Organizace a kultura v DevSecOps

Organizace a kultura v DevSecOps určují, jestli se zabezpečení stane sdíleným provozním modelem, nebo zůstává sadou odpojených úloh. Trvalá vylepšení zabezpečení pocházejí od vedení, myšlení, spolupráce a průběžného zlepšování spolupráce v celé organizaci.

Tato oblast schopností popisuje, jak organizace vytváří a udržuje kulturu, kde zabezpečení je zodpovědností všech a zdrojem sdílené hrdosti. Nástroje a procesy jsou důležité, ale poskytují trvalou hodnotu pouze tehdy, když lidé, kteří je používají, sdílejí cíle zabezpečení a pracují napříč tradičními hranicemi.

S tím, jak organizace zraly, se zabezpečení mění od toho, co je vlastněno několika jednotlivci, na sdílenou hodnotu, která tvaruje každodenní práci. Vedení investuje záměrně, týmy spolupracují plynuleji a zlepšování se stává nepřetržitým a proaktivním.

Základní oblasti funkcí

Organizace a kultura v DevSecOps se zaměřuje na čtyři dílčí možnosti:

  • Vedení: Jak lídři investují do budování kultury, v níž je bezpečnost na prvním místě, jdou v ní příkladem a dlouhodobě ji udržují.
  • Bezpečnostní myšlení: Jak hluboko je zabezpečení interně v tom, jak lidé myslí a chovají se.
  • Spolupráce: Jak spolupracují produkty, vývoj, zabezpečení a provoz.
  • Průběžné vylepšování: Jak se organizace učí, přizpůsobuje a zlepšuje v průběhu času.

Stupně

Organizace a kultura procházejí pěti fázemi vyspělosti. Tyto fáze ukazují, jak lidé při své každodenní práci přijímají principy DevSecOps– od fragmentovaného a ručně řízeného úsilí až po špičkovou kulturu, kde silné zabezpečení, ochrana osobních údajů a hodnoty kvality utvářejí organizaci.

Celková fáze Název fáze Jak to vypadá
Ad hoc Dobrovolný Úsilí jsou fragmentované a procesy jsou ruční, různorodé a nespravované. Zabezpečení závisí na individuálním uvážení.
Inicializace Lokalizovaný Jednotlivé týmy řídí konzistenci, sladění produktů, vývoje a provozu místně.
Orchestrace Centralizované Investice do centralizovaných postupů podporuje kulturu zabezpečení, ochrany osobních údajů a hodnot dodržování předpisů.
Zjednodušení Vložený Špičkové nástroje a postupy snižují ruční úsilí a umožňují vývojářům psát odolný a zabezpečený kód.
Průkopnické Špička v oboru Silné hodnoty zabezpečení, ochrany osobních údajů a kvality jsou hluboce kořenové v celé organizaci a definují vedoucí obory.

Dobrovolné (ad hoc)

Než se objeví kultura DevSecOps, úsilí jsou fragmentované a procesy jsou ruční, různorodé a nespravované. Postupy zabezpečení, pokud existují, závisí na uvážení jednotlivců.

  • Vedení: Zapojení vedení se zabezpečením je omezené nebo neexistující a týmy spoléhají na individuální uvážení.
  • Zabezpečení: Zabezpečení se zřídka uznává jako smysluplný problém, který vytváří nejvyšší úroveň rizika.
  • Spolupráce: Produktový tým, vývoj a provoz pracují izolovaně a sdílejí jen minimum kontextu.
  • Průběžné vylepšování: Organizované úsilí o zlepšení chybí.

Lokalizováno (spouštění)

Jednotlivé týmy začínají řídit konzistenci, sladit produkt, vývoj a provoz místně. Objevují se osvědčené postupy, ale zůstávají omezené na týmy, které je vytvářejí.

  • Vedení: Vedení je soustředěno na jednotlivce, kteří v rámci svých týmů prosazují lepší postupy.
  • Bezpečnostní myšlení: bezpečnost se začíná řešit pozdě a často se ponechává na jednotlivcích nebo externích specialistech.
  • Spolupráce: Týmy koordinuje milníky a zajišťují pravidelnou transparentnost.
  • Průběžné vylepšování: Úsilí o zlepšení se lokalizuje do jednotlivých týmů.

Centralizované (orchestrace)

Investice do centralizovaných postupů DevSecOps podporují kulturu v oblasti zabezpečení, ochrany osobních údajů a dodržování předpisů. Sdílené specializované prostředky a postupy začínají být v souladu napříč organizací.

  • Vedení: Vedení investuje do centralizace a sdílení specializovaných prostředků napříč týmy.
  • Bezpečnostní smýšlení: Bezpečnostní aktivity se začínají slaďovat napříč disciplínami a projekty, místo aby zůstávaly uzavřené v izolovaných týmech.
  • Spolupráce: Spolupráce posiluje mezi funkcemi, týmy a zúčastněnými stranami a umožňuje rychlejší provádění.
  • Průběžné vylepšování: Pravidelné dotazování a kontroly plošných problémů, aby bylo možné je systematicky řešit.

Vestavěné (zefektivnění)

Špičkové nástroje a postupy snižují ruční úsilí a umožňují vývojářům psát odolný a zabezpečený kód. Bezpečnost se stává součástí cesty nejnižší odolnosti místo překážky.

  • Vedení: Vedoucí vedení uznává hodnotu modelu, řídí investice a považuje platformu a bezpečnostní inženýrství za strategickou prioritu.
  • Zabezpečení: Týmy ukazují jasnou chuť k tomu, aby znovu navrhly systémy pro lepší zabezpečení a spolehlivost.
  • Spolupráce: Týmy jsou plně sladěné a rychle se přizpůsobí měnícím se potřebám.
  • Průběžné vylepšování: Zaměstnanci mají možnost podporovat a implementovat změny v reálném čase.

Špičkový v oboru (Průkopnický)

Silný důraz na zabezpečení, soukromí a kvalitu je hluboce zakořeněn v celé organizaci a vytváří vedoucí postavení, které udává směr celému odvětví a přitahuje i udržuje špičkové talenty.

  • Vedení: Přístup zaměřený na zabezpečení je tkaný do každé části organizace a vedení neustále vyvíjí vizi.
  • Zabezpečení myšlení: Myšlení je zaměřené na budoucnost, předvídání a zmírnění nepříznivých výsledků před jejich výskytem.
  • Spolupráce: Kultura zaměřená na učení umožňuje týmům napříč organizací předvídat a koordinovaně jednat, často s předstihem.
  • Průběžné vylepšování: Cykly zpětné vazby jsou bohaté a hluboce vložené do fungování organizace.

Související obsah

  • Poslední aktualizace v