Уязвимость начинается с человека. Стратегия безопасности должна начинаться с этой же точки.

Для того, чтобы улучшить коммуникацию между командой разработки и командой безопасности, OWASP предложила ролевую модель Security Champions. Сотрудник команды разработки, который заинтересован в безопасности продукта, является единой точкой контакта по всем security-вопросам команды.

Чтобы сократить время исправления обнаруженных уязвимостей в продуктах компании, где из 29000 сотрудников половина - это разработчики и всего 12 экспертов продуктовой безопасности, мы решили внедрить программу подготовки security-чемпионов.

За основу взяли руководство “Security Champions Playbook”, которое описывает основные шаги для создания чемпионской программы независимо от размера компании и зрелости существующих процессов безопасности.

Итог: 2 недели, 2 страны, 3 города, 4 сессии тренинга по безопасности приложений, 113 участников из всех команд разработки. Каждый из них взял на себя ответственность за свой код.