缺乏开发的人员的情况下，通过哪些手段尽可能保证web服务的安全？

前提：上线WAF

在传统证券公司信息技术部里，大部分是缺乏开发人员，更缺乏审计代码安全的人员。同时，也受制于开发人员的水平和安全意识。

问题的出发点，一般的安全人员，没有代码审计的能力，而恰巧，真正的安全问题难以防止的是应用程序代码的安全。

针对上述问题，常见做法是：

上线WAF

要求乙方做代码扫描

然后呢?