Principes voor het ontwerpen van veilige systemen moeten worden vastgesteld, gedocumenteerd, onderhouden en toegepast op alle ontwikkelactiviteiten voor informatiesystemen.
Voordat de ontwikkeling begint, worden ontwerpdiagrammen in Mermaid gemaakt. Risicobeoordelingen brengen dreigingen in kaart in de datastroom, het toegangsbeheer en de technische beperkingen.
Risicobeoordelingen voor beveiliging bepalen of een ontwerp wordt goedgekeurd of moet worden gestopt; zo komen gebrekkige ontwerpen niet in de ontwikkeling terecht. Worden er kritieke beveiligingsproblemen gevonden, dan kan de ontwikkeling niet verder voordat alle risico's zijn opgelost.
Ontwikkel-, staging- en productieomgevingen zijn volledig van elkaar geïsoleerd. Elke omgeving heeft passende maatregelen, toegangsbeperkingen en een gecontroleerde uitrol. Deze architectonische scheiding voorkomt dat beveiligingsincidenten in de ene omgeving de andere raken.
Systemen dwingen op elke laag authenticatie af. Netbird biedt netwerktoegang op basis van identiteit, en servers en clusters zijn beveiligd met zero-trust-meerfactorauthenticatie.