Comments 4
Есть идея более раннего и плотного включения Security Champions в цикл разработки. Называется continuous threat modelling. Уже на этапе обсуждения историй и фич Security Champions приучают команду задаваться вопросом «Что может пойти не так?», формулируя угрозы и требования безопасности, их компенсирующие. Помните, как в мультике про кота Леопольда мыши просили Золотую рыбку: «Мы хотим, чтобы мы летали» (история пользователя), а после реализации угрозы добавляли: «…и не падали» (требование безопасности)? В Agile эта техника называется behaviour-driven development. Сформированные требования после реализации историй и фич проверяются на приемке в Прод. Если какой-либо тест не прошел, фиксируется дефект. Соотношение количества дефектов к требованиям, а также время их устранения можно сделать показателями эффективности Security Champion и команды в целом.
Росбанк о Security Champions и интервью реальных сотрудников с этой ролью :
Security Champions: безопасность через мотивацию и бенефиты