Zanim cokolwiek zaproponujemy, opisujemy stan, który zwykle zastajemy.
Bezpieczeństwo pojawia się na końcu: przed wydaniem, przed audytem albo po pytaniu klienta. Wtedy każda znaleziona rzecz jest droga, bo trzeba cofać gotową pracę. Zespół traktuje ją jako przeszkodę, nie jako część roboty.
Zakres ustalamy po diagnozie. Rzadko wchodzą wszystkie cztery elementy naraz.
Wchodzimy tam, gdzie oprogramowanie faktycznie powstaje.
Zaczynamy od zobaczenia, jak Wasz zespół naprawdę pracuje — nie jak to wygląda na diagramie w dokumentacji. Dopiero wtedy ustalamy, w których punktach procesu kontrola bezpieczeństwa ma sens i nie zablokuje dowożenia. Mechanizmy wpinamy w narzędzia, których zespół już używa, i dostrajamy je tak długo, aż przestaną generować fałszywe alarmy — bo kontrola, której nikt nie czyta, jest gorsza niż jej brak. Na końcu przekazujemy proces zespołowi razem z dokumentacją, żeby utrzymał go bez nas.
Sprawdzamy, jak naprawdę powstaje u Was oprogramowanie — od pomysłu do wydania. Nie jak wygląda na diagramie.
Ustalamy, w których punktach procesu kontrola bezpieczeństwa ma sens i nie zablokuje pracy.
Wpinamy mechanizmy w istniejące narzędzia zespołu. Tak długo, aż przestają generować fałszywe alarmy.
Zostawiamy proces, który zespół rozumie i utrzyma bez nas.
Zakres ustalamy po rozmowie i diagnozie. Mniejsze wdrożenia zamykają się w kilku tygodniach, większe dzielimy na etapy, żeby efekt był widoczny po pierwszym.
Zwykle nie do całego. W większości przypadków wystarczy dostęp do konfiguracji procesu budowania i ustawień organizacji. Zakres ustalamy pisemnie przed startem.
Tak, ale nie na pełen etat. Potrzebujemy kontaktu z osobą, która zna system, i przeglądu naszych zmian. Reszta jest po naszej stronie.
Wpinamy się w to, co u Was działa. Wymiana narzędzia to najdroższy i najrzadziej potrzebny sposób poprawy bezpieczeństwa.
Nie musicie. Pracujemy na standardach i narzędziach, które Wasz zespół zna albo szybko pozna — nie na autorskiej metodyce, którą rozumiemy wyłącznie my. Wszystko jest udokumentowane i przekazane.
Tak wpinamy kontrole, żeby działały w tle. Jeśli któraś zaczyna blokować pracę, dostrajamy ją albo zmieniamy jej miejsce w procesie.