Можно ли измерить безопасность в разработке продукта?

Да, можно. Причём вариантов, что замерять, немало:
🔹 количество обнаруженных уязвимостей в коде;
🔹 уязвимости в «проде» – работающем продукте;
🔹 время на устранение уязвимости в коде.

Наиболее зрелые компании внедряют программы Security Champions и повышают осведомлённость своих разработчиков в вопросах безопасности, а потом измеряют эффективность своих программ обучения.

Все неравнодушные к безопасности компании-разработчики что-то и как-то меряют. Но что именно и как – остаётся вопросом.

На скриншоте выше мы приоткрываем завесу, а за ней… 🥁 панель управления платформы безопасной разработки – то самое решение, про которое мы обещали рассказать в прошлом посте.

У платформы есть несколько существенных плюсов:
+ она наглядно показывает разработчикам насколько эффективна безопасность;
+ помогает сократить time-to-market безопасного продукта;
+ позволяет оценить риски использования сторонних опенсорс-компонентов в цикле разработки.

Ключевые метрики безопасной разработки обсудим в отдельном посте, а пока запоминаем аббревиатуру: ASOC.