה לא מספיקה כדי להיכנס, ואין מנהל עם הרשאות קבועות שתוקף יכול לנצל.
4הגבלת Copilot לגבולות שהגדרנו
מודלים מאושרים בלבד. חסמנו חיפוש באינטרנט, שרתי MCP, coding agent, Code Review ו-Spaces.
היתרון: העוזר עוזר לכתוב קוד, אבל לא מתחבר לכלים ולמקורות מידע שהארגון לא אישר.
5סביבת הפיתוח בניהול מרכזי
גרסאות VS Code מעודכנות והגדרות מנוהלות דרך Intune: אילו תוספים מותרים, ו-Copilot רק עם החשבון הארגוני.
היתרון: אף מפתח לא מתקין תוסף שלא אושר, ולא מתחבר עם חשבון פרטי.
6רשת ו-DLP
Copilot מגיע רק לכתובות שאושרו, דרך ה-proxy הארגוני עם SSL inspection. DLP בודק את התעבורה לפני שהיא יוצאת.
היתרון: DLP חוסם סיסמאות, מפתחות API ומידע רגיש לפני שהם יוצאים בתוך שאלה לעוזר.
7בדיקה בפועל
הרצנו מבדק חדירות עם תרחישי תקיפה אמיתיים: ניסיון לדחוף קוד החוצה, למשוך קוד ממאגר חיצוני, להתקין תוסף, להיכנס בלי MFA ולהפעיל שרת MCP.
היתרון: ההגדרות לא נשארו על הנייר. ראינו שהן חוסמות ניסיונות אמיתיים.
מה השתנה
רוצים לתת למפתחים שלכם AI בלי לחשוף את הקוד? נתחיל בפגישת היכרות טכנית.
קביעת פגישה