Безопасность должна быть частью архитектуры и эксплуатации системы, а не чек-листом, добавленным перед запуском.
Запросить проверку безопасности и отказоустойчивостиБезопасность, добавленная прямо перед запуском, обычно улавливает лишь то, что покрывает чек-лист, — она редко замечает решение о контроле доступа, принятое восемь месяцев назад, или секрет, всё ещё лежащий в конфигурационном файле раннего прототипа. Мы встраиваем безопасность в архитектуру с самого начала: харденинг инфраструктуры, идентификацию и контроль доступа, управление секретами, а также проверку зависимостей и цепочки поставок — как часть того, как проектируется система, а не как отдельный аудит в конце. Отказоустойчивость получает то же отношение — стратегия резервного копирования, аварийное восстановление и готовность к инцидентам планируются заранее, а не импровизируются во время сбоя. Мы уже придерживаемся этого стандарта сегодня на инфраструктуре, которой управляем для клиентов; Инженерия безопасности и отказоустойчивости делает ту же дисциплину доступной как прямое сотрудничество для систем, которые мы не обязательно строили сами.
Мы изучаем текущую архитектуру, контроль доступа и зависимости на предмет реальной уязвимости.
Мы закрываем пробелы — инфраструктура, секреты, идентификация и зависимости.
Мы разрабатываем планы резервного копирования, аварийного восстановления и реагирования на инциденты.
Мы отрабатываем планы реагирования на инциденты и восстановления до того, как они реально понадобятся.
Мы поддерживаем актуальность состояния безопасности по мере развития системы и её зависимостей.
Наши программные продукты и услуги соответствуют самым высоким стандартам качества.
Мы никогда не поступаемся своими убеждениями, ценностями и принципами в сложных ситуациях. Мы поступаем правильно, а не легко.
Мы говорим и действуем честно. Мы верим, что честность создаёт доверие, а доверие — основа любых долгосрочных отношений.
Нет — это доступно как прямое сотрудничество для систем, созданных другими командами или подрядчиками.
Мы не заявляем о сертификатах, которых у нас нет, — мы инженерная команда, применяющая дисциплину безопасности к архитектуре и эксплуатации, а не аудитор соответствия.
Через контролируемые учения по восстановлению сначала в непродакшен-окружениях, а затем точечные тесты в продакшене там, где это уместно.
Оценка отталкивается от того, что уже существует, — мы строим поверх существующих мер, а не заменяем их полностью.