JFrog breidt AppTrust uit met nieuwe DevGovOps-functies voor Europese compliance. Een kant-en-klaar framework voor DORA, policies op repository-niveau en AI Verification Policies moeten organisaties bij elke release ondertekend bewijs geven. Zo kunnen CISO’s en R&D-teams aan EU-regels voldoen zonder dat de ontwikkeling vertraagt.
Met de uitbreiding wil JFrog security- en ontwikkelteams één gedeeld overzicht bieden van alle wettelijke eisen. Volgens het bedrijf groeit de druk van twee kanten. Toezichthouders vragen meer controle en bewijs per release, terwijl AI-agents juist veel vaker code opleveren. “Kun je het vertrouwen bewijzen in wat je hebt geleverd, en kun je dat continu doen?”, vat CTO Yoav Landman de vraag samen.
Controls aanzetten in plaats van coderen
Het DORA-framework is de meest concrete toevoeging. AppTrust levert vooraf gemapte Policy as Code-regels voor vijf gebieden: ICT-change management, integriteit van broncode en componenten, kwetsbaarheids- en patchbeheer, resilience testing en incidentbeheer. Gebruikers zetten de controls die voor hen gelden simpelweg aan. Elke control is gekoppeld aan een DORA-eis. Een score laat zien welk deel van het framework actief is.
Repo-Level Policies gaan een stap dieper. Teams stellen daarmee governance-regels in per repository, afhankelijk van het doel, de gevoeligheid of de levensfase van de artifacts. Alleen goedgekeurde componenten komen zo de pipeline in.
En dan de AI Verification Policies. Teams schrijven policies in gewone taal, waarna LLM’s elke release daartegen beoordelen. Zo checkt het systeem bijvoorbeeld of een pull request overeenkomt met het oorspronkelijke Jira-ticket. Elke beoordeling levert ondertekend bewijs op. Het doel is om te voorkomen dat agents of ontwikkelaars code buiten de scope, ongeautoriseerde backdoors of niet-goedgekeurde architectuurwijzigingen introduceren.
Ook de Cyber Resilience Act krijgt aandacht. AppTrust monitort uitgebrachte componenten continu op kwetsbaarheden, genereert per release een SBOM en bewaart scangeschiedenis en herstelacties. Op basis daarvan kunnen teams een melding binnen 24 of 72 uur opstellen.
Het DORA-framework en de AI Verification Policies zijn per direct beschikbaar. Het JFrog-platform draait als SaaS bij de grote cloudproviders of self-managed, met Artifactory als centrale bron voor alle artifacts en het bijbehorende bewijs.
Tip: JFrog wil AI-agents in software supply chain beteugelen