Voor een aantal klanten ontwikkelt en beheert AMEXIO verschillende digitale (web)platformen. Deze platformen verwerken in veel gevallen gevoelige data en moeten voldoen aan hoge eisen op het gebied van beveiliging. Daarnaast hebben sommige klanten te maken met compliance-eisen, zoals ISO-standaarden (bijv. ISO 27001). 

Momenteel worden binnen enkele projecten al geautomatiseerde security tools gebruikt, zoals SonarQube en OWASP-gebaseerde dependency scanners. Hoewel deze tools waardevolle inzichten bieden en een goede basis vormt, dekt deze niet het volledige security-domein. Er zijn aanvullende risico’s en aandachtspunten die momenteel minder of niet geautomatiseerd worden gecontroleerd. Dit brengt een aantal uitdagingen met zich mee: 

• Niet alle soorten securityproblemen worden automatisch gedetecteerd 
• Security checks richten zich voornamelijk op code en dependencies 
• Er ontbreekt inzicht in aanvullende risico’s (bijv. tijdens runtime, configuratie of infrastructuur) 
• Het is niet duidelijk welke aanvullende checks waardevol kunnen zijn 

Daarnaast is het onduidelijk wat de meest effectieve manier is om aanvullende security checks toe te passen. Denk hierbij aan vragen zoals: 

• Welke aanvullende security checks zijn relevant naast de huidige tooling? 
• Welke checks voer je uit per pull request, en welke op andere momenten? 
• Hoe voorkom je overlap of false positives? 
• Hoe zorg je dat extra checks daadwerkelijk waarde toevoegen voor developers? 

Ook zijn er de laatste jaren steeds meer (AI-gedreven) tools beschikbaar gekomen die ondersteuning bieden bij security analyses, bijvoorbeeld voor het detecteren van kwetsbaarheden of het analyseren van codepatronen. 

Het is echter nog onduidelijk in hoeverre deze oplossingen een waardevolle aanvulling kunnen zijn op de bestaande tooling. 

AMEXIO wil daarom onderzoeken welke aanvullende tools en technieken ingezet kunnen worden om de huidige security-aanpak te versterken, en hoe deze op een effectieve en generieke manier toegepast kunnen worden.