❌ Нах*й безопасность

Наткнулся на книгу с многообещающим названием. Примерно эти слова регулярно читаю на лицах разработчиков, админов, поддержки и бизнеса на проектах по аудиту ИБ. Так что читал с упоением.

В книге тринадцать глав о том, как договариваться с безопасником, плюс словарь пассивной агрессии и готовые отмазки на все случаи жизни. Автор собрал просто лучшие практики:

🔺 Как использовать «Это же MVP» вместо модели угроз.
🔺 Pet-прод: как спрятать «демо-стенд» с клиентскими данными
🔺 Как не попасть в отчёт пентеста, правильно определив скоуп.
🔺 Почему пятница в 17:00 — идеальное время для деплоя.
🔺 Как перенести уязвимость в следующий спринт. Навсегда.
🔺 Протокол выживания при аудите

Некоторые тезисы из книги, которые зашли особенно сильно:
📌 Безопасник — это функция. С ним договариваются не как с коллегой, а как с погодой: учитывают, одеваются потеплее и планируют заранее.
📌 Скоуп-инжиниринг. До начала пентеста согласуй с пентестерами список «в скоупе» сервисов. Убедись, что твой сервис туда не попал. Используй формулировку: «этот сервис сейчас в активной миграции, пентестить бессмысленно». Миграция закончится через 18 месяцев
📌 «Legacy» — магическое слово, которое превращает любой говнокод в культурное наследие, которое опасно трогать. Используй, когда безопасник спрашивает, почему пароли лежат в открытом виде.
📌Священные заклинания. «Это MVP», «потом вынесем в отдельный эпик», «это временное решение». Работают на любой стадии.

Книга совсем небольшая, без воды и легко читается. В планах у ребят многообещающие бестселлеры: На✻уй Документация, На✻уй Тесты, На✻уй Ретро и На✻уй Легаси. Почитать можно здесь.
#book