امنیت اگر «فاز آخر» باشد، یا دیر میشود یا سطحی. Secure SDLC یعنی کنترلهای کوچک در هر مرحله.
کشف و طراحی
- داده حساس چیست؟
- چه نقشهایی به چه چیزی دسترسی دارند؟
- سطح تهدید واقعبینانه استارتاپ چیست؟
توسعه
- secret در git ممنوع
- dependency scanning در CI
- code review با نگاه امنیتی روی auth و upload
تست
- تستهای منفی (دسترسی غیرمجاز)
- اسکن پایه OWASP وابسته به استک
- rehearsal حادثه: اگر کلید لو رفت چه میکنید؟
لانچ
- least privilege روی سرور
- بکاپ و بازیابی تستشده
- کانال گزارش باگ
امنیت خوب محصول را متوقف نمیکند؛ مسیر اشتباه را زود قطع میکند.