Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Standards und Governance in DevSecOps bestimmen, ob sichere Praktiken konsistent, sichtbar und erzwingbar in der gesamten Organisation sind. Starke Governance hilft Teams dabei, Engineering-Systeme zu schützen, Risiken zu reduzieren und Sicherheitsanforderungen anzuwenden, ohne die Zustellung zu verlangsamen.
Dieser Fähigkeitsbereich beschreibt, wie eine Organisation ihr Sicherheitsprogramm definiert, kommuniziert und durchsetzt, nach welchen Richtlinien und Standards Teams arbeiten und welche Schutzmaßnahmen auf die technischen Entwicklungssysteme angewendet werden, mit denen Software erstellt und ausgeliefert wird. Governance wandelt gute Absichten in wiederholbare, überwachte Praxis um.
Mit zunehmender Reife von Organisationen entwickeln sich Standards von nicht vorhanden oder reaktiv zu einer allgemeinen Grundlage für die tägliche Arbeit. Sicherheit und Datenschutz werden zu einem frühen Zeitpunkt in jedem Prozess zu einer Priorität, und neue Technologien wie KI werden bewusster und strategisch gesteuert.
Kernkompetenzbereiche
Standards und Governance in DevSecOps konzentrieren sich auf drei Unterfunktionen:
Sicherheitsprogramm: Wie die Organisation in sichere Entwicklungspraktiken investiert und Risiken im Laufe der Zeit behandelt.
Richtlinien und Standards: Wie Anforderungen, Compliance und Governance von Open Source und KI definiert und angewendet werden.
Schützen von Engineering-Systemen: Wie Identität, Zugriff, Arbeitsstationen und Build- und Testumgebungen gesichert werden.
PHASEN
Standards und Governance durchlaufen fünf Reifestufen. Diese Phasen zeigen, wie DevSecOps-Prinzipien in organisatorischen Prioritäten auftreten, von der inkonsistenten Einhaltung von zukunftsgerichteter Governance, die über die Grundlagen hinausgeht und dabei hilft, die Branchenführung zu definieren.
| Gesamtphase | Name der Phase | Wie es aussieht |
|---|---|---|
| Ad-hoc | Implicit (Implizit) | Ein Mangel an Aufmerksamkeit und Standards macht die Einhaltung inkonsistent und schwierig zu überwachen. |
| Initiieren | Explizit | Feste Prozesse und Standardtools ermöglichen zuverlässigere, konsistentere Aktivitäten. |
| Orchestrieren | Prinzipiert | Festgelegte Grundsätze stellen Prioritäten für Standards und Governance klar. |
| Optimierung | Umfassend | Standards legen eine universelle Grundlage fest, und Sicherheit und Datenschutz werden frühzeitig in jedem Prozess zu einer Priorität. |
| Wegweisend | Zukunftsweisend | Der Wert kommt aus der Optimierung und Verwendung neuer Technologien, um die Branche zu führen. |
Implizit (Ad-hoc)
Bevor Governance eingeführt wird, macht ein Mangel an Aufmerksamkeit und Standards die Einhaltung inkonsistent und schwierig zu überwachen.
Sicherheitsprogramm: Die Organisation investiert nicht in etablierte Muster, Methoden oder sichere Praktiken. Es identifiziert und behebt kritische Probleme zum Release-Zeitpunkt oder – häufiger noch – erst bei der Reaktion auf einen Vorfall.
Richtlinien und Standards: Die eingeschränkte Aufsicht erhöht das Risiko von Nichtkompatibilität, unsicheren Systemen und unvollständiger Software.
Schutz von Ingenieursystemen: Technische Systeme fehlen Standards und Management. Identitäts-Orchestrierung und Authentifizierung sind minimal, und persönliche Anmeldungen werden für SaaS-Websites verwendet.
Explizit (auslösend)
Wenn governance beginnt, Gestalt zu übernehmen, ermöglichen feste Prozesse und Standardtools zuverlässigere und konsistentere Entwicklungsaktivitäten.
Sicherheitsprogramm: Teams verlassen sich auf externe Quellen, um Anleitungen zu erhalten. Die eingeschränkte Sichtbarkeit erschwert die Identifizierung und Entschärfung von Risiken. Ein meilensteinbasierter Fokus bewirkt, dass sich schulden im Laufe der Zeit ansammeln, nur kritische Probleme behoben werden, und Sicherheitsaktivitäten bleiben regelmäßig.
Richtlinien und Standards: Das Compliance-Management konzentriert sich zum Zeitpunkt der Veröffentlichung auf staatliche Regulierung. Die Verwendung von Open Source und künstlicher Intelligenz (AI) wird noch nicht behandelt.
Schutz technischer Systeme: Einige Bereiche werden systematisch verwaltet, und in einzelnen Bereichen der Organisation zeichnen sich erste Standards ab, darunter auch die Trennung von Test- und Produktionsumgebungen. Arbeitsstationen sind physisch, zentral verwaltet und auf die grundlegende lokale Benutzerverwaltung beschränkt. SaaS von Drittanbietern basiert weiterhin auf persönlichen Anmeldungen. Standardbenutzergruppen, Rollen und rollenbasierte Zugriffssteuerung (RBAC) werden verwendet. Die mehrstufige Authentifizierung (Multi-Factor Authentication, MFA) ist möglicherweise für Administratoren erforderlich.
Prinzipiengeleitet (Orchestrierung)
Etablierte Prinzipien machen die Prioritäten für Standards und Governance deutlich und geben vor, wie DevSecOps-Praktiken eingeführt werden.
Sicherheitsprogramm: Teams beginnen, den Prinzipien des sicheren Softwareentwicklungslebenszyklus zu folgen. Sicherheitsziele werden definiert und kommuniziert und helfen Teams dabei, neue Probleme zu vermeiden und zugleich bestehende Altlasten einzuplanen. Kritische und wichtige Probleme werden behandelt, und der Schutz von Identität und Geheimnissen wird zu einer Priorität.
Richtlinien und Standards: Top-down-Anforderungen und Standardisierung von Pflasterpfaden sind vorhanden. Open Source- und KI-Verwendung sind mit Anleitungen zulässig.
Schutz von Engineeringsystemen: Build- und Testprozesse werden durch paved-path-Standards definiert, einschließlich Verzweigungsschutz, Codeüberprüfung und Verifizierungstests. Cloudentwicklerarbeitsstationen werden zentral verwaltet. Der Zugriff auf Quellcode- und Engineering-Infrastruktur wird durch Zero Trust und Richtlinien mit den geringsten Rechten gesichert, mit rollenbasiertem Zugriff und Unternehmensidentitätsverwaltung. SaaS von Drittanbietern verwendet einmaliges Anmelden (Single Sign-On, SSO). Individuelle Benutzergruppen und Rollen werden definiert und regelmäßig validiert, und MFA wird für alle empfohlen.
Umfassend (Optimierung)
Standards legen eine universelle Grundlage fest, die es der Organisation ermöglicht, Schutz und Effizienz zu verbessern. Sicherheit und Datenschutz werden zu einem frühen Zeitpunkt in jedem Prozess zu einer Priorität.
Sicherheitsprogramm: Sicherheit wird Teil von Anreizen, und spezielle Aktivitäten sind in normale Geschäftsrhythmus integriert. Selbst probleme mit mittlerem Schweregrad werden behoben, und kontrollen blockieren die Einführung neuer Probleme. Risikoidentifikation und Risikominderung reifen, und agentische KI unterstützt Programmziele und -aktivitäten.
Richtlinien und Standards: Leitplanken verbinden Top-down- und Bottom-up-Ansätze mit Berichterstattung in Echtzeit und Problemlösung. Open Source und KI werden strategisch gesteuert, und HITL-Workflows (Human-in-the-Loop) bleiben überschaubar und robust gegenüber der sozialen Manipulation.
Schutz von Entwicklungssystemen: Teams verwenden unveränderliche Artefakte und führen Build- und Testprozesse in virtuellen Umgebungen aus. Außerbetriebsetzungsprozesse werden definiert. Standardisierte dynamische Cloud-Entwicklerarbeitsstationen werden nach Bedarf erstellt und zerstört. MFA wird erzwungen, mit kontinuierlicher Authentifizierung und dynamischer Überprüfung von Zugriff und Registrierungen.
Zukunftsorientiert (Pionier)
Organisationen in dieser Phase gehen über die Grundlagen hinaus, optimieren ihren Ansatz und nutzen neue Technologien in Der Art und Weise, wie Sie die Branchenführung in DevSecOps etablieren.
Sicherheitsprogramm: KI-gesteuerte Tools und Monitore helfen, bevorstehende Risiken vorherzusagen und zu verteidigen. Eine dauerhafte sichere Haltung entsteht, indem Regressionen verhindert und die Einführung neuer Probleme eingeschränkt wird.
Richtlinien und Standards: DevSecOps-Strategien und neue Praktiken werden regelmäßig überprüft. Die Organisation übernimmt eine führende Rolle in der KI-Governance und im Sponsoring Open Source.
Schutz von Engineering-Systemen: Builds und Tests werden weiterhin in virtuellen Umgebungen durchgeführt, und fügen Sie hermetische Builds hinzu. Einige Szenarien wenden eine stärkere Identitätsüberprüfung an, einschließlich physischer oder biometrischer Überprüfung.