Applying the safe methodology to integrate cybersecurity in large-scale IT projects

Abstract

Здійснено всебічний аналіз особливостей поєднання кібербезпекових практик із методологією Scaled Agile Framework (SAFe), що розглядається як цілісний механізм захисту великомасштабних ІТ-рішень. Показано, як упровадження компонентів DevSecOps – таких, як статичне й динамічне тестування безпеки (SAST і DAST), аналіз програмних залежностей (SCA), сканування контейнерних середовищ та контроль конфігурацій – забезпечує підвищення безпечності процесів Continuous Delivery та сприяє своєчасному виявленню вразливостей. Окрема увага приділена оцінюванні можливостей сучасних методів моделювання загроз, зокрема STRIDE, PASTA, які дозволяють ідентифікувати критичні ризики ще під час формування архітектурних концепцій. Проведено комплексний аналіз інструментів, за допомогою яких SAFe інтегрує кібербезпеку на всіх рівнях організації. Розглянуто роль DevSecOps у забезпеченні безперервного сканування вразливостей у CI/CD- конвеєрі, оцінено значення моделювання загроз та Zero Trust-архітектури для раннього виявлення ризиків і посилення архітектурної стійкості. Детально проаналізовано застосування Security Backlogs, критеріїв Definition of Done, ролі Security Champions та механізмів нормативної відповідності. Окремо наведено узагальнювальну таблицю, що демонструє відповідність інструментів SAFe міжнародним стандартам кібербезпеки та їхнє застосування на різних рівнях SAFe. Підкреслено роль Security Champions у посиленні комунікації між технічними командами та експертами з кіберзахисту, що сприяє формуванню сталої культури безпеки в середині організації. Узагальнення результатів підтверджує, що SAFe створює повноцінну методологічну базу для вбудовування кібербезпеки на всіх рівнях управління та розроблення, що, у свою чергу, підвищує надійність, стійкість і якість ІТ-продуктів.

This study examines the integration of cybersecurity practices into the Scaled Agile Framework (SAFe) as a structured approach for securing large-scale IT projects. The research analyzes how DevSecOps activities–such as SAST, DAST, SCA, container scanning, and configuration control–enhance the security of the Continuous Delivery Pipeline by enabling continuous vulnerability detection and reducing human-factor risks. Threat modeling methods, including STRIDE, PASTA, and LINDDUN, are evaluated for their effectiveness in identifying security risks at early design stages and informing architectural decisions. The study also highlights the role of Zero Trust principles, Architecture Decision Records, and Security Enablers in ensuring resilient system architecture. Additional mechanisms, such as Security Backlog Items, enhanced Definition of Done criteria, and compliance tasks aligned with ISO/IEC 27001, GDPR, PCI DSS, and HIPAA, were shown to support regulatory adherence. The involvement of Security Champions significantly improves communication between development teams and security experts, fostering a stronger security culture. Overall, the findings demonstrate that SAFe provides a comprehensive foundation for integrating cybersecurity across organizational levels, thereby improving product reliability and operational resilience.