Celem jest zapobieganie możliwym do uniknięcia defektom i pomaganie osobom tworzącym zmianę zrozumieć i naprawić problemy, zanim zostaną osadzone w architekturze, wydaniu lub zależności operacyjnej.
Typowe przykłady obejmują wymagania bezpieczeństwa, modelowanie zagrożeń, przegląd bezpiecznego projektu, wskazówki dla deweloperów, przegląd równoległy, zautomatyzowane kontrole kodu i zależności oraz szybkie testowanie w przepływach pracy deweloperskich. To, co jest przesuwane w lewo, powinno być wybierane według użyteczności i wierności, a nie według tego, czy narzędzie może działać wcześnie.
Najważniejsze punkty
Wczesne decyzjeIdentyfikuj zasoby, przypadki nadużyć, granice zaufania, potrzeby prywatności, zależności i wymagania bezpieczeństwa, gdy projekty i wybory implementacyjne są jeszcze tanie do zmiany.
Informacja zwrotna dla deweloperówZapewniaj wykonalne standardy, przykłady, przegląd i zautomatyzowane kontrole blisko zmiany kodu lub konfiguracji, z jasnym właścicielstwem i ścieżkami dla wyjątków.
Pętla uczeniaUżywaj wyników produkcyjnych, incydentów, testów penetracyjnych i powtarzających się danych o defektach do poprawy wcześniejszych wymagań, wzorców projektowych, testów i szkoleń.
Istotne ograniczenieShift-left security nie czyni zbędną późną walidacją, niezależnym przeglądem, ochroną runtime, monitorowaniem, reagowaniem ani odtwarzaniem. Część zachowań i ryzyk pojawia się tylko w środowiskach zintegrowanych lub operacyjnych, a wczesne kontrole mogą być niekompletne lub błędne.