DevSecOps の組織とカルチャによって、セキュリティが共有運用モデルになるか、一連の切断されたタスクのままになるかが決まります。 永続的なセキュリティの向上は、リーダーシップ、考え方、コラボレーション、組織全体で連携する継続的な改善から生まれます。
この機能領域では、セキュリティが全員の責任であり、共有された誇りの源である文化を組織が構築し、維持する方法について説明します。 ツールとプロセスは重要ですが、使用しているユーザーがセキュリティ目標を共有し、従来の境界を越えて作業する場合にのみ永続的な価値を提供します。
組織が成熟するにつれて、セキュリティは少数の個人が所有する後考から、日常的な作業を形作る共有価値にシフトします。 リーダーシップは意図的に投資し、チームはより流動的に共同作業を行い、改善は継続的かつ積極的になります。
コア機能領域
DevSecOps の組織と文化は、次の 4 つのサブ機能に重点を置いています。
- リーダーシップ:リーダーがセキュリティ優先の文化に投資し、モデル化し、維持する方法。
- セキュリティの考え方: 人々がどのように考え、行動するかにおいて、セキュリティがいかに深く内部化されているか。
- コラボレーション: 製品、開発、セキュリティ、運用がどのように連携するか。
- 継続的な改善: 組織が時間の経過とともに学習し、適応し、改善する方法。
段階
組織と文化は、成熟度の 5 つの段階を経て進行します。 これらの段階では、断片化された手作業による取り組みから、強力なセキュリティ、プライバシー、品質の価値が組織を形成する業界をリードする文化まで、日々の作業で DevSecOps の原則を採用する方法を示します。
| 全体の段階 | ステージ名 | 見た目 |
|---|---|---|
| アドホック | 自発的 | 作業は断片化され、プロセスは手動、多様、アンマネージドです。 セキュリティは、個々の裁量によって異なります。 |
| 開始 | ローカライズ済み | 個々のチームが一貫性を推進し、製品、開発、運用をローカルで調整します。 |
| オーケストレーター | 一元化 | 一元化されたプラクティスへの投資は、セキュリティ、プライバシー、コンプライアンスの価値の文化を促進します。 |
| 効率化 | 内蔵型 | 世界クラスのツールとプラクティスにより、手動での作業が削減され、開発者は回復力のある安全なコードを記述できます。 |
| パイオニア | 業界をリード | 強力なセキュリティ、プライバシー、品質の価値は、組織全体に深く根ざしており、業界のリーダーシップを定義します。 |
任意 (アドホック)
DevSecOps カルチャが出現する前に、作業は断片化され、プロセスは手動、多様、アンマネージドになります。 存在するセキュリティ プラクティスは、個人の裁量によって異なります。
- リーダーシップ: セキュリティに対するリーダーシップの関与は限られているか存在しないか、チームは個々の裁量に依存します。
- セキュリティの考え方: セキュリティが意味のある懸念事項として認識されることはほとんどありません。これは、最高レベルのリスクを生み出します。
- コラボレーション: 製品、開発、運用は、ほとんど共有コンテキストを持たないサイロ内で動作します。
- 継続的な改善: 組織的な改善の取り組みは存在しません。
ローカライズ済み (開始中)
個々のチームが一貫性を促進し、製品、開発、運用をローカルで調整し始めます。 適切なプラクティスが生まれますが、作成するチームに限定されたままです。
- リーダーシップ:リーダーシップは、自分のチーム内でより良いプラクティスを支持する個人にローカライズされています。
- セキュリティの考え方: セキュリティはプロセスの後半で対処され、多くの場合、個人または外部委託の専門家に任されます。
- コラボレーション: Teams はマイルストーンを中心に調整し、定期的な透明性を提供します。
- 継続的な改善: 改善作業は個々のチームにローカライズされます。
一元化（オーケストレーション）
一元化された DevSecOps プラクティスへの投資は、セキュリティ、プライバシー、コンプライアンスの価値に基づいている文化を促進します。 特殊なリソースが共有され、プラクティスが組織全体で調整され始めます。
- リーダーシップ: リーダーシップは、一元化とチーム間での特殊なリソースの共有に投資します。
- セキュリティ意識: セキュリティ活動は、孤立したチーム内にとどまるのではなく、分野やプロジェクト全体で足並みがそろい始めます。
- コラボレーション: コラボレーションは、機能、チーム、利害関係者間で強化され、迅速な実行を可能にします。
- 継続的な改善: 定期的なポーリングとレビューにより、問題を体系的に対処できるようにします。
組み込み（効率化）
世界クラスのツールとプラクティスにより、手動での作業が削減され、開発者は回復力のある安全なコードを記述できます。 セキュリティは、障害物ではなく、最小抵抗のパスの一部になります。
- リーダーシップ: 上級リーダーは、モデルの価値を認識し、投資を推進し、プラットフォームとセキュリティ エンジニアリングを戦略的な優先事項として扱います。
- セキュリティの考え方: Teams は、セキュリティと信頼性を向上させるためにシステムを再設計するための明確な意欲を示しています。
- コラボレーション: Teams は完全に調整され、変化するニーズに迅速に適応します。
- 継続的な改善: 従業員は、リアルタイムで変更を促進し、実装する権限を与えられます。
業界をリードする (パイオニア)
強力なセキュリティ、プライバシー、品質の価値は、組織全体に深く根ざしており、トップタレントを引き付け、維持する業界を定義するリーダーシップを確立しています。
- リーダーシップ:セキュリティ優先のアプローチは組織のあらゆる部分に組み込まれており、リーダーシップはビジョンを継続的に進化させます。
- セキュリティの考え方:考え方は将来に焦点を当て、発生する前に悪影響を予測して軽減します。
- コラボレーション: 学習文化により、多くの場合、スケジュールよりも前に、チーム間の期待と調整されたアクションが可能になります。
- 継続的な改善: フィードバック サイクルは豊富で、組織のしくみに深く埋め込まれています。