Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
La pianificazione e la progettazione in DevSecOps determinano se la sicurezza è incorporata in prodotti dall'inizio o aggiunti in un secondo momento in risposta al rischio. Decisioni solide prese fin dall’inizio aiutano i team a rendere la sicurezza by design l’impostazione predefinita, usando i dati e un’architettura moderna per guidare ciò che viene sviluppato.
Questa area di funzionalità descrive in che modo la sicurezza è integrata nelle prime fasi di lavoro attraverso procedure di progettazione sicure, dati e informazioni dettagliate che informano le decisioni e l'architettura tecnica e le scelte di progettazione che modellano un prodotto.
Man mano che le organizzazioni maturano, la pianificazione e la progettazione passano da attività reattive e basate su legacy verso una posizione più differenziata. La modellazione delle minacce si evolve da uno sforzo individuale a una disciplina a livello aziendale, i dati aumentano dalla creazione di report predefiniti all'analisi predittiva e l'architettura avanza da progettazioni ad hoc a modelli moderni, resilienti e persino resistenti al quantum.
Aree di funzionalità di base
La pianificazione e la progettazione in DevSecOps sono incentrate su tre sotto-funzionalità:
Protezione da progettazione: modalità di applicazione della modellazione delle minacce e procedure di progettazione protettiva durante la pianificazione.
Dati e informazioni dettagliate: informazioni su come i dati del prodotto, del team e dei clienti informino decisioni e strategia.
Architettura tecnica e progettazione: come i modelli di architettura si evolvono verso approcci moderni, sicuri e resilienti.
Fasi
La pianificazione e la progettazione progredisce attraverso cinque fasi di maturità. Queste fasi mostrano come i principi DevSecOps compaiono nelle prime fasi di sviluppo, dalla pianificazione reattiva modellata dagli investimenti legacy alle procedure di pianificazione e progettazione che creano una posizione differenziata nel settore.
| Fase complessiva | Nome della fase | Che aspetto ha |
|---|---|---|
| Ad hoc | Reattivo | Gli investimenti pregressi trainano l'attività, facendo perdere opportunità di sfruttare l'innovazione. |
| Inizio | Intenzionale | Organizzare e informare la pianificazione consente la collaborazione e risultati più allineati. |
| Orchestrazione | Coordinato | L'allineamento umano e tecnico emerge tra prodotti e servizi. |
| Semplificazione | Integrato | Gli investimenti prioritari nella pianificazione e nella progettazione dimostrano un valore chiaro. |
| Pioniere | Differenziato | La pianificazione e l'eccellenza del design comportano una posizione differenziata nel settore. |
Reattivo (ad hoc)
Prima che i team inizino a pianificare con intenzione, gli investimenti legacy possono guidare l'attività e limitare le opportunità di usare approcci più recenti.
Sicurezza da progettazione: la sicurezza nella fase di progettazione viene gestita solo dai singoli collaboratori con mente per la sicurezza. Per la maggior parte dei team, è qualcosa a cui si pensa solo in un secondo momento, sempre che venga preso in considerazione.
Dati e informazioni dettagliate: la raccolta e la creazione di report dei dati rimangono al livello predefinito. I team li esaminano solo periodicamente e raramente li usano per guidare l'azione.
Architettura tecnica e progettazione: progettazione e architettura sono ad hoc e non dispongono di standard o linee guida. I costi di sviluppo rimangono elevati, con poca condivisione di codice o uso di open source.
Intenzionale (di avvio)
Organizzare e guidare la pianificazione e la progettazione consente alla collaborazione di emergere e di creare risultati più allineati.
Protezione da progettazione: la modellazione delle minacce avviene a livello tecnico e risolve i problemi di gravità elevata, anche se spesso in ritardo nel processo. Teams usa la crittografia dei dati e i protocolli di comunicazione sicuri.
Dati e informazioni dettagliate: Teams usa i segnali di prodotto esistenti per migliorare. Le informazioni dettagliate dei clienti sono limitate e i dati non corrispondenti rendono difficile l'analisi.
Architettura e progettazione tecniche: Teams inizia a passare a modelli moderni, ad esempio cloud e microservizi, o usare moduli di protezione hardware (HSM) nei sistemi incorporati.
Coordinata (orchestrazione)
Man mano che la pianificazione e la progettazione diventano più intenzionali, l'allineamento umano e tecnico inizia a emergere tra prodotti e servizi.
Sicurezza da progettazione: la modellazione delle minacce opera a livello di prodotto con processi e standard definiti. Le app intelligenti includono misure di salvaguardia e protezioni contro minacce come il prompt injection. Sono state applicate architetture di identità e segreti sicuri.
Dati e informazioni dettagliate: raccolta, cura e condivisione dei dati del prodotto prendere decisioni in modo più rapido e sicuro. Il monitoraggio dei prodotti in tempo reale aumenta la trasparenza, le informazioni dettagliate del team migliorano i flussi di lavoro e i processi e le informazioni dettagliate dei clienti vengono raccolte regolarmente e influenzano la roadmap.
Architettura tecnica e progettazione: modelli moderni, ad esempio cloud e microservizi, vedono un'adozione più ampia. Le architetture integrate includono sicurezza con accelerazione hardware e aggiornamenti sicuri del firmware.
Integrato (Semplificazione)
Con investimenti prioritari nella pianificazione e nella progettazione, i vantaggi diventano visibili e dimostrano valore.
Protezione da progettazione: la modellazione delle minacce si espande al livello aziendale, inclusi gli sforzi per attenuare le minacce all'IA, ad esempio l'avvelenamento della memoria, il danneggiamento delle conoscenze e la manipolazione del ragionamento dell'agente. La comunicazione multi-agente e le catene di fiducia sono oggetto di attenta considerazione e adeguatamente protette.
Dati e informazioni dettagliate: l'unificazione dei dati dei prodotti tra sistemi e l'elaborazione in tempo reale offrono visibilità completa e connettono i miglioramenti del prodotto alle metriche aziendali chiave. Una raccolta rigorosa di informazioni dettagliate del team supporta il miglioramento continuo e le informazioni dettagliate sui clienti contribuiscono a favorire la strategia.
Architettura tecnica e progettazione: Teams adotta approcci avanzati come l'architettura serverless, l'uso di contenitori più ampio e gli spostamenti selettivi in ambienti multicloud. I progetti supportano anche gli aggiornamenti over-the-air e la microsegmentazione.
Differenziato (all’avanguardia)
La pianificazione e l'eccellenza del design aiutano l'organizzazione a stabilire una posizione differenziata nel settore.
Sicurezza fin dalla progettazione: i team creano scenari di abuso avanzati ed eseguono verifiche di sicurezza collaborative con sviluppatori e amministratori di sistema. Il red teaming e strategie simili consentono di convalidare progetti e concetti.
Dati e informazioni dettagliate: l'esplorazione tra prodotti, team e dati dei clienti rivela relazioni più approfondite tra le esigenze dei clienti, i miglioramenti dei processi e l'impatto aziendale. La previsione e la pianificazione del gioco diventano possibili tramite l'analisi predittiva.
Architettura tecnica e progettazione: l'organizzazione sviluppa algoritmi crittografici che possono resistere agli attacchi dai computer quantistici.