‏دراپ‌باکس با MCP و Dash شکاف امنیتی طراحی تا کد رو می‌بنده

به گفتهٔ نویسنده‌ها، تو خیلی از سازمان‌ها یه روال آشنا هست: یه فیچر جدید ریویو امنیتی می‌شه، یه مدل تهدید (سندی که ریسک‌ها و محافظت‌های لازم رو مشخص می‌کنه) نوشته می‌شه و سر راهکارها توافق می‌شه؛ بعد توسعه شروع می‌شه. اما وقتی کار به کدریویو می‌رسه، اون نیازمندی‌های امنیتی اولیه دیگه تو جریان کار دیده نمی‌شن، چون مدل تهدید معمولاً تو یه سند یا سیستم جدا از خود کد زندگی می‌کنه.

تو این مقاله اومده که این جدایی یه مشکل واقعیه. دراپ‌باکس رابطهٔ بین مدل‌های تهدید و PRهایی که فیچرها رو پیاده می‌کنن بررسی کرده و دیده فقط ۱۲٪ از PRها به ریویو طراحی و مدل تهدید اصلی‌شون لینک دارن. بدتر از اون، فاصلهٔ زمانی زیاده: بیشتر از نصف PRها (۵۴٪) بیشتر از یه ماه بعد از ثبت ریویو باز شدن، با میانهٔ حدود پنج هفته و دنباله‌ای که تا بیشتر از ۱۱ ماه کش می‌آد.