# Etablerade ett kontinuerligt säkerhetsprogram — kodskanning, DAST, kontroller av beroenden och sårbarheter, generering av SBOM, skanning efter hemligheter och SHA‑låsta actions — vid sidan av 21 skriftliga säkerhetsgranskningar. 2025 **Situation.** Säkerhetsarbetet i applikationen — innehållssäkerhetspolicyn, databasrollerna med minsta möjliga behörighet, de upprepade behörighetskontrollerna — skyddar plattformen under körning. Inget av det säger något om det som levereras: om ett beroende fick en känd sårbarhet i tisdags, om en inloggningsuppgift committades och sedan togs bort igen, eller om en action från tredje part som är låst till en tagg i tysthet har blivit en helt annan kodbit. **Uppgift.** Säkerheten i leveranskedjan och i koden måste vara kontinuerlig och automatiserad, så att dess tillstånd var ett byggresultat och inte en åsikt. **Handling.** Statisk analys körs med CodeQL, dynamisk testning mot en körande instans med ZAP, och Go‑beroenden skannas med govulncheck. En materialförteckning för programvaran genereras vid varje bygge med Anchore och Syft, så att det som levererades är känt i stället för rekonstruerat i efterhand. Gitleaks söker igenom historiken efter inloggningsuppgifter. Varje GitHub Action från tredje part är låst till en commit‑hash i stället för en tagg, vilket är den oglamorösa skyddsåtgärd som hindrar att någon flyttar en tagg bakom ryggen på en. Dependabot bevakar 6 ekosystem. Vid sidan av automatiseringen finns 21 skriftliga säkerhetsgranskningar, däribland en hotmodell och en bedömning mot OWASP:s testguide — eftersom skannrar hittar de kategorier av problem som någon redan har beskrivit, och en hotmodell är där de problem som är specifika för den här plattformen får ett namn. **Resultat.** En sårbarhet som offentliggörs uppströms visar sig som ett bygge som fallerar i stället för som en nyhet. Mängden fynd är den verkliga kostnaden — en skanner som rapporterar allt lär folk att ignorera den, och att hålla signalen användbar kräver löpande triagering i stället för en engångsinstallation. --- - Roll: Säkerhetsingenjör - Kategorier: [DevOps](https://engineer.company/sv/categories/devops/), [Automatisering och CI/CD](https://engineer.company/sv/categories/automation/), [Tillförlitlighet och säkerhetskopiering](https://engineer.company/sv/categories/reliability/), [Säkerhet](https://engineer.company/sv/categories/security/), [Dokumentation](https://engineer.company/sv/categories/documentation/) - Tjänster: [DevOps och CI/CD‑automatisering](https://engineer.company/sv/services/devops-cicd/), [Säkerhet och behörighetshantering](https://engineer.company/sv/services/security-access/), [Teknisk dokumentation](https://engineer.company/sv/services/technical-documentation/)