Kaj je varni razvojni cikel (SDLC)?

Question

Accepted Answer

**Varni razvojni cikel (SDLC)** vključuje varnost v vsako fazo razvoja programske opreme — od zahtev skozi načrtovanje, pisanje kode, testiranje, uvajanje in vzdrževanje — namesto da bi jo obravnaval kot dodatek. Воsebuje načelo »shift left« in »varnost po načrtu«.

## Varnost skozi razvojni cikel

```text
Integrate security into EVERY phase (not just at the end):
  REQUIREMENTS → define security requirements; consider compliance
  DESIGN → THREAT MODELING; secure architecture; security review of the design
  DEVELOPMENT → secure coding practices; code review; SAST in the IDE/CI
  TESTING → security testing (SAST, DAST, dependency scanning, pen testing)
  DEPLOYMENT → secure configuration; secrets management; hardening
  MAINTENANCE → patching, monitoring, incident response, ongoing scanning
→ "shift left" — address security EARLY (cheaper than fixing after a breach).
```

## Zakaj je shift left pomemben

```text
The cost to fix a security flaw GROWS dramatically the later it's found:
  caught in design/code (cheap) << found in testing << exploited in PRODUCTION
  (very expensive: breach, damage, emergency response)
→ Building security in early (vs bolting it on / fixing breaches) is far more effective
  and cheaper.
```

## Prakse, ki podpirajo SDLC

```text
✓ Security TRAINING for developers; secure coding standards
✓ Automated security in CI/CD (SAST, dependency scanning, secret scanning) → catch per change
✓ Threat modeling and security review at design; security testing before release
✓ Security CHAMPIONS in teams; security as part of "definition of done"
✓ Continuous monitoring, patching, and improvement in production
→ Make security a continuous, integrated part of how software is built (DevSecOps).
```

## Zakaj je to pomembno

Razumevanje varega razvojnega cikla je dragoceno znanje višje ravni, ker predstavlja **zrelo, učinkovito pristop k vključevanju varnosti skozi celoten razvoj**, namesto da bi jo obravnaval kot dodatek, zato je pomembno za sistematično gradnjo varnih programskih rešitev.

SDLC vključuje varnost v **vsako fazo** — zahteve (opredelitev varnostnih potreb), načrtovanje (modeliranje groženj, varnostna arhitektura), razvoj (varna programiranje, SAST), testiranje (varnostno testiranje), uvajanje (varna konfiguracija, utrjevanje), in vzdrževanje (popravki, spremljanje, odzivanje na incidente) — воsebuje **»varnost po načrtu«** in **»shift left«**. Razumevanje te celovite integracije je ključni vpogled: varnost ni ena faza ali dodatek, ampak neprekinjiva skrb, tkana skozi celoten razvojni cikel.

Razumevanje **zakaj je shift left pomemben** — da stroški popravka varnostne napake rastejo dramatično, čim позneje jo najdemo (poceni v načrtovanju/kodi, drago, ko jo izkoriščajo v produkciji z vdorom in nujo odziva) — zagotavlja prepričljivo ekonomsko in učinkovito utemeljitev za obravnavo varnosti na začetku, namesto da bi se odzivali na vdore.

Razumevanje **podpornih praks** — varnostno usposabljanje in standarde za razvijalce, **avtomatizirano varnost v CI/CD** (SAST, skeniranje odvisnosti, skeniranje skrivnosti, ki prestrezajo težave na spremembo), modeliranje groženj in varnostni pregled pri načrtovanju, varnostno testiranje pred izdajo, varnostne prvake in varnost v »definiciji dokončanosti«, ter neprekinjeno spremljanje produkcije in popravke — odraža, kako se SDLC izvaja v praksi (pogosto se imenuje DevSecOps).

To predstavlja zreli pristop k varnosti, ki ga sprejemajo učinkovite organizacije.

Ker zahteva varno gradnjo programske opreme vključevanje varnosti skozi celoten razvoj (ne kot dodatek) in je pristop SDLC/shift-left bistveno učinkovitejši in cenejši od reaktivne varnosti, ter ker razumevanje tega odraža zrelo varnostno prakso, je razumevanje varega razvojnega cikla dragoceno znanje višje ravni — sistematičen, integriran pristop k gradnji varne programske opreme, воsebuje varnost po načrtu in shift-left, ter odraža celovito varnostno zrelost (DevSecOps), ki se pričakuje od seniornih vlog, ki oblikujejo, kako ekipe gradijo programsko opremo varno skozi celoten razvojni proces.