امنیت یک قابلیت نهایی نیست؛ مجموعهای از تصمیمها و کنترلهاست که باید در کل چرخه توسعه اجرا شوند.
احراز هویت و دسترسی
رمزنگاری گذرواژه، احراز هویت چندمرحلهای، محدودسازی تلاش ورود و اصل حداقل دسترسی خطر تصاحب حساب را کاهش میدهند.
امنیت داده و زیرساخت
رمزنگاری ارتباط، مدیریت امن اسرار، نسخه پشتیبان آزمودهشده و بهروزرسانی وابستگیها کنترلهای پایه هستند.
آزمون و واکنش به رخداد
اسکن خودکار، بازبینی کد، تست نفوذ دورهای و برنامه واکنش به رخداد باید مسئول و زمانبندی مشخص داشته باشند.