Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Gli standard e la governance in DevSecOps determinano se le procedure sicure sono coerenti, visibili e applicabili all'interno dell'organizzazione. La governance avanzata aiuta i team a proteggere i sistemi di progettazione, ridurre i rischi e applicare i requisiti di sicurezza senza rallentare il recapito.
Questa area di funzionalità descrive in che modo un'organizzazione definisce, comunica e applica il programma di sicurezza, i criteri e i team degli standard a cui lavorano e le protezioni applicate ai sistemi di progettazione che compilano e distribuiscono software. La governance trasforma buone intenzioni in pratiche ripetibili e monitorabili.
Man mano che le organizzazioni maturano, gli standard passano da assenti o reattivi a una base universale per il lavoro quotidiano. La sicurezza e la privacy diventano una priorità all'inizio di ogni processo e le tecnologie emergenti come l'IA sono regolate in modo più intenzionale e strategico.
Aree di funzionalità di base
Gli standard e la governance in DevSecOps sono incentrati su tre sotto-funzionalità:
Programma di sicurezza: come l'organizzazione investe in procedure di sviluppo sicure e risolve i rischi nel tempo.
Criteri e standard: vengono definiti e applicati i requisiti, la conformità e la governance di open source e intelligenza artificiale.
Protezione dei sistemi di ingegneria: come vengono protetti identità, accessi, workstation e ambienti di compilazione e test.
Fasi
Gli standard e la governance progrediscono attraverso cinque fasi di maturità. Queste fasi mostrano come i principi DevSecOps si riflettano nelle priorità organizzative, da un'adesione disomogenea a una governance orientata al futuro che va oltre le basi e contribuisce a definire un ruolo di leadership nel settore.
| Fase complessiva | Nome della fase | Che aspetto ha |
|---|---|---|
| Ad hoc | Implicito | La mancanza di attenzione e standard rende incoerente e difficile monitorare la conformità. |
| Inizio | Esplicito | I processi fissi e gli strumenti standard consentono attività più affidabili e coerenti. |
| Orchestrazione | Principio | I principi stabiliti rendono chiare le priorità per gli standard e la governance. |
| Semplificazione | Esauriente | Gli standard impostano una base universale e la sicurezza e la privacy diventano una priorità all'inizio di ogni processo. |
| Pioniere | Lungimirante | Il valore deriva dall'ottimizzazione e dall'uso di tecnologie emergenti per guidare il settore. |
Implicit (ad hoc)
Prima che venga stabilita la governance, la mancanza di attenzione e standard rende incoerente e difficile monitorare la conformità.
Programma di sicurezza: l'organizzazione non investe in modelli, metodi o procedure sicure stabilite. Identifica e affronta i problemi critici al momento del rilascio o, più spesso, solo in reazione a un incidente.
Criteri e standard: la supervisione limitata aumenta il rischio di non conformità, sistemi non sicuri e software incompleto.
Protezione dei sistemi di progettazione: i sistemi di progettazione non dispongono di standard e gestione. L'orchestrazione e l'autenticazione delle identità sono minime e gli accessi personali vengono usati per i siti SaaS.
Esplicito (avvio)
Man mano che la governance inizia a prendere forma, i processi fissi e gli strumenti standard consentono attività di sviluppo più affidabili e coerenti.
Programma di sicurezza: I team si basano su fonti esterne per linee guida. La visibilità limitata rende i rischi difficili da identificare e mitigare. Un focus basato su cardine causa l'accumulo del debito nel tempo, vengono risolti solo i problemi critici e le attività di sicurezza rimangono periodiche.
Criteri e standard: la gestione della conformità è incentrata sulla normativa governativa in fase di rilascio. L'uso di intelligenza artificiale e open source non è ancora coperto.
