Planen und Entwerfen in DevSecOps

Planung und Entwurf in DevSecOps bestimmen, ob Sicherheit von Anfang an in Produkte integriert oder später als Reaktion auf Risiken hinzugefügt wird. Fundierte frühzeitige Entscheidungen helfen Teams dabei, Security by Design zum Standard zu machen, indem sie Daten und moderne Architekturen nutzen, um zu steuern, was entwickelt wird.

Dieser Kompetenzbereich beschreibt, wie Sicherheit durch Secure-by-Design-Praktiken bereits in den frühesten Arbeitsphasen verankert wird, welche Daten und Erkenntnisse Entscheidungen zugrunde liegen und wie die technische Architektur sowie Designentscheidungen ein Produkt prägen.

Da Organisationen reif sind, wechseln Planung und Entwurf von reaktiven, legacygesteuerten Aktivitäten zu einer differenzierteren Position. Die Bedrohungsmodellierung entwickelt sich von individuellem Aufwand zu einer Disziplin auf Unternehmensebene, Daten wachsen von Standardberichten bis hin zu Predictive Analytics, und Architektur wechselt von Ad-hoc-Designs zu modernen, robusten und sogar quantenbeständigen Mustern.

Kernkompetenzbereiche

Planung und Design in DevSecOps konzentrieren sich auf drei Unterfunktionen:

  • Sicher nach Design: Wie Bedrohungsmodellierungs- und Schutzdesignpraktiken während der Planung angewendet werden.

  • Daten und Erkenntnisse: Wie Produkt-, Team- und Kundendaten Entscheidungen und Strategie informieren.

  • Technische Architektur und Design: Wie sich Architekturmuster zu modernen, sicheren und robusten Ansätzen entwickeln.

PHASEN

Planung und Entwurf durchlaufen fünf Phasen der Reife. Diese Phasen zeigen, wie DevSecOps-Prinzipien in den frühesten Entwicklungsphasen auftreten, von der reaktiven Planung, die von älteren Investitionen bis hin zu Planungs- und Entwurfspraktiken geprägt ist, die eine differenzierte Position in der Branche schaffen.

Gesamtphase Name der Phase Wie es aussieht
Ad-hoc Reaktiv Legacy-Investitionen treiben die Aktivität voran, während Chancen ungenutzt bleiben, Innovationen zu nutzen.
Initiieren Absichtlich Das Organisieren und Informieren der Planung ermöglicht die Zusammenarbeit und die abgestimmten Ergebnisse.
Orchestrieren Koordinierte Die menschliche und technische Abstimmung zeigt sich in allen Produkten und Dienstleistungen.
Optimierung Integriert Priorisierte Investitionen in Planung und Design zeigen einen klaren Wert.
Wegweisend Differenziert Die Planungs- und Designkompetenz führt zu einer differenzierten Position in der Branche.

Reaktiv (Ad-hoc)

Bevor Teams gezielt mit der Planung beginnen, können Investitionen in Altsysteme Aktivitäten bestimmen und die Möglichkeiten zur Nutzung neuerer Ansätze einschränken.

  • Sicher nach Design: Sicherheit in der Entwurfsphase wird nur von einzelnen sicherheitsorientierten Mitwirkenden behandelt. Für die meisten Teams ist es ein Nachtrag, wenn es überhaupt berücksichtigt wird.

  • Daten und Erkenntnisse: Datensammlung und Berichterstellung bleiben auf Standardebene. Teams überprüfen sie nur in regelmäßigen Abständen, und sie verwenden sie selten, um Aktionen zu fördern.

  • Technische Architektur und Design: Design und Architektur sind Ad-hoc und fehlen Standards oder Richtlinien. Die Entwicklungskosten bleiben hoch, mit wenig Codefreigabe oder Verwendung von Open Source.

Absichtlich (Initiieren)

Das Organisieren und Informieren von Planung und Entwurf ermöglicht die Zusammenarbeit und schafft mehr abgestimmte Ergebnisse.

  • Sicher nach Entwurf: Die Bedrohungsmodellierung erfolgt auf technischer Ebene und behandelt Probleme mit hohem Schweregrad, obwohl häufig spät im Prozess. Teams verwenden Datenverschlüsselung und sichere Kommunikationsprotokolle.

  • Daten und Erkenntnisse: Teams verwenden vorhandene Produktsignale zur Verbesserung. Kundeneinblicke sind begrenzt, und nicht übereinstimmende Daten erschweren die Analyse.

  • Technische Architektur und Design: Teams beginnen mit dem Umstieg auf moderne Muster wie Cloud und Microservices oder verwenden Hardwaresicherheitsmodule (HARDWARE Security Modules, HSMs) in eingebetteten Systemen.

Koordiniert (Orchestrieren)

Da Planung und Design bewusster werden, beginnt die menschliche und technische Ausrichtung über Produkte und Dienstleistungen hinweg zu entstehen.

  • Sicher nach Design: Die Bedrohungsmodellierung arbeitet auf Produktebene mit definierten Prozessen und Standards. Intelligente Apps umfassen Schutzschienen und Schutz vor Bedrohungen wie z. B. ein promptes Einspritzen. Starke Identitäts- und geheime Architekturen sind vorhanden.

  • Daten und Einblicke: Die Erfassung, Aufbereitung und Freigabe von Produktdaten ermöglicht schnellere und fundiertere Entscheidungen. Die Echtzeit-Produktüberwachung erhöht Transparenz, Teameinblicke verbessern Workflows und Prozesse, und Kundeneinblicke werden routinemäßig gesammelt und beeinflussen die Roadmap.

  • Technische Architektur und Design: Moderne Muster wie Cloud und Microservices sehen eine breitere Einführung. Eingebettete Architekturen umfassen hardwarebeschleunigte Sicherheits- und sichere Firmwareupdates.

Integriert (Optimierung)

Mit priorisierten Investitionen in Planung und Entwurf werden die Vorteile sichtbar und zeigen Wert.

  • Sicherheit von Anfang an: Die Bedrohungsmodellierung wird auf die Geschäftsebene ausgeweitet, einschließlich Maßnahmen zur Eindämmung von KI-Bedrohungen wie Speichervergiftung, Wissensverfälschung und der Manipulation des Schlussfolgerns von Agenten. Multi-Agent-Kommunikations- und Vertrauensketten werden sorgfältig berücksichtigt und angemessen gesichert.

  • Daten und Erkenntnisse: Systemübergreifende Produktdatenvereinheitlichung und Echtzeitverarbeitung bieten umfassende Sichtbarkeit und verbinden Produktverbesserungen mit wichtigen Geschäftsmetriken. Eine strenge Sammlung von Teameinblicken unterstützt kontinuierliche Verbesserung, und Kundeneinblicke unterstützen die Strategie.

  • Technische Architektur und Design: Teams übernehmen fortgeschrittene Ansätze wie serverlose Architektur, breitere Containerverwendung und selektive Verschiebungen in Multicloud-Umgebungen. Entwürfe unterstützen ebenfalls Over-the-Air-Updates und Mikrosegmentierung.

Differenziert (Pionier)

Die Planungs- und Designkompetenz hilft der Organisation dabei, eine differenzierte Position in der Branche zu etablieren.

  • Sicher nach Design: Teams erstellen erweiterte Missbrauchsgeschichten und führen Sicherheitsprüfungen für die Zusammenarbeit mit Entwicklern und Systemadministratoren aus. Red Teaming und ähnliche Strategien tragen zur Validierung von Designs und Konzepten bei.

  • Daten und Erkenntnisse: Die Erkundung von Produkt-, Team- und Kundendaten zeigt tiefere Beziehungen zwischen Kundenanforderungen, Prozessverbesserungen und geschäftlichen Auswirkungen. Prognose und Spielplanung werden durch Predictive Analytics möglich.

  • Technische Architektur und Design: Die Organisation entwickelt kryptografische Algorithmen, die Angriffe von Quantencomputern widerstehen können.

Verwandte Inhalte

  • Zuletzt aktualisiert um