安全和隐私必须被视为战略性的、全组织范围的能力，而不是由单个团队拥有的检查清单。目标是让安全路径成为简单路径，并按其业务影响成比例地管理风险。
为什么这很重要
text
FOUNDATIONS OF THE STRATEGY
- Risk-based: protect the highest-impact assets first
- Defense in depth: no single control is enough
- Shift left: security built into design and CI, not bolted on
- Privacy by design: minimize and govern data you collect
- Compliance as a baseline (GDPR, SOC 2), not the ceiling
- Clear incident response & ownership
让安全成为每个人的责任，配以一个中央赋能团队，而不是一个团队绕过的关卡。
具体示例
CTO建立一个小型安全团队，提供标准化的工具（secret scanning、SSO、CI中的自动检查），按敏感度对数据进行分类，并定期进行事件演练，以便安全与组织一起扩展，而不是成为瓶颈。