Kas yra saugus kūrimo ciklas (SDLC)?

Question

Accepted Answer

**Saugus kūrimo ciklas (SDLC)** integruoja saugumą į kiekvieną programinės įrangos kūrimo fazę — nuo reikalavimų iki projektavimo, kodavimo, testavimo, diegimo ir priežiūros — o ne jį traktuoja kaip pagalvinį klausimą. Jis įkūnija "shift left" ir "security by design" principus.

## Saugumas visame cikle

```text
Integrate security into EVERY phase (not just at the end):
  REQUIREMENTS → define security requirements; consider compliance
  DESIGN → THREAT MODELING; secure architecture; security review of the design
  DEVELOPMENT → secure coding practices; code review; SAST in the IDE/CI
  TESTING → security testing (SAST, DAST, dependency scanning, pen testing)
  DEPLOYMENT → secure configuration; secrets management; hardening
  MAINTENANCE → patching, monitoring, incident response, ongoing scanning
→ "shift left" — address security EARLY (cheaper than fixing after a breach).
```

## Kodėl shift left svarbu

```text
The cost to fix a security flaw GROWS dramatically the later it's found:
  caught in design/code (cheap) << found in testing << exploited in PRODUCTION
  (very expensive: breach, damage, emergency response)
→ Building security in early (vs bolting it on / fixing breaches) is far more effective
  and cheaper.
```

## Praktikos, palaikančios SDLC

```text
✓ Security TRAINING for developers; secure coding standards
✓ Automated security in CI/CD (SAST, dependency scanning, secret scanning) → catch per change
✓ Threat modeling and security review at design; security testing before release
✓ Security CHAMPIONS in teams; security as part of "definition of done"
✓ Continuous monitoring, patching, and improvement in production
→ Make security a continuous, integrated part of how software is built (DevSecOps).
```

## Kodėl tai svarbu

Saugaus kūrimo ciklo supratimas yra vertingas aukštesniojo lygio žinios, nes jis yra **vykdyta, efektyvi saugumo integravimo į kūrimą strategija**, o ne jo traktavimas kaip pagalvinio klausimo, todėl jis svarbus sistemingam saugios programinės įrangos kūrimui.

SDLC integruoja saugumą į **kiekvieną fazę** — reikalavimus (saugumo poreikių nustatymas), projektavimą (grėsmių modeliavimas, saugi architektūra), kūrimą (saugus kodavimas, SAST), testavimą (saugumo testavimas), diegimą (saugi konfigūracija, sustiprinimas) ir priežiūrą (pataisymai, monitoringas, incidentų atsako valdymas) — įkūnydamas **"security by design"** ir **"shift left"** principus. Šio išsamaus integravimo supratimas yra esminis: saugumas nėra tik viena faza ar priedas, o nuolatinis dėmesys, persipynęs visą ciklą.

Supratimas apie **kodėl shift left svarbu** — kad saugumo klaidos ištaisymo kaina eksponentiškai didėja, kuo vėliau ji rasta (pigi projektavimo/kodavimo metu, brangi, kai ji išnaudojama dėl įsilaužimo ir skubios atsako procedūros gamyboje) — suteikia įtikinamą ekonominį ir efektyvumo pagrindą saugumui spręsti anksčiau nei reaguoti į saugumo pažeidimus.

Supratimas apie **palaikančias praktikas** — kūrėjų saugumo mokymas ir standartai, **automatizuotą saugumą CI/CD** (SAST, priklausomybės skenavimas, slaptų raktų skenavimas, surandantis problemas kiekvienoje keitimų versijoje), grėsmių modeliavimas ir saugumo peržiūra projektavimo metu, saugumo testavimas prieš leidimą, saugumo čempionai ir saugumas „pabaigtos darbo