Klient

Międzynarodowa firma e-commerce działająca w modelu omnichannel (własna platforma web, aplikacja mobilna, integracje z marketplace’ami), obsługująca kilka milionów użytkowników miesięcznie. Organizacja rozwijała produkt w modelu agile, z kilkoma równoległymi zespołami developerskimi oraz rozbudowanym środowiskiem CI/CD w chmurze.

Wyzwanie 

Dynamiczne tempo rozwoju produktu powodowało, że bezpieczeństwo aplikacyjne było traktowane reaktywnie. Testy bezpieczeństwa wykonywano nieregularnie, a odpowiedzialność za secure coding była rozproszona między zespołami developerskimi.

Zidentyfikowane ryzyka obejmowały:

• brak formalnego procesu threat modelingu na etapie projektowania funkcjonalności,
• podatności wykrywane dopiero po wdrożeniu na produkcję,
• brak spójnego podejścia do SAST/DAST i zarządzania zależnościami open source,
• rosnące wymagania compliance (PCI DSS, ochrona danych osobowych).

Firma potrzebowała doświadczonego eksperta Application Security, ale nie była gotowa na długotrwały proces rekrutacji na stanowisko stałe.

Rozwiązanie 

W modelu staff augmentation dostarczyliśmy jednego Senior Application Security Engineera, który został włączony bezpośrednio do zespołu technologicznego klienta.

Profil eksperta obejmował:

• ponad 7 lat doświadczenia w application security,
• praktykę w secure SDLC, threat modelingu i code review,
• znajomość narzędzi takich jak BlackDuck, Nexus IQ, OWASP ZAP, Fortify i SonarQube,
• doświadczenie z DevSecOps (CI/CD, Docker, Kubernetes),
• praktyczne stosowanie standardów OWASP i NIST.

Zakres działań w projekcie:

• integracja security w całym cyklu wytwarzania oprogramowania (shift-left),
• wdrożenie i standaryzacja procesów SAST, DAST oraz skanowania zależności,
• prowadzenie warsztatów threat modeling dla zespołów produktowych,
• wsparcie w analizie i obsłudze incydentów bezpieczeństwa aplikacyjnego,
• opracowanie wytycznych secure coding oraz szkolenia dla developerów,
• uporządkowanie wymagań compliance w kontekście aplikacji web i mobile.

Ekspert pełnił rolę łącznika między zespołami developmentu, DevOps i security, budując kulturę security-first bez spowalniania roadmapy produktowej.

Wnioski

• 45% redukcja liczby krytycznych podatności wykrywanych na etapie produkcyjnym
• Skrócenie czasu remediacji podatności (MTTR) o 40%
• Wdrożenie formalnego procesu threat modelingu dla wszystkich nowych funkcjonalności
• Uporządkowany i mierzalny proces DevSecOps zintegrowany z pipeline CI/CD

Klient wzmocnił bezpieczeństwo aplikacyjne bez tworzenia osobnego działu AppSec, ograniczył ryzyko incydentów oraz zwiększył dojrzałość organizacji w obszarze secure software development.