Несколько лет назад у меня был довольно забавный период.

Волевым решением я тогда отказался от участия в развитии вороха стартапов, успев к тому времени поработать в некотором их количестве. Однако "сарафан" продолжал работать и ко мне периодически приходили за помощью молодые и не очень ребята, которые хотели запустить очередной убер-космолёт. Я им вежливо отказывал в сотрудничестве, и тогда часть из них просто платила мне за разовую консультацию. Тогда я брал ту документацию, которая у них к этому времени была, изучал её и несколько часов мы общались.

Больше половины уходило расстроенными: мы выясняли, что стартап нежизнеспособен. Чаще всего не билась математика: один раз даже был случай, когда ребята, вылизав финмодель (!) и посчитав "точную" юнит-экономику, просто забыли, что после определённого (небольшого) порога запросы к гугл-картам становятся платными.

Но математика становилась причиной грусти этих ребят отнюдь не всегда. Частенько встречались и те, кто просто не учёл какой-нибудь пограничный пользовательский сценарий. Открывая тем самым невероятные возможности для фрода, парсинга, компрометации и других приятных штук. Вдруг выяснялось, что для исправления потенциальных уязвимостей нужно выделять дополнительное количество ресурсов (в лучшем случае), а то и вообще менять модель монетизации.

Сейчас те времена прошли, но осадочек остался. И вот сегодня я решил набросать коротенькую статью про то, что информационная безопасность продукта начинает формироваться ещё на этапе его дизайна.