Безопасность: уязвимости рождаются в архитектуре

Роман Лебедь — security-архитектор Тинькофф. Его зоны — безопасная разработка, DevSecOps и внешний периметр. Команды создают средства оценки защищённости, входят в платформу Spirit и передают архитектурную экспертизу другим инженерам, а не замыкают все проверки на себе.

Главный сдвиг — от одинакового контроля каждого сервиса к безопасным платформенным компонентам и фокусу на критичных системах. Zero Trust уменьшает зависимость от границы сети, а security-архитектор на этапе дизайна помогает найти проблемы до реализации. Антипаттерны и решения собраны в Shift Left Security Book.

Чтобы экспертная команда не стала узким местом, ревью ограничивают по времени, двигаются короткими итерациями и переносят повторяемую экспертизу в код. R&D исследует задачи, которые пока не масштабируются вручную, а обучение даёт разработчикам инструменты для самостоятельной работы. Продуктовый подход связывает безопасность с ценностью и измеримым результатом.

Отдельно обсуждается профессия информационной безопасности и её пересечение с инженерными ролями. Требования к безопасному коду, инфраструктуре, секретам и администрированию встраиваются в развитие разных специалистов. Среди новых направлений — AI-помощник, который объясняет уязвимость и предлагает исправление, не ломающее бизнес-логику.