Plánování a návrh v DevSecOps

Plánování a návrh v DevSecOps určuje, jestli je zabezpečení integrované do produktů od začátku nebo jestli je přidáno později v reakci na riziko. Správná rozhodnutí učiněná v rané fázi pomáhají týmům zavést zabezpečení už od návrhu jako výchozí přístup a využívat data a moderní architekturu jako vodítko pro to, co se bude vytvářet.

Tato oblast schopností popisuje, jak je zabezpečení integrované do nejstarších fází práce prostřednictvím postupů bezpečného návrhu, dat a přehledů, které informují o rozhodnutích, a o technické architektuře a možnostech návrhu, které tvoří produkt.

S tím, jak organizace dozrávají, se plánování a navrhování přesouvají od reaktivní činnosti řízené zastaralými systémy k diferencovanějšímu přístupu. Modelování hrozeb se vyvíjí z individuálního úsilí v podnikovou disciplínu, práce s daty přerůstá ze základního reportingu v prediktivní analytiku a architektura postupuje od ad hoc návrhů k moderním, odolným a dokonce i vůči kvantovým útokům odolným architektonickým vzorům.

Základní oblasti funkcí

Plánování a návrh v DevSecOps se zaměřuje na tři dílčí možnosti:

  • Zabezpečené návrhem: Jak se při plánování používají postupy modelování hrozeb a ochranného návrhu.

  • Data a přehledy: Jak produkt, tým a zákaznická data informují rozhodnutí a strategii.

  • Technická architektura a návrh: Jak se vzory architektury vyvíjejí směrem k moderním, zabezpečeným a odolným přístupům.

Stupně

Plánování a návrh probíhá až do pěti fází vyspělosti. Tyto fáze ukazují, jak se principy DevSecOps zobrazují v nejstarších fázích vývoje– od reaktivního plánování formovaného staršími investicemi až po postupy plánování a návrhu, které vytvářejí diferencovanou pozici v odvětví.

Celková fáze Název fáze Jak to vypadá
Ad hoc Reaktivní Stávající investice podporují aktivitu, ale promarňují se příležitosti využít inovace.
Inicializace Úmyslné Uspořádání a informování plánování umožňuje spolupráci a sladěnější výsledky.
Orchestrace Koordinovaný Lidské a technické sladění se objevuje napříč produkty a službami.
Zjednodušení Integrovaný Prioritní investice do plánování a návrhu ukazují jasnou hodnotu.
Průkopnické Diferencované Výsledkem plánování a efektivity návrhu je diferencovaná pozice v oboru.

Reaktivní (ad hoc)

Než týmy začnou plánovat záměr, mohou starší investice podpořit aktivity a omezit příležitosti k používání novějších přístupů.

  • Bezpečnost již v návrhu: Bezpečnost ve fázi návrhu řeší pouze jednotliví přispěvatelé, kteří dbají na bezpečnost. Pro většinu týmů je to až druhořadá záležitost, pokud se to vůbec bere v úvahu.

  • Data a přehledy: Shromažďování a vytváření sestav dat zůstává na výchozí úrovni. Týmy je kontrolují jenom pravidelně a zřídka je používají k řízení akcí.

  • Technická architektura a návrh: Návrh a architektura jsou ad hoc a chybí standardy nebo pokyny. Náklady na vývoj zůstávají vysoké, s malým sdílením kódu nebo používáním open source.

Úmyslné (iniciování)

Organizace a informovanost v procesu plánování a návrhu umožňují rozvoj spolupráce a vedou k lépe sladěným výsledkům.

  • Zabezpečené návrhem: Modelování hrozeb probíhá na technické úrovni a řeší problémy s vysokou závažností, i když často dochází pozdě v procesu. Teams používá šifrování dat a zabezpečené komunikační protokoly.

  • Data a poznatky: Týmy využívají stávající produktové signály ke zlepšování. Přehled zákazníků je omezený a neshodná data znesnadňuje analýzu.

  • Technická architektura a návrh: Týmy se začnou přesouvat k moderním vzorům, jako jsou cloudové a mikroslužby, nebo používat moduly hardwarového zabezpečení (HSM) ve vložených systémech.

Koordinovaný (orchestrovaný)

S tím, jak se plánování a návrh stávají záměrnější, začíná se v rámci produktů a služeb objevovat lidská a technická sladění.

  • Zabezpečené návrhem: Modelování hrozeb funguje na úrovni produktu s definovanými procesy a standardy. Inteligentní aplikace zahrnují ochranné mechanismy proti hrozbám, jako je například útok typu prompt injection. Jsou zavedeny silné architektury identit a tajných kódů.

  • Data a přehledy: Shromažďování, správa a sdílení produktů umožňují rychleji a s jistotou rozhodovat. Monitorování produktů v reálném čase zvyšuje transparentnost, týmové přehledy vylepšují pracovní postupy a procesy a přehledy zákazníků se shromažďují pravidelně a ovlivňují plán.

  • Technická architektura a návrh: Moderní vzory, jako je cloud a mikroslužby, vidí širší přijetí. Vložené architektury zahrnují hardwarově akcelerované zabezpečení a zabezpečené aktualizace firmwaru.

Integrované (zefektivnění)

Díky prioritním investicím do plánování a návrhu se výhody stanou viditelnými a demonstrují hodnotu.

  • Bezpečnost již v návrhu: Modelování hrozeb se rozšiřuje na úroveň podniku, včetně opatření ke zmírnění hrozeb spojených s AI, jako jsou otrávení paměti, narušení znalostní báze a manipulace s uvažováním agenta. Řetězy komunikace a vztahů důvěryhodnosti s více agenty se považují za pečlivě a správně zabezpečené.

  • Data a přehledy: Sjednocení dat o produktech napříč systémy a zpracování v reálném čase přináší komplexní přehled a propojení vylepšení produktů s klíčovými obchodními metrikami. Důkladné shromažďování týmových přehledů podporuje průběžné vylepšování a přehledy zákazníků pomáhají řídit strategii.

  • Technická architektura a návrh: Týmy přijímají pokročilé přístupy, jako je architektura bez serveru, širší použití kontejnerů a selektivní přechody do prostředí s více cloudy. Návrhy také podporují bezdrátové aktualizace a mikrosegmentaci.

Diferencované (průkopnické)

Efektivita plánování a návrhu pomáhá organizaci vytvořit diferencovanou pozici v oboru.

  • Zabezpečení podle návrhu: Týmy vytvářejí pokročilé scénáře zneužití a spouštějí kontroly zabezpečení pro spolupráci s vývojáři a správci systému. Červené seskupování a podobné strategie pomáhají ověřovat návrhy a koncepty.

  • Data a přehledy: Zkoumání dat napříč produktem, týmem a zákaznickými daty ukazuje hlubší vztahy mezi potřebami zákazníků, vylepšeními procesů a obchodním dopadem. Prognózování a plánování her je možné prostřednictvím prediktivní analýzy.

  • Technická architektura a návrh: Organizace vyvíjí kryptografické algoritmy, které mohou bránit útokům z kvantových počítačů.

Související obsah

  • Poslední aktualizace v