Git Security Checklist

Checklist về bảo mật dành cho Leader và team members khi làm việc với Git trong dự án

Trên máy tính local

Trước khi start dự án

- Đối với Leader

• Lưu tất cả dữ liệu sensitive vào configuration file (secret keys, password, sensitive data)

• Xóa toàn bộ dữ liệu sensitive ra khỏi source code đang sử dụng trực tiếp (nếu có)

• Thêm configuration file vào .gitignore

- Đối với tất cả members

• Chỉ clone source code trên máy tính làm việc do công ty cung cấp

• Cài đặt Pre-Commit Hook (git-secrets) trên máy tính local

Trong quá trình phát triển dự án

• Không được phép clone hay copy source code về máy tính cá nhân dưới bất kỳ hình thức nào

• Không được phép lưu trữ source code, tài liệu của dự án lên github cá nhân hoặc các nền tảng lưu trữ Google, Dropbox...

• Kiểm tra hoặc bổ sung các secret keys vào configuration file trong suốt quá trình làm dự án

Sau khi kết thúc dự án hoặc có member leave dự án

• Xóa bỏ source code khỏi máy tính local

Trên Remote (Đối với Leader)

Trước khi start dự án

• Luôn cài đặt visibility của repository là PRIVATE

• Quản lý quyền hạn (permission to access) của members

• Giới hạn quyền truy cập bằng IP (nếu có)

Trong quá trình phát triển dự án

• Kiểm tra thường xuyên việc quản lý dữ liệu sensitive trong dự án

• Xóa bỏ các dữ liệu sensitive nếu có xuất hiện trên remote (xóa cả history)

Trước khi deployed

• Kiểm tra việc quản lý biến môi trường ENV

• Kiểm tra đúng môi trường cần deploy

Sau khi dự án kết thúc hoặc có members leave

• Revoke access của những members không còn làm việc ra khỏi dự án