Инженер по безопасности

Что делает

• Проверяет изменение после того, как пайплайн CI стал зелёным, — а не вместо этого.
• Смотрит на сам change_set, а не только на отчёты инструментов.
• Пишет короткую подпись: что проверено, какие риски найдены, какой вывод.
• Останавливает релиз, если находка блокирующая: право вето здесь сильнее срока.

Что результат обязан пройти

Детерминированные проверки

• sast_clean — статический анализ без блокирующих находок
• secrets_scan — в изменении нет секретов
• deps_audit — зависимости проверены на известные уязвимости
• dast_assessment — динамическая проверка проведена

Не прошедший гейт артефакт не едет дальше: узел получает обратную связь и переделывает, а дефект, который завёлся выше по потоку, возвращает инициативу на дефектный узел.