Я такой новичок, который смотрит на проект «надежен или нет» — сейчас не буду смотреть на все эти масштабные нарративы, сначала проверю три вещи: GitHub, отчет об аудите, обновление мультиподписей. GitHub — это не о том, сколько у тебя звезд… я в основном смотрю, есть ли недавняя активность, или это один-два человека закрылись в комнате и что-то меняют, и есть ли кто-то, кто следит за проблемами. Отчет об аудите не стоит воспринимать как талисман, главное — проверить, ясно ли он обозначил границы: что проверили, что не проверили, как решают известные риски, иначе это как проходить медосмотр, проверяя только давление и говорить, что всё в порядке.

Обновление мультиподписей я рассматриваю как «кто держит ключи от дома»: сколько ключей, у кого они, можно ли временно добавлять людей или менять замки, есть ли таймеры, чтобы все могли реагировать. Недавно, когда речь идет о залоге/совместном использовании безопасности, и доходы накладываются друг на друга, их ругают за «слоеный пирог», — я наоборот хочу понять, не накладываются ли также права на нижнем уровне… в любом случае, я всё ещё придерживаюсь старого подхода: делю позиции на слои, медленно наблюдаю, не позволяю одной странице PPT увести меня за собой.