Protezione dei sistemi ingegneristici: alcune aree sono ben gestite e gli standard iniziano a emergere in alcune parti dell'organizzazione, inclusa la separazione degli ambienti di test e di produzione. Le workstation sono fisiche, gestite centralmente e limitate alla gestione degli utenti locali di base. SaaS di terze parti si basa ancora sugli accessi personali. Vengono usati i gruppi di utenti, i ruoli e il controllo degli accessi in base al ruolo predefiniti. L'autenticazione a più fattori (MFA) potrebbe essere necessaria per gli amministratori.
Basato su principi (orchestrazione)
I principi stabiliti rendono chiare le priorità per gli standard e la governance e guidano l'implementazione delle procedure DevSecOps.
Programma di sicurezza: Teams inizia a seguire i principi del ciclo di vita di sviluppo sicuro. Gli obiettivi di sicurezza vengono definiti e comunicati, aiutando i team a prevenire nuovi problemi durante la pianificazione di quelli legacy. I problemi critici e ad alto impatto vengono risolti e la protezione delle identità e dei segreti diventa una priorità.
Criteri e standard: sono disponibili requisiti top-down e standardizzazione dei percorsi pavimentati. L'uso open source e di intelligenza artificiale è consentito con indicazioni.
Protezione dei sistemi di progettazione: i processi di compilazione e test vengono definiti tramite standard di percorso pavimentati, tra cui protezione dei rami, revisione del codice e test di verifica. Le workstation per sviluppatori cloud vengono gestite centralmente. L'accesso al codice sorgente e all'infrastruttura di progettazione viene protetto tramite Zero Trust e criteri con privilegi minimi, con accesso basato sui ruoli e gestione delle identità aziendali. Il SaaS di terze parti usa l'autenticazione single sign-on (SSO). I gruppi di utenti e i ruoli personalizzati vengono definiti e convalidati regolarmente e l'autenticazione a più fattori è consigliata per tutti.
Completo (Semplificazione)
Gli standard impostano una base universale che consente all'organizzazione di migliorare sia la protezione che l'efficienza. La sicurezza e la privacy diventano una priorità all'inizio di ogni processo.
Programma di sicurezza: la sicurezza diventa parte degli incentivi e le attività specializzate sono integrate in normali ritmi aziendali. Vengono risolti anche problemi di gravità media e i controlli bloccano l'introduzione di nuovi problemi. L'identificazione e la mitigazione dei rischi matura e l'intelligenza artificiale agente supporta gli obiettivi e le attività del programma.
Criteri e standard: i guardrail combinano approcci dall'alto verso il basso e dal basso verso l'alto con la creazione di report e la risoluzione in tempo reale. Open source e intelligenza artificiale sono regolati in modo strategico e i flussi di lavoro HITL (Human-in-the-Loop) rimangono gestibili e resilienti contro la manipolazione sociale.
Protezione dei sistemi di progettazione: Teams usa artefatti non modificabili ed esegue processi di compilazione e test in ambienti virtuali. Sono definiti i processi di dismissione. Le workstation per sviluppatori cloud dinamiche standardizzate vengono create e distrutte su richiesta. L'autenticazione a più fattori viene applicata, con l'autenticazione continua e la verifica dinamica dell'accesso e delle registrazioni.
Lungimirante (Pionieristico)
Le organizzazioni in questa fase vanno oltre i concetti fondamentali, ottimizzano il loro approccio e usano le tecnologie emergenti in modi che stabiliscono la leadership del settore in DevSecOps.
Programma di sicurezza: strumenti e monitoraggi basati sull'intelligenza artificiale consentono di prevedere e difendersi dai rischi imminenti. Emerge una postura sicura sostenuta, impedendo le regressioni e limitando l'introduzione di nuovi problemi.
Criteri e standard: le strategie DevSecOps e le procedure emergenti vengono esaminate regolarmente. L'organizzazione assume un ruolo fondamentale nella governance dell'IA e nell'sponsorizzare open source.
Protezione dei sistemi di progettazione: la compilazione e il test continuano in ambienti virtuali e aggiungono compilazioni ermetiche. Alcuni scenari applicano una verifica più avanzata dell'identità, inclusa la verifica fisica o biometrica.