В целом, всё сводится к правильной комбинации классики и автоматизации. Валидация, обновления и минимальные права — базовый минимум, без него никак. CSP и сканеры в CI действительно экономят кучу времени и ловят много багов ещё на раннем этапе. Ещё мониторинг логов помогает быстро реагировать на подозрительные вещи. Вот и всё, больше ничего супер нового пока не прокачал.