Развитие SAST-программы в Razorpay

Всем привет!

В статье описан путь, которые прошли и продолжают проходить ребята из Razorpay при реализации практики статического анализа исходного кода.

Началось все с того, что они решили выбрать какой инструмент им подойдет. Для этого они определили перечень критериев и… самое интересное, что «наличие встроенных правил для анализа» вообще никак не влияло на выбор целевого решения! Почему это так - описано в статье.

Далее – как обычно: как они настраивали, когда сканировали, как работали с командами. Схемы, графики, описания. Особенно хочется отметить, что в их случае top-down подход не сработал, а bottom-up дал первые результаты.

Также в статье есть интересный блок, посвященный «внутренней продаже услуги» как руководству, так и командам разработки.

В итоге, за год ребята прошли путь от 0 «подключенных» приложений до 200!!!