Security champion
Sviluppatore all'interno di un team di prodotto che si assume una responsabilità in più sulla sicurezza: un ponte tra il team centrale di sicurezza e chi sviluppa. È la risposta al fatto che il team di sicurezza non potrà mai rivedere da solo ogni squadra.
Il problema: un piccolo team centrale non può essere in ogni gruppo di sviluppo, rivedere tutto il codice e cogliere ogni scelta progettuale. I security champion risolvono la scalabilità: in ogni team si nomina (e si forma) uno sviluppatore interessato come referente per la sicurezza, che diffonde buone pratiche, fa una prima revisione delle modifiche sensibili, pone presto la domanda «ci abbiamo pensato, alla sicurezza?» e porta le questioni difficili al team centrale. Il vantaggio: la sicurezza entra nei team («shift left», cioè presto nello sviluppo) invece di essere un collo di bottiglia alla fine, e la conoscenza si diffonde in modo organico. Il team centrale diventa un facilitatore e un formatore, non un corpo di polizia.