c2.20 Envolver as equipes de segurança cedo no desenvolvimento
As equipes de segurança e de desenvolvimento devem trabalhar juntas desde o primeiro dia, para que as aplicações sejam projetadas pensando em segurança em vez de acrescentá-la logo antes do lançamento.
Guia de implementação
Leve a segurança para a fase de design
As aplicações são construídas de forma segura quando as equipes de segurança se envolvem cedo —durante o design e o primeiro protótipo— e não um minuto antes da implantação em produção. Criticar os desenvolvedores tarde gera atrito, não uma relação de trabalho. Planeje as proteções de que cada aplicação precisa desde o início e faça a equipe de segurança ser fácil de contatar pelos desenvolvedores.
Torne a colaboração proativa
- Inclua um representante de segurança nas decisões de arquitetura e design.
- Forneça orientação de boas práticas de segurança aos desenvolvedores cedo, antes de o código ser escrito.
- Faça revisões de segurança das aplicações com bastante antecedência ao lançamento, não no último minuto.
Relacionado
Esta base cresce para Security Champions e DevSecOps em fases posteriores.
Como validar
- Sua equipe de segurança trabalha com os desenvolvedores de forma proativa ou reativa?
- Um representante de segurança participa da fase de design e das decisões de arquitetura?
- A segurança fornece orientação de boas práticas cedo e faz revisões bem antes do lançamento?
- A equipe de segurança é fácil de contatar para as dúvidas dos desenvolvedores?
Ameaças atendidas
- Quando a segurança se envolve tarde, as vulnerabilidades chegam à produção porque não sobra tempo para remediá-las; e as aplicações web expostas se tornam um ponto de entrada para adversários.