Secure Development Lifecycle (SDLC) भनेको के हो?

Question

Accepted Answer

A **Secure Development Lifecycle (SDLC)** ले सफ्टवेयर विकासको प्रत्येक चरणमा सुरक्षा समावेश गर्दछ — आवश्यकताबाट डिजाइन, कोडिङ, परीक्षण, तैनाती, र रखरखावसम्म — यसलाई पछिल्लो विचार मान्न सट्टै। यो "shift left" र "security by design" को प्रतिनिधित्व गर्दछ।

## जीवनचक्र भर सुरक्षा

```text
Integrate security into EVERY phase (not just at the end):
  REQUIREMENTS → define security requirements; consider compliance
  DESIGN → THREAT MODELING; secure architecture; security review of the design
  DEVELOPMENT → secure coding practices; code review; SAST in the IDE/CI
  TESTING → security testing (SAST, DAST, dependency scanning, pen testing)
  DEPLOYMENT → secure configuration; secrets management; hardening
  MAINTENANCE → patching, monitoring, incident response, ongoing scanning
→ "shift left" — address security EARLY (cheaper than fixing after a breach).
```

## किन shift left गर्ने

```text
The cost to fix a security flaw GROWS dramatically the later it's found:
  caught in design/code (cheap) << found in testing << exploited in PRODUCTION
  (very expensive: breach, damage, emergency response)
→ Building security in early (vs bolting it on / fixing breaches) is far more effective
  and cheaper.
```

## SDLC लाई समर्थन गर्ने अभ्यास

```text
✓ Security TRAINING for developers; secure coding standards
✓ Automated security in CI/CD (SAST, dependency scanning, secret scanning) → catch per change
✓ Threat modeling and security review at design; security testing before release
✓ Security CHAMPIONS in teams; security as part of "definition of done"
✓ Continuous monitoring, patching, and improvement in production
→ Make security a continuous, integrated part of how software is built (DevSecOps).
```

## किन यो महत्त्वपूर्ण छ

Secure Development Lifecycle बुझ्न वरिष्ठ-स्तरको मूल्यवान ज्ञान हो किनकि यो **विकासको समग्रमा सुरक्षा समावेश गरेको परिपक्व, प्रभावकारी दृष्टिकोण** को प्रतिनिधित्व गर्दछ बजाय यसलाई पछिल्लो विचार मान्ने, त्यसैले यो सुरक्षित सफ्टवेयर व्यवस्थित रूपमा निर्माण गर्न महत्त्वपूर्ण छ।

एक SDLC सुरक्षालाई **प्रत्येक चरणमा** समावेश गर्दछ — आवश्यकताएँ (सुरक्षा आवश्यकताएँ परिभाषित गर्दै), डिजाइन (threat modeling, सुरक्षित आर्किटेक्चर), विकास (सुरक्षित कोडिङ, SAST), परीक्षण (सुरक्षा परीक्षण), तैनाती (सुरक्षित कन्फिगरेसन, hardening), र रखरखाव (patching, निगरानी, incident response) — **"security by design"** र **"shift left"** को प्रतिनिधित्व गर्दै। यो व्यापक एकीकरण बुझ्न मुख्य अन्तर्दृष्टि हो: सुरक्षा एकल चरण वा add-on नभई सम्पूर्ण जीवनचक्रमा बुनिएको सतत चिन्ता हो।

**किन shift left महत्त्वपूर्ण छ** बुझ्न — कि सुरक्षा त्रुटि सुधार गर्न लागत नाटकीय रूपमा बढ्दछ यो जति पछि पत्ता लाग्दछ (डिजाइन/कोड मा सस्तो, उत्पादनमा शोषण भएपछि महँगो साथ breach र आपातकालीन प्रतिक्रिया) — सुरक्षालाई शुरुवातमा सम्बोधन गर्न साथ्काउने आर्थिक र प्रभावकारिता तर्क प्रदान गर्दछ rather than breaches को प्रतिक्रियाशील रूपमा।

**समर्थन अभ्यास** बुझ्न — विकाशकर्ताहरूको लागि सुरक्षा प्रशिक्षण र मानकहरू, **CI/CD मा स्वचालित सुरक्षा** (SAST, dependency scanning, secret scanning प्रति परिवर्तन समस्या समात्दै), डिजाइन र सुरक्षा समीक्षामा threat modeling, रिलिज अघि सुरक्षा परीक्षण, सुरक्षा चैम्पियनहरू र "definition of done" मा सुरक्षा, र निरन्तर उत्पादन निगरानी र patching — एक SDLC कसरी अभ्यासमा लागू गरिन्छ भनेर प्रतिफलित गर्दछ (प्राय DevSecOps भनिन्छ)।

यो सुरक्षा को परिपक्व दृष्टिकोण हो जुन प्रभावकारी संस्थाहरु अवलम्बन गर्छन्।

सुरक्षित सफ्टवेयर प्रभावकारी रूपमा निर्माण गर्न सुरक्षालाई विकास भर एकीकृत गर्न आवश्यक छ (add-on को रूपमा नभई) र SDLC/shift-left दृष्टिकोण प्रतिक्रियाशील सुरक्षा भन्दा अधिक प्रभावकारी र सस्तो छ, र यो बुझ्न परिपक्व सुरक्षा अभ्यास को प्रतिफलन हो, Secure Development Lifecycle बुझ्न वरिष्ठ-स्तरको मूल्यवान ज्ञान छ — सुरक्षित सफ्टवेयर निर्माण को व्यवस्थित, एकीकृत दृष्टिकोण, security-by-design र shift-left को प्रतिनिधित्व गर्दै, र व्यापक सुरक्षा परिपक्वता (DevSecOps) को प्रतिफलन जुन वरिष्ठ भूमिकाहरू को लागि अपेक्षित छ जो टीमहरू कसरी विकास प्रक्रिया भर सुरक्षित रूपमा सफ्टवेयर निर्माण गर्छन् भनेर आकार दिन्छन्।