Поговорим о планировании внедрения DevSecOps
DevSecOps часто воспринимают как набор инструментов, которые можно просто добавить в CI/CD. На практике же это не только техника, но и изменение процессов, ролей, метрик и подхода к безопасной разработке. При внедрении DevSecOps регулярно можно увидеть одну и ту же картину: компания решает «внедрить DevSecOps», покупает SAST-инструмент, встраивает его в пайплайн — и через месяц разработчики его ненавидят, безопасники игнорируют отчёты, а скорость релизов падает на 40%. Почему? Неужели современные SASTрешения так плохи?
