启动从 DevOps 到 DevSecOps 的转型

DevSecOps 的广泛采用是不可避免的。作为瀑布式软件开发生命周期 (SDLC) 的一部分，安全性和交付速度是不切实际的期望。企业和政府机构 постоянно 承受着向其客户、选民和员工交付新特性和功能的压力。最近备受瞩目的软件供应链漏洞以及拜登总统旨在提升国家网络安全的行政命令也增加了企业和政府转向 DevSecOps 的紧迫性。

所有这些都意味着，您的企业迟早需要将安全性集成到其 DevOps 流程中。

从历史上看，网络安全团队仅在漫长而繁琐的瀑布式 SDLC 的末尾，在扫描和修复安全问题之后才关注应用程序安全。这种模型已经显示出老化的裂痕。客户和市场对新功能、安全性和合规性的需求是高管们最关心的问题。数字化转型工作旨在适应疫情期间和疫情后的新工作模式，这使得软件安全成为更高的优先级。使安全性成为事后诸葛亮的 DevOps 流程与软件用户和消费者脱节。

我们需要的是从 DevOps 到 DevSecOps 的转型。幸运的是，商业和公共部门的云计算，加上开源软件 (OSS) 的影响，现在为开发团队提供了工具、流程和框架，以便在保持质量和安全性的同时，以更高的速度交付软件。

DevSecOps 使您的安全和 DevOps 团队在开发生命周期中协同工作。为了实现这种转变，您需要开发人员、网络安全专家、系统管理员、业务利益相关者甚至高管的协作。

评估 DevOps 和 DevSecOps

DevOps 结合了文化理念、最佳实践和工具，使您的组织能够更快地交付应用程序和服务。转向每日和每周发布使您能够减少每季度或每月的发布。与传统的瀑布式软件开发流程和孤立的基础设施管理相比，使用 DevOps 还可以帮助您更快地发展和改进您的产品。

在保留 DevOps 最佳特性的同时，DevSecOps 将安全性融入到周期的每个阶段。它打破了开发、安全和运营团队之间的孤岛。DevSecOps 的优势包括：

• 在安全事件发生之前预防：通过在您的 CI/CD 工具链中集成 DevSecOps，您可以通过在问题发生在生产环境中之前检测和解决问题来帮助您的团队。
• 更快地响应安全问题：DevSecOps 通过持续评估提高您的安全关注度，同时为您提供可操作的数据，以便您就开发中和准备投入生产的应用程序的安全态势做出明智的决策。
• 加速功能交付速度：DevSecOps 团队拥有更好的数据和工具来缓解无法预见的风险。
• 更低的安全预算：DevSecOps 支持精简的资源、解决方案和流程，使您可以通过设计简化您的开发生命周期。

在许多行业中，我们正处于运维峰值。请放心，DevOps 和 DevSecOps 的定义将在未来几个月和几年内融合，即使只是为了企业的理智和管理。

DevSecOps 和 OSS

DevSecOps 还可以在将 OSS 集成到企业应用程序中发挥至关重要的作用。OSS 和 DevSecOps 正在变得越来越紧密地交织在一起，尤其是在企业寻求提高其软件供应链的安全性时。DevSecOps 可以作为 OSS 修复工具，因为它允许在每个管道阶段进行扫描自动化。OSS 也是采用和保护软件容器和 Kubernetes 的基础。

最终想法

在您的组织开始从 DevOps 到 DevSecOps 的转型之前，请退后一步，为您的团队定义 DevSecOps。摒弃营销炒作。谈谈您希望您的团队实现的结果。灌输开放和协作的文化，并确保倾听您的开发、运营和质量保证 (QA) 团队的正面和负面观点。