抛开口号谈零信任
零信任是一连串朴实的工作：先做身份，再做设备状态、网络分段和日志，并提前面对口号没有提到的代价。
洞察
来自一线的笔记。
关于安全、软件、集成和云平台的实用文章，写给那些要把事情真正做成的人。
渗透测试能告诉你什么，不能告诉你什么
渗透测试是一次有时限的抽样检查。本文讲如何划定范围、如何批判地阅读报告，以及如何用好复测。
安全事件的第一个小时
第一个小时的成败取决于事先准备：谁有权决定、如何保全证据、如何沟通，以及哪些事可以放一放。
工程师需要了解的《2020年隐私法》
新西兰《隐私法》对系统设计意味着什么：收集、保留、查阅、泄露通报、境外披露与IPP 3A。
不靠推倒重写，逐步改造遗留系统
一块一块地替换旧系统：用特征测试固定现有行为，用绞杀者模式逐步迁移流量。
软件供应链的基本功
你交付的代码大多出自他人之手。锁定依赖、生成SBOM、缩短CI凭据寿命，并在部署时验证制品。
把集成当作产品来做
集成总是坏在没人负责的边界上。要给它契约、幂等、有节制的重试、面向业务的监控和明确的负责人。
上云之前要回答的六个问题
迁移工作负载之前，先把这六个问题的答案写下来，趁代价还小，发现那些昂贵的意外。
云成本控制，别只做样子
控制云成本靠的是责任归属和单位经济。标记真正要用的标签，先调整规格再做承诺，让每笔账单都有明确负责人。
从未恢复过的备份
备份任务成功说明不了多少。与业务一起确定RPO和RTO，让副本不可篡改，并用恢复演练测出真实的恢复能力。