Notatka
Dostęp do tej strony wymaga autoryzacji. Może spróbować zalogować się lub zmienić katalogi.
Dostęp do tej strony wymaga autoryzacji. Możesz spróbować zmienić katalogi.
Planowanie i projektowanie w usłudze DevSecOps określa, czy zabezpieczenia są wbudowane w produkty od początku, czy dodane później w odpowiedzi na ryzyko. Trafne decyzje podejmowane na wczesnym etapie pomagają zespołom uczynić bezpieczeństwo już na etapie projektowania standardem, wykorzystując dane i nowoczesną architekturę do ukierunkowywania tego, co powstaje.
W tym obszarze możliwości opisano, w jaki sposób zabezpieczenia są wbudowane w najwcześniejsze fazy pracy dzięki praktykom bezpiecznego projektowania, danym i szczegółowym informacjom, które informują o decyzjach oraz o architekturze technicznej i wyborach projektowych kształtujących produkt.
W miarę jak organizacje dojrzewają, planowanie i projektowanie odchodzą od reaktywnych działań determinowanych przez systemy odziedziczone w kierunku bardziej zróżnicowanego podejścia. Modelowanie zagrożeń ewoluuje od indywidualnego wysiłku do dyscypliny biznesowej, wykorzystanie danych przechodzi od standardowego raportowania do analityki predykcyjnej, a architektura rozwija się od rozwiązań ad hoc do nowoczesnych, odpornych, a nawet odpornych na ataki kwantowe wzorców.
Podstawowe obszary możliwości
Planowanie i projektowanie w usłudze DevSecOps koncentruje się na trzech możliwościach podrzędnych:
Zabezpieczanie według projektu: sposób stosowania rozwiązań w zakresie modelowania zagrożeń i projektowania ochronnego podczas planowania.
Dane i szczegółowe informacje: jak dane dotyczące produktu, zespołu i klientów informują o decyzjach i strategii.
Architektura techniczna i projekt: jak wzorce architektury ewoluują w kierunku nowoczesnych, bezpiecznych i odpornych podejść.
Etapach
Planowanie i projektowanie przebiega przez pięć etapów dojrzałości. Te etapy pokazują, jak zasady DevSecOps pojawiają się w najwcześniejszych fazach opracowywania, od reaktywnego planowania ukształtowanego przez starsze inwestycje po praktyki planowania i projektowania, które tworzą zróżnicowane stanowisko w branży.
| Ogólny etap | Pseudonim sceniczny | Jak wygląda |
|---|---|---|
| Ad hoc | Reaktywny | Starsza inwestycja napędza aktywność, brakuje możliwości wykorzystania innowacji. |
| Inicjowanie | Celowe | Organizowanie i informowanie o planowaniu umożliwia współpracę i bardziej dopasowane wyniki. |
| Orkiestracja | Skoordynowane | Spójność między aspektem ludzkim a technicznym uwidacznia się w całym portfolio produktów i usług. |
| Usprawnianie | Zintegrowany | Priorytetowe inwestycje w planowanie i projektowanie wykazują wyraźną wartość. |
| Pionierskie | Zróżnicowane | Doskonałość planowania i projektowania prowadzi do zróżnicowanej pozycji w branży. |
Reaktywne (ad hoc)
Zanim zespoły zaczną planować w sposób świadomy, dotychczasowe inwestycje mogą napędzać działania i ograniczać możliwości korzystania z nowszych podejść.
Bezpieczeństwo uwzględnione już na etapie projektowania: Kwestie bezpieczeństwa w fazie projektowania są uwzględniane wyłącznie przez poszczególnych współtwórców dbających o bezpieczeństwo. Dla większości zespołów jest to kwestia drugorzędna, jeśli w ogóle jest brana pod uwagę.
Dane i szczegółowe informacje: zbieranie i raportowanie danych pozostają na poziomie domyślnym. Zespoły przeglądają je tylko okresowo i rzadko używają ich do podejmowania działań.
Architektura techniczna i projekt: Projektowanie i architektura są ad hoc i nie mają standardów lub wytycznych. Koszty programowania pozostają wysokie, z niewielkim udostępnianiem kodu lub korzystaniem z open source.
Zamierzone (inicjowanie)
Organizowanie i informowanie o planowaniu i projektowaniu pozwala na powstanie współpracy i utworzenie bardziej dostosowanych wyników.
Bezpieczeństwo w założeniu: modelowanie zagrożeń odbywa się na poziomie technicznym i dotyczy problemów o wysokim stopniu krytyczności, choć często dopiero na późnym etapie procesu. Zespoły używają szyfrowania danych i bezpiecznych protokołów komunikacyjnych.
Dane i informacje: zespoły wykorzystują istniejące sygnały produktu do wprowadzania ulepszeń. Szczegółowe informacje o klientach są ograniczone, a niezgodne dane utrudniają analizę.
Architektura techniczna i projekt: Zespoły zaczynają przechodzić do nowoczesnych wzorców, takich jak chmura i mikrousługi, lub używać sprzętowych modułów zabezpieczeń (HSM) w systemach osadzonych.
Skoordynowane (Orkiestracja)
W miarę jak planowanie i projektowanie staje się bardziej celowe, dopasowanie ludzkie i techniczne zaczyna pojawiać się w produktach i usługach.
Zabezpieczanie według projektu: modelowanie zagrożeń działa na poziomie produktu ze zdefiniowanymi procesami i standardami. Inteligentne aplikacje zawierają mechanizmy zabezpieczające i ochronę przed zagrożeniami, takimi jak ataki typu prompt injection. Wdrożono solidne architektury tożsamości i zarządzania sekretami.
Dane i wnioski: Zbieranie, opracowywanie i udostępnianie danych o produktach umożliwiają szybsze i pewniejsze podejmowanie decyzji. Monitorowanie produktów w czasie rzeczywistym zwiększa przejrzystość, szczegółowe informacje o zespole zwiększają przepływy pracy i procesy, a szczegółowe informacje o klientach są zbierane rutynowo i wpływają na harmonogram działania.
Architektura techniczna i projekt: Nowoczesne wzorce, takie jak chmura i mikrousługi, widzą szersze wdrożenie. Architektury osadzone obejmują zabezpieczenia przyspieszone sprzętowo i bezpieczne aktualizacje oprogramowania układowego.
Zintegrowane (usprawnienie)
Dzięki priorytetowym inwestycjom w planowanie i projektowanie korzyści stają się widoczne i wykazują wartość.
Bezpieczne według projektu: modelowanie zagrożeń rozszerza się na poziom biznesowy, w tym wysiłki mające na celu ograniczenie zagrożeń związanych ze sztuczną inteligencją, takich jak zatrucie pamięci, uszkodzenie wiedzy i manipulowanie rozumowaniem agenta. Komunikacja z wieloma agentami i łańcuchy zaufania są traktowane ostrożnie i odpowiednio zabezpieczone.
Dane i szczegółowe informacje: łączenie danych produktów między systemami i przetwarzanie w czasie rzeczywistym zapewnia kompleksową widoczność i łączenie ulepszeń produktu z kluczowymi metrykami biznesowymi. Rygorystyczne zbieranie spostrzeżeń zespołu wspiera ciągłe doskonalenie, a wnioski dotyczące klientów pomagają kształtować strategię.
Architektura techniczna i projekt: zespoły przyjmują zaawansowane podejścia, takie jak architektura bezserwerowa, szersze użycie kontenerów i selektywne przenoszenie do środowisk wielochmurowych. Projekty obsługują również zdalne aktualizacje oraz mikrosegmentację.
Zróżnicowane (pionierskie)
Doskonałość planowania i projektowania pomaga organizacji w ustanowieniu zróżnicowanej pozycji w branży.
Zabezpieczanie według projektu: zespoły tworzą zaawansowane scenariusze nadużyć i uruchamiają wspólne kontrole zabezpieczeń z deweloperami i administratorami systemu. Red teaming i podobne strategie pomagają weryfikować projekty i koncepcje.
Dane i szczegółowe informacje: Eksploracja między produktami, zespołami i danymi klientów ujawnia głębsze relacje między potrzebami klientów, ulepszeniami procesów i wpływem biznesowym. Prognozowanie i planowanie gier stają się możliwe dzięki analizie predykcyjnej.
Architektura techniczna i projekt: Organizacja opracowuje algorytmy kryptograficzne, które mogą opierać się atakom z komputerów kwantowych.