Thời gian gần đây mình dồn phần lớn tâm sức cho DevSecOps — đưa bảo mật vào từng bước của vòng đời phần mềm thay vì chờ đến cuối mới đi vá. Mình tin vào tinh thần shift-left: lỗ hổng bắt càng sớm thì càng rẻ, và an toàn là việc của cả đội chứ không của riêng một người.

Mình đang viết một series DevSecOps tiếng Việt khá dài và bài bản — đi từ nền tảng (CVE, CWE, CVSS, threat modeling), qua các kỹ thuật kiểm thử (SAST, DAST, SCA, IAST, MAST, RASP), tới bảo mật secret, Infrastructure as Code, container, API và cả dây chuyền CI/CD. Mỗi bài đều có sơ đồ tự vẽ, ví dụ cụ thể và tình huống thực tế. Nếu bạn quan tâm mảng này, có thể đọc trọn bộ ở chuyên mục DevSecOps.