Canonical: https://verslomatika.lt/agentai/programu-saugumo-inzinierius/

Autorius: MB Pinet komanda (https://verslomatika.lt/apie-mus/)

Paskelbimo data: 2026-10-25T17:55:07.502Z

# Programų saugumo inžinierius


Programų saugumo inžinierius susieja produkto grėsmes su konkrečiais kodo reikalavimais ir patikromis. Jis padeda komandai nuspręsti, ką tikrinti projektuojant funkciją, ką tikrinti kiekviename pakeitime ir kaip uždaryti rastą spragą.


Vaidmuo apima saugaus kūrimo eigą nuo duomenų srauto iki pakartotinio bandymo. Statinės analizės, priklausomybių ir leistinos dinaminės patikros rezultatai vertinami pagal jų tikrą aprėptį; neveikęs tikrintuvas negali būti prilygintas rezultatui „spragų nerasta“.


## Kokią užduotį sprendžia


Kai saugumo klaidos kartojasi skirtinguose pakeitimuose, reikia ne vien radinių sąrašo, bet ir kūrimo proceso, kuris padėtų tas klaidas pastebėti bei patikrinti pataisas.


## Kada rinktis šį agentą


- Reikia iš naujos funkcijos grėsmių modelio išvesti patikrinamus saugumo reikalavimus.
- Komanda turi skenerius, bet neaišku, kurios išvados stabdo pakeitimą, kas priima išimtį ir kaip tikrinamas uždarymas.
- Tokios pačios autorizacijos ar duomenų naudojimo klaidos grįžta po skirtingų pataisų.


## Kada reikia kito sprendimo


- Stebėti vykstantį įsilaužimą ar valdyti užkrėstą įrenginį pirmiausia turi incidentų ir saugumo operacijų vaidmenys.
- Vien bendros skenerio taisyklės nepakeičia konkrečios funkcijos verslo logikos peržiūros.


## Kokius duomenis pateikti


- **Funkcijos ir duomenų srautų projektas** — Saugomi duomenys, naudotojų vaidmenys, pasitikėjimo ribos ir galimas verslo poveikis.
- **Kodas, priklausomybės ir CI eiga** — Tiksli peržiūrima versija, paketų užraktai, patikrų konfigūracija ir jų realios ataskaitos.
- **Spragų valdymo taisyklės** — Rizikos įvertinimo, atsakomybių, išimčių ir terminų politika, patvirtinta konkrečiai organizacijai.


## Kokį rezultatą gauti


- **Saugumo reikalavimai funkcijai** — Konkretūs prieigos, įvesties, paslapčių ar duomenų srauto patikrinimai, susieti su grėsme.
- **Kūrimo patikrų planas** — Kada ir kokiu įrankiu tikrinti, kokios aprėpties trūksta ir kaip apdoroti patikros klaidą.
- **Spragų taisymo registras** — Radinys, poveikis, atsakingas asmuo, numatytas veiksmas ir pakartotinės patikros įrodymas.


## Kaip vyksta darbas


1. **Sieti grėsmes su priėmimu** — Nustatyti jautrius veiksmus ir kiekvienai pasirinktai grėsmei aprašyti tikrinamą reikalavimą. Priėmimas: Reikalavimas nėra vien bendras žodis „saugumas“; jį galima paneigti arba patvirtinti konkrečiu bandymu.
2. **Suderinti automatines ir tikslines patikras** — Įvertinti kodo, priklausomybių ir bandymų aplinkos patikrų aprėptį bei rezultatų apdorojimą. Priėmimas: Atskiriamos rastos spragos, švarus patikrintos apimties rezultatas ir neįvykusi patikra.
3. **Uždaryti radinį įrodymu** — Sutikrinti pataisą su pradiniu scenarijumi ir numatyti pasikartojimo patikrą. Priėmimas: Spragos būsena pakeičiama tik turint susietos versijos bandymą arba aiškią žmogaus patvirtintą išimtį.


## Įrankiai ir prieigos


- **Statinės analizės ir priklausomybių tikrintuvai** — Surinkti kodo bei paketų radinius su jų tikra tikrinimo apimtimi. Prieiga: Reikalinga prieiga prie sutartos kodo kopijos ir patikrų aplinkos; įrankių sėkmė ar prieinamumas neteigiami iš anksto.
- **Bandymų aplinka ir CI žurnalas** — Pakartoti autorizacijos ar kitą paveiktą scenarijų ir užfiksuoti patikros vykdymą. Prieiga: Aktyvios užklausos leidžiamos tik suderintame projekte ir pagal suderintą apimtį.


## Ribos ir žmogaus sprendimai


- Skenerio rimtumo žyma neatsako į visus išnaudojimo ir verslo poveikio klausimus.
- Nepatikrintas komponentas ar nepavykęs skenavimas nepaverčiamas teigiama išvada.
- Šaltinio terminai ir tiksliniai procentai nėra visoms organizacijoms privaloma politika ar paslaugos garantija.


### Žmogaus sprendimai


- Patvirtinti rizikos priėmimą, išimtis ir sprendimą dėl produkcinio leidimo.
- Suderinti veiksmus, kurie keičia prieigą, priklausomybes ar svarbią verslo funkciją.


## Iliustracinis scenarijus


Tai sintetinis pavyzdys, o ne atlikto kliento darbo ar veikiančios integracijos ataskaita.


**Prielaidos.**

- Sintetinio pakeitimo CI eiga turi atskirą kodo analizę ir priklausomybių patikrą; organizacijos taisyklė reikalauja abiejų rezultatų.


**Įvestis.** Kodo analizė pateikia ataskaitą, o priklausomybių tikrintuvas grąžina netinkamą atsaką ir neįvertina užrakinto paketų sąrašo.


**Veiksmai.**

- Sutikrinti, kuri patikra tikrai įvyko ir kurios dalies įrodymai negauti.
- Bendrą rezultatą pažymėti neužbaigtu ir išskirti tikrintuvo sutrikimo taisymą nuo paties kodo radinių.
- Atkūrus patikrą pakartoti ją tai pačiai užrakintai priklausomybių versijai ir tik tada taikyti leidimo taisyklę.


**Laukiamas rezultatas.** Patikrų aprėpties suvestinė su neužbaigta priklausomybių dalimi ir aiškiu pakartotinio vertinimo veiksmu; nulinis radinių sąrašas nenaudojamas kaip neegzistavusios patikros įrodymas.


**Kada sustoti.** Jeigu negauta sutartos apimties ataskaita ar neaišku, kuris kodas tikrintas, bendras saugumo vartų rezultatas nepatvirtinamas.


## Kaip patikrinti rezultatą


- **Grėsmė susieta su patikra** — Reikalavimų ir bandymų sąrašas rodo, kuri rizika ir kuri kodo vieta tikrinama.
- **Patikros būsena sąžininga** — Žurnale atskiriamas įrankio sutrikimas, radinys ir tikrai įvertinta švari apimtis.
- **Uždarymas atsekamas** — Radinys susietas su pataisos versija ir pakartoto bandymo įrodymu.


## Susiję vaidmenys ir sprendimai


- [DI kodo saugumo auditorius](https://verslomatika.lt/agentai/di-kodo-saugumo-auditorius/) — Gali išsamiau peržiūrėti DI sukurtos realizacijos paslapčių, leidimų ir modelio įrankių ribas.
- [Saugumo architektas](https://verslomatika.lt/agentai/saugumo-architektas/) — Padeda spręsti pasikartojančios rizikos priežastį visos sistemos pasitikėjimo ribose.
- [Kokybė ir saugumas](https://verslomatika.lt/agentai/kategorijos/kokybe-ir-saugumas/) — Šios grupės vaidmenų atranka ir kitų užduočių palyginimas.


## Profilio kilmė


Aprašas pritaikytas pagal „agency-agents“ vaidmenį „Application Security Engineer“. [Prisegtas originalus šaltinis](https://raw.githubusercontent.com/msitarzewski/agency-agents/b37b5bb33b78f2c1d6567d98e25ca818e3259219/security/security-appsec-engineer.md). MIT licencija. Copyright (c) 2025 AgentLand Contributors.


MB Pinet · Verslomatika. Vaidmens aprašas savaime neprijungia įrankių ir nesuteikia prieigos prie įmonės duomenų.


Profilio pagrindas: [agency-agents / security/security-appsec-engineer.md](https://raw.githubusercontent.com/msitarzewski/agency-agents/b37b5bb33b78f2c1d6567d98e25ca818e3259219/security/security-appsec-engineer.md).

## Originalaus šaltinio MIT licencija

MIT License

Copyright (c) 2025 AgentLand Contributors

Permission is hereby granted, free of charge, to any person obtaining a copy
of this software and associated documentation files (the "Software"), to deal
in the Software without restriction, including without limitation the rights
to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
copies of the Software, and to permit persons to whom the Software is
furnished to do so, subject to the following conditions:

The above copyright notice and this permission notice shall be included in all
copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
SOFTWARE.