Standardy i zarządzanie w DevSecOps

Standardy i ład w usłudze DevSecOps określają, czy bezpieczne rozwiązania są spójne, widoczne i wymuszane w całej organizacji. Silny ład pomaga zespołom chronić systemy inżynieryjne, zmniejszać ryzyko i stosować wymagania dotyczące zabezpieczeń bez spowalniania dostarczania.

W tym obszarze możliwości opisano sposób definiowania, komunikowania się i wymuszania programu zabezpieczeń, działania zespołów ds. zasad i standardów oraz ochrony stosowanych w systemach inżynieryjnych, które tworzą i dostarczają oprogramowanie. Ład zamienia dobre intencje w powtarzalne, monitorowalne praktyki.

W miarę dojrzewania organizacji standardy zmieniają się z nieobecnych lub reaktywnych na uniwersalną podstawę do codziennej pracy. Bezpieczeństwo i prywatność stają się priorytetem już na wczesnym etapie każdego procesu, a nowe technologie, takie jak sztuczna inteligencja, są regulowane w sposób bardziej przemyślany i strategiczny.

Podstawowe obszary możliwości

Standardy i ład w usłudze DevSecOps koncentrują się na trzech możliwościach podrzędnych:

  • Program bezpieczeństwa: jak organizacja inwestuje w praktyki bezpiecznego tworzenia oprogramowania i jak z biegiem czasu zarządza ryzykiem.

  • Zasady i standardy: sposób definiowania i stosowania wymagań, zgodności i ładu open source i sztucznej inteligencji.

  • Ochrona systemów inżynieryjnych: zabezpieczanie tożsamości, dostępu, stacji roboczych oraz środowisk kompilacji i testowania.

Etapach

Standardy i ład korporacyjny przechodzą przez pięć etapów dojrzałości. Te etapy pokazują, jak zasady DevSecOps przejawiają się w priorytetach organizacji — od niespójnego ich stosowania po wybiegające w przyszłość zarządzanie, które wykracza poza podstawy i pomaga definiować pozycję lidera w branży.

Ogólny etap Pseudonim sceniczny Jak wygląda
Ad hoc Niejawnie Brak uwagi i standardów sprawia, że przestrzeganie jest niespójne i trudne do monitorowania.
Inicjowanie Jawnie Stałe procesy i standardowe narzędzia umożliwiają bardziej niezawodne, spójne działania.
Orkiestracja Kierujący się zasadami Ustalone zasady sprawiają, że priorytety standardów i ładu są jasne.
Usprawnianie Wszechstronny Standardy stanowią uniwersalną podstawę, a bezpieczeństwo i prywatność stają się priorytetem na wczesnym etapie każdego procesu.
Pionierskie Perspektywa przyszłości Wartość wynika z optymalizacji i używania nowych technologii do prowadzenia branży.

Niejawny (ad hoc)

Przed ustanowieniem ładu brak uwagi i standardów sprawia, że przestrzeganie jest niespójne i trudne do monitorowania.

  • Program zabezpieczeń: Organizacja nie inwestuje w ustalone wzorce, metody ani bezpieczne praktyki. Identyfikuje i rozwiązuje krytyczne problemy na etapie wydania lub, częściej, dopiero podczas reagowania na incydent.

  • Zasady i standardy: Ograniczony nadzór zwiększa ryzyko niezgodności, niezabezpieczonych systemów i niekompletnego oprogramowania.

  • Ochrona systemów inżynieryjnych: systemy inżynieryjne nie mają standardów i zarządzania. Orkiestracja tożsamości i uwierzytelnianie są ograniczone, a w serwisach SaaS używa się logowania przy użyciu kont osobistych.

Jawne (inicjujące)

Wraz z rozpoczęciem kształtowania ładu stałe procesy i standardowe narzędzia umożliwiają bardziej niezawodne i spójne działania programistyczne.

  • Program zabezpieczeń: Zespoły polegają na zewnętrznych źródłach, aby uzyskać wskazówki. Ograniczona widoczność sprawia, że ryzyko jest trudne do zidentyfikowania i ograniczenia ryzyka. Skupienie się na kamieniu milowym powoduje, że zadłużenie kumuluje się w czasie, tylko krytyczne problemy są rozwiązywane, a działania związane z bezpieczeństwem pozostają okresowe.

  • Zasady i standardy: Zarządzanie zgodnością koncentruje się na przepisach rządowych w momencie wydania. Oprogramowanie open source i wykorzystanie sztucznej inteligencji (AI) nie są jeszcze omówione.

  • Ochrona systemów inżynieryjnych: W niektórych obszarach wprowadzono zarządzanie, a w niektórych częściach organizacji zaczynają pojawiać się standardy, w tym rozdzielenie środowisk testowych i produkcyjnych. Stacje robocze są fizyczne, centralnie zarządzane i ograniczone do podstawowego lokalnego zarządzania użytkownikami. Usługa SaaS innych firm nadal korzysta z logowania osobistego. Są używane domyślne grupy użytkowników, role i kontrola dostępu oparta na rolach (RBAC). W przypadku administratorów może być wymagane uwierzytelnianie wieloskładnikowe (MFA).

Oparty na zasadach (orkiestracja)

Ustalone zasady jasno określają priorytety dotyczące standardów i nadzoru oraz wyznaczają sposób wdrażania praktyk DevSecOps.

  • Program zabezpieczeń: zespoły zaczynają przestrzegać zasad bezpiecznego cyklu życia programowania. Cele związane z bezpieczeństwem są definiowane i komