Встраивают security testing window до major release, freeze scope, выделяют инженеров на быстрые fix, определяют go/no-go по critical. Для непрерывной доставки — риск-ориентированные точечные тесты на изменения + ежегодный полный.
Разбор
- Не начинайте pentest в день релиза.
- Feature flags для отключения рискованного.
- Параллельный staging идентичен.
- Коммуникация статуса findings daily.
Итог
Релиз и pentest планируют вместе: время на fix до go-live.