Security to praca
Wiekszosc zespolow nie ignoruje security dlatego, ze go nie lubi. Ignoruje je, bo nie ma wlasciciela, kryteriow akceptacji i widocznego miejsca w systemie delivery.
Design smell: temat security, ktory pojawia sie dopiero przy release, zwykle oznacza blad planowania, nie testowania.
Zamien ryzyka w elementy backlogu
Dobry backlog security mapuje konkretne ryzyka na prace inzynierska: testy autoryzacji, rotacje sekretow, skan zaleznosci, rate limiting, audit events i bezpieczne domyslne ustawienia.
ryzyko: dostep cross-tenant
kontrola: zapytania scoped per tenant i testy autoryzacji
sygnal: audit event dla uprzywilejowanego odczytu
review: checklist w PR i notatka threat modelSecurity definition of done
Zespol potrzebuje krotkiego standardu, ktory miesci sie w normalnym delivery. Ma nazwac kontrole i sygnaly pozwalajace przejrzec system po wdrozeniu.
- Sciezka autoryzacji pokryta testami
- Nowe sekrety opisane i rotowalne
- Audit event dla akcji uprzywilejowanej
- Dashboard operacyjny dla ryzykownego flow