Кейс: построить Secure SDLC
Вопрос
Вы первый AppSec-инженер в компании с 30 продуктовыми командами. Как вы выстроите безопасную разработку за год?
Попробуйте сами
Ответьте вслух за 2 минуты, как на собесе. Потом сверьтесь с тезисами: что прозвучало, а что нет.
Показать ответ и разбор
Коротко
Что должно прозвучать в ответе
Оценка: инвентаризация сервисов, данных, текущих практик и инцидентов, приоритет по риску
Быстрые победы: сканер секретов, SCA, базовые безопасные настройки шаблонов
SAST с точными правилами и baseline, находки в PR
Security champions и обучение, моделирование угроз для новых крупных фич
Процесс: SLA по критичности, исключения, метрики
Внешняя проверка: пентест критичных систем, политика раскрытия, затем баунти
Что могут спросить следом
- Как вы оцените, что процесс работает?
- Как убедить руководство дать ресурсы командам?
Разбор
Образцовый ответ: «Один человек на 30 команд не может ревьюить всё, поэтому строю систему. Первый месяц: инвентаризация сервисов и данных, где персональные данные и деньги, какие были инциденты. Быстрые победы с низким шумом: сканер секретов и SCA в CI для всех, безопасные настройки в шаблоне нового сервиса. Затем SAST с небольшим набором точных правил, только новые находки блокируют, всё приходит комментарием в PR. Набираю security champions по одному на команду, учу их и вместе делаем моделирование угроз для крупных фич. Ввожу SLA по критичности и процесс исключений. Для критичных систем заказываю пентест, публикую security.txt, через год думаю о приватном баунти. Метрики: время исправления, доля сервисов со сканерами, повторяемость классов уязвимостей».
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.