Dependency scanning — проверяем библиотеки на известные уязвимости (CVE). Инструменты: Snyk, OWASP Dependency Check, npm audit, pip-audit, GitHub Dependabot. Интеграция в CI: сканирование при каждом build. При обнаружении высокой severity — блокируем merge или создаём Jira задачу. QA проверяет: что процесс сканирования есть, критические уязвимости не игнорируются, есть процесс обновления зависимостей. Уязвимые зависимости — частый вектор атак. Log4Shell — уязвимость в log4j затронула тысячи систем.

Что такое dependency scanning?