Александр Трифанов, руководитель направления Application Security в Авито, опубликовал материал о security gates. Он почти десять лет занимается пентестами и созданием решений для продуктовой безопасности. В статье он объясняет, что такое security gates, зачем они нужны и как выстроить проверки так, чтобы разработчики не проклинали команду безопасности.
Security gates встраиваются в процесс разработки как обязательные точки контроля до выката кода. Трифанов делится подходом, при котором безопасность воспринимается не как барьер, а как часть рабочего цикла. Акцент сделан на практической настройке проверок, а не на абстрактных требованиях.
Командам, которые внедряют DevSecOps или сталкиваются с сопротивлением разработчиков, стоит изучить описанный опыт Авито. Ключевой вопрос — как сделать гейты предсказуемыми и понятными, чтобы они защищали продукт, не тормозя релизы и не разрушая доверие между отделами.