Organizacja i kultura w usłudze DevSecOps

Organizacja i kultura w usłudze DevSecOps określają, czy zabezpieczenia stają się udostępnionym modelem operacyjnym, czy pozostają zestawem rozłączonych zadań. Trwałe ulepszenia zabezpieczeń wynikają z przywództwa, myślenia, współpracy i ciągłego ulepszania pracy w całej organizacji.

W tym obszarze możliwości opisano, w jaki sposób organizacja tworzy i utrzymuje kulturę, w której bezpieczeństwo jest obowiązkiem wszystkich i źródłem wspólnej dumy. Narzędzia i procesy mają znaczenie, ale przynoszą trwałą wartość tylko wtedy, gdy ludzie, którzy z nich korzystają, mają wspólne cele w zakresie bezpieczeństwa i współpracują ponad tradycyjnymi podziałami.

W miarę dojrzewania organizacji, bezpieczeństwo przestaje być sprawą drugorzędną, pozostającą w gestii kilku osób, a staje się wspólną wartością, która kształtuje codzienną pracę. Kierownictwo inwestuje celowo, zespoły współpracują bardziej płynnie, a poprawa staje się ciągła i aktywna.

Podstawowe obszary możliwości

Organizacja i kultura w usłudze DevSecOps koncentrują się na czterech możliwościach podrzędnych:

  • Przywództwo: Jak liderzy inwestują w kulturę stawiającą bezpieczeństwo na pierwszym miejscu, dają w tym przykład i ją utrzymują.
  • Świadomość bezpieczeństwa: Jak głęboko kwestie bezpieczeństwa są zakorzenione w sposobie myślenia i działania ludzi.
  • Współpraca: jak współpracują ze sobą produkty, programowanie, zabezpieczenia i operacje.
  • Ciągłe ulepszanie: jak organizacja uczy się, dostosowuje się i ulepsza w czasie.

Etapach

Organizacja i kultura przechodzą przez pięć etapów dojrzałości. Te etapy pokazują, jak ludzie przyjmują zasady DevSecOps w codziennej pracy, od fragmentowanych i ręcznie napędzanych wysiłków do wiodącej w branży kultury, w której silne wartości zabezpieczeń, prywatności i jakości kształtują organizację.

Ogólny etap Pseudonim sceniczny Jak wygląda
Ad hoc Dobrowolny Wysiłki są pofragmentowane, a procesy są ręczne, zróżnicowane i niezarządzane. Bezpieczeństwo zależy od indywidualnej rozwagi.
Inicjowanie Zlokalizowane Poszczególne zespoły napędzają spójność, dopasowując produkt, programowanie i operacje lokalnie.
Orkiestracja Scentralizowane Inwestycje w scentralizowane praktyki wspierają kulturę wartości zabezpieczeń, prywatności i zgodności.
Usprawnianie Wbudowane Światowej klasy narzędzia i praktyki zmniejszają nakład pracy ręcznej i umożliwiają deweloperom pisanie odpornego, bezpiecznego kodu.
Pionierskie Wiodący w branży Silne wartości bezpieczeństwa, prywatności i jakości są głęboko zakorzenione w całej organizacji i definiują kierownictwo branży.

Dobrowolny (ad hoc)

Zanim pojawi się kultura DevSecOps, wysiłki są fragmentowane, a procesy są ręczne, zróżnicowane i niezarządzane. Praktyki bezpieczeństwa, o ile w ogóle istnieją, zależą od uznania poszczególnych osób.

  • Przywództwo: Zaangażowanie kierownictwa w kwestie bezpieczeństwa jest ograniczone lub nieistniejące, a zespoły polegają na indywidualnym osądzie.
  • Sposób myślenia o zabezpieczeniach: Zabezpieczenia rzadko są uznawane za istotne obawy, co stwarza najwyższy poziom ryzyka.
  • Współpraca: Zespoły produktowe, deweloperskie i operacyjne działają w silosach, mając niewielki wspólny kontekst.
  • Ciągłe ulepszanie: Brak zorganizowanych wysiłków związanych z ulepszaniem.

Zlokalizowane (inicjowanie)

Poszczególne zespoły zaczynają prowadzić spójność, dopasowywać produkty, programowanie i operacje lokalnie. Pojawiają się dobre praktyki, ale pozostają ograniczone do zespołów, które je tworzą.

  • Przywództwo: Przywództwo koncentruje się na poszczególnych osobach, które promują lepsze praktyki we własnych zespołach.
  • Sposób myślenia o zabezpieczeniach: zabezpieczenia są rozwiązywane pod koniec procesu i często pozostawiane osobom lub specjalistom z zewnątrz.
  • Współpraca: zespoły koordynują punkty kontrolne i zapewniają okresową przejrzystość.
  • Ciągłe ulepszanie: wysiłki na rzecz poprawy są zlokalizowane dla poszczególnych zespołów.

Scentralizowane (organizowanie)

Inwestycje w scentralizowane praktyki DevSecOps wspierają kulturę zakorzenioną w wartościach zabezpieczeń, prywatności i zgodności. Udostępnione są wyspecjalizowane zasoby, a praktyki zaczynają być dostosowane do całej organizacji.

  • Przywództwo: Kierownictwo inwestuje w centralizację i udostępnianie wyspecjalizowanych zasobów w zespołach.
  • Podejście do bezpieczeństwa: działania związane z bezpieczeństwem zaczynają być koordynowane między różnymi obszarami i projektami, zamiast pozostawać w odizolowanych zespołach.
  • Współpraca: współpraca wzmacnia funkcje, zespoły i osoby biorące udział w projekcie, umożliwiając szybsze wykonywanie.
  • Ciągłe ulepszanie: Regularne sondowanie i przeglądy problemów powierzchniowych, dzięki czemu można je systematycznie rozwiązywać.

Osadzony (Usprawnienie)

Światowej klasy narzędzia i praktyki zmniejszają nakład pracy ręcznej i umożliwiają deweloperom pisanie odpornego, bezpiecznego kodu. Zabezpieczenia stają się częścią ścieżki najmniejszego oporu zamiast przeszkód.

  • Kierownictwo: Kierownictwo wyższego szczebla uznaje wartość modelu, napędza inwestycje i traktuje platformę i inżynierię zabezpieczeń jako priorytet strategiczny.
  • Sposób myślenia o zabezpieczeniach: Zespoły wykazują wyraźny apetyt na ponowne tworzenie architektury systemów w celu zapewnienia lepszego bezpieczeństwa i niezawodności.
  • Współpraca: zespoły są w pełni dopasowane i szybko dostosowują się do zmieniających się potrzeb.
  • Ciągłe ulepszanie: Pracownicy mają uprawnienia do promowania i implementowania zmian w czasie rzeczywistym.

Lider branży (Pionier)

Silne wartości bezpieczeństwa, prywatności i jakości są głęboko zakorzenione w całej organizacji, ustanawiając przywództwo definiujące branżę, które przyciąga i zachowuje najlepsze talenty.

  • Przywództwo: Podejście oparte na zabezpieczeniach jest wplecione w każdą część organizacji, a kierownictwo stale rozwija wizję.
  • Sposób myślenia o bezpieczeństwie: sposób myślenia koncentruje się na przyszłości, przewidywaniu i łagodzeniu negatywnych wyników przed ich wystąpieniem.
  • Współpraca: Kultura szkoleniowa umożliwia przewidywanie i koordynowanie działań między zespołami, często przed harmonogramem.
  • Ciągłe ulepszanie: cykle opinii są bogate i głęboko osadzone w sposobie działania organizacji.

Treści powiązane

  • Ostatnia aktualizacja o