Security by Design / DevSecOps

La sécurité trouvée à la fin d'un projet est coûteuse à corriger et facile à négliger sous la pression des délais ; la sécurité intégrée à la livraison est simplement la manière dont le travail se fait. Je la décale à gauche — threat modelling à la conception, puis SAST, analyse des dépendances et des conteneurs à chaque changement en CI — pour que les vulnérabilités apparaissent comme des contrôles en échec que l'auteur corrige en quelques minutes, et non comme des constats dans un audit des mois plus tard. Des valeurs par défaut sûres et des guardrails font de la voie sûre la voie par défaut, et j'investis dans la montée en compétence des développeurs pour que le jugement de l'équipe s'améliore au lieu de dépendre de moi éternellement.