セキュリティチャンピオン(Security champion)
開発チームの中で、セキュリティに余分な責任を負う開発者。中央のセキュリティチームと開発者の橋渡し役で、少人数のセキュリティチームが全チームをレビューしきれない問題への解である。
少人数の中央セキュリティチームが、すべての開発チームに入り込み、全コードを見て、あらゆる設計判断を拾うことは不可能だ。そこで各チームに関心のある開発者を一人任命し、訓練したうえで推進役にする。その人が良い習慣を広め、セキュリティ上重要な変更を最初にレビューし、「セキュリティは考えた?」という問いを早い段階で投げ、難しい問題は中央チームに上げる。
効果は、セキュリティが最後に待ち構える関門ではなく、チームに組み込まれる(シフトレフト、つまり開発の早い段階への前倒し)ことと、知識が自然に広がることだ。中央チームは取り締まる警察ではなく、支援し教える存在になる。大きな開発組織でセキュリティ文化を広げるための、基本的な組織モデルである。