レトロスペクティブサマリー

レトロスペクティブ

このページには、Secure::static analysis グループが実施したレトロスペクティブのエグゼクティブサマリーが掲載されています。これらのサマリーの目的は、レトロスペクティブのプロセスで得られた教訓を外部に共有することです。

社内のレトロスペクティブドキュメントへのアクセスは、チームと直接の関係者のみに限定されています。

このマイルストーンでは、各種 SAST アナライザーから semgrep ベースのアナライザーへの機能の非推奨化と移行に焦点を当てました。

このマイルストーンでは、以下の懸念事項が（順不同で）提起されました:

議論の中で提起された具体的な改善策:

このマイルストーンでは、IDE での SAST とさまざまなメンテナンスタスクに焦点を当てました。レトロスペクティブの議論では、以下の点が提起されました:

週次チームミーティングの形式が非効率である。2 回目のミーティングは 1 回目と同じ議論を繰り返すことが多い。これに対処するため、ミーティングの形式を変更し、次のタイムゾーンでさらに議論が必要な「キャリーオーバー」アイテムを含めることにした。それ以外のアイテムはすべて読み取り専用としてマークされる。
脆弱性の処理に関するポリシーが不明確である。これを改善するため、必要な手順を詳述したランブックを作成する。

これらのマイルストーンでは、チームは IDE での SAST の作業を継続しました。レトロスペクティブは 1 つの主要な項目に焦点を当てました:

ブロッカーをどのように提起し、どのように対処すべきかについて議論しました。状況をより適切に反映できるよう、スタンダップの形式をより簡潔にし、引き続き状況を監視することにしました。