Policy-as-Code

Policy as Code: Anforderungen, die automatisch wirken

Eine Sicherheitsanforderung landet als Dokument. Wer sie liest, entscheidet jedes Team selbst. Wer prüft, ob sie gilt — niemand. Policy as Code macht daraus eine Regel, die bei jedem Deployment automatisch greift: für jedes Team, mit belegbarem Ergebnis.

Warum reichen Dokumente und Handbücher nicht?

Sicherheitsanforderungen als PDF funktionieren solange, wie jeder sie kennt, versteht und befolgt — und solange niemand prüft. In der Praxis: Teams interpretieren unterschiedlich, Ausnahmen häufen sich, und beim nächsten Pruefgespraech beginnt die Suche nach Belegen von vorne. Policy as Code macht Anforderungen zu Regeln, die automatisch wirken und Ihr Ergebnis dokumentieren — ohne manuelle Kontrolle, ohne Interpretationsspielraum.

Problemkern

Policies existieren als PDFs und Mails – nicht überprüfbar
Keine technische Durchsetzung, keine Beweise
Abhängigkeit von Personen statt reproduzierbaren Prozessen
Policies existieren in unterschiedlichen Tools und widersprechen sich
Keine Versionierung von Policy-Änderungen (wer hat was geändert?)

GitSecOps-Lösung

Policies als versionierbare, ausführbare Regeln in Git
Automatisierte Kontroll-Checks in CI/CD (Open Policy Agent/Rego, Gatekeeper, Kyverno)
Evidence-Service erzeugt Pruefnachweise pro Pipeline-Run
Steuerungslogik: Findings fliessen zurueck in Policies und Gates

Diagramm: Policy → Code → Gate → Evidence

Schritt 1

Policy

Regeln werden technisch beschrieben und versioniert.

Schritt 2

Code

Regeln werden in Rego/Policies übersetzt und getestet.

Schritt 3

Gate

Pipelines erzwingen Gates für Builds, Images und Deployments.

Schritt 4

Evidence

Evidence Layer speichert Beweise, SBOMs und Attestations.

Beispiel-Policy-Gate (Rego)

package deployment.gates

deny[msg] {
  input.image.sbom_missing
  msg := "Deployment blockiert: SBOM fehlt"
}

deny[msg] {
  input.image.signature != "valid"
  msg := "Deployment blockiert: Image nicht signiert"
}

deny[msg] {
  input.namespace not in {"prod", "staging"}
  msg := "Deployment blockiert: unerlaubter Namespace"
}

Das Gate verhindert unsignierte oder unvollständige Deployments. Evidence-as-Code speichert jedes Ergebnis inkl. Begründung und Build-Referenz.

Use Cases

NIS2, DORA, ISO27001-Vorbereitung

Policies werden als Code durchgesetzt. Jede Anforderung hinterlaesst einen nachvollziehbaren Nachweis.

CI/CD Quality Gates für sichere Releases

Policy-as-Code standardisiert Sicherheits- und Qualitätsanforderungen. Gates verhindern unsichere Releases automatisch.

Container Security & Supply Chain Hardening

Signaturen (Sigstore/cosign), SBOMs und Provenance werden erzwungen. Unsichere Images gelangen nicht in Deployments.

Ergebnisse

• Messbare Policy-Wirkung mit Beweisreferenzen
• Standardisierte Deployments statt individueller Ausnahmen
• Entlastung für Prüffunktionen und Entwickler durch automatisierte Checks
• Versionierte und nachvollziehbare Policy-Änderungen

QuickCheck Policy-as-Code

Ihr Einstieg in durchsetzbare Policies

Wir übersetzen Ihre Policies in produktionsreife Rego-Regeln, testen sie automatisiert und liefern ein Evidence-Layer für Prüffunktionen.