Wofür Sie das hier beauftragen können

Gelhaus Solutions ist eine Person. Das ist die Randbedingung, die zuerst gehört, denn sie entscheidet, wonach zu fragen sich lohnt: Arbeit, bei der Urteilsvermögen und Tiefe mehr zählen als Köpfe, und bei der die ausführende Person dieselbe ist, die den Umfang bestimmt hat.

Alles Folgende ist bereits im Produktivbetrieb getan worden und keine für diese Seite zusammengestellte Fähigkeitenliste. Wo es öffentliche Belege gibt, sind sie verlinkt.

Ein CVE-Programm aufsetzen

Eine CNA zu werden ist überwiegend Papierarbeit und Verfahren, und die Papierarbeit ist die leichtere Hälfte. Zeit kostet eine Geltungsbereichserklärung, die den Kontakt mit einer Meldung übersteht, die nicht ganz hineinpasst; ein Bewertungsmaßstab, den jemand um zwei Uhr nachts noch einheitlich anwenden kann; und ein Offenlegungszeitplan, den Sie tatsächlich halten können.

Das umfasst den Antrag, die Geltungsbereichserklärung, den Maßstab, das Verfassen von Datensätzen gegen CVE JSON 5.1 und den Offenlegungsprozess darum herum — so aufgesetzt, dass Ihre eigenen Leute ihn danach betreiben und nicht von mir abhängen.

Postiz ist eine CNA mit MITRE als TL-Root und GCVE Numbering Authority 125. Ich betreibe dieses Programm. Die Belege sind öffentlich, und jede Zahl darauf stammt aus dem Verzeichnis, dem sie gehört.

Sicherheitsreview

Architektur und Code, aufgeschrieben so, wie ein Advisory aufgeschrieben wird: Geltungsbereich, Vektor mit der Begründung daneben, eine Schwächenkette statt eines einzelnen Etiketts, und ein Datensatz, den Sie weitergeben können.

Bezahlenswert ist nicht die Liste der Funde. Es ist der Teil, der sagt, welche Funde aus dem Zuschnitt des Produkts folgen statt aus einem Fehler darin — denn das ist der Unterschied zwischen Tickets schließen und die Rate senken, mit der sie entstehen.

Plattform und Infrastruktur

Vault für PKI und Geheimnisse — Raft-Speicher, ein Root und Intermediates, ACME-Ausstellung, dynamische Engines, damit Zugangsdaten von vornherein kurzlebig sind. Selbst betriebene Identität über OIDC. Temporal dort, wo Arbeit einen Neustart überleben muss. Ansible, damit es reproduzierbar ist statt liebevoll von Hand nachjustiert.

Dazu die unglamouröse Hälfte: Selbstbetrieb zu einer echten Möglichkeit machen statt zu einer nominellen. Installationen ohne Netzanbindung, Bare Metal vor Containern, wo die Wahl ansteht, und keine Abhängigkeit davon, dass es einen Anbieter weiter gibt.

Support als Engineering-Problem

Das Supportaufkommen ist die ehrlichste Produktrückmeldung, die es gibt, und die meisten Teams werfen sie weg, indem sie Support als Personalfrage behandeln statt als System.

Das umfasst die Werkzeuge und den Zuschnitt: die eigenen Kanäle der Kundschaft an echte Support-Software brücken, SLA-Uhren, Umgang mit Inaktivität, Selbstbedienung bei der Abrechnung mit Leitplanken, und die Auswertung, die aus einer Warteschlange ein Signal über das Produkt macht.

GHub für Sie betreiben

Wenn eine der Anwendungen das ist, was Sie wollen, der Selbstbetrieb aber nicht, ist GPlatform die gehostete Hälfte. Dieselbe Software, dasselbe Datenmodell, eine andere Partei hält die Schlüssel — und Sie können zwischen beiden wechseln, ohne die Werkzeuge zu wechseln.

Soweit wir Ihre Daten halten, gelten die Vereinbarung zur Auftragsverarbeitung und der Anhang des jeweiligen Dienstes.

Wie es abläuft

Zuerst der Umfang, schriftlich, bevor irgendetwas angeboten wird. Dann ein fest umrissenes Arbeitspaket mit einem genannten Ergebnis, oder eine laufende Vereinbarung, wenn das besser passt.

Deutsch oder Englisch, wie es Ihnen passt. In beidem wird täglich gearbeitet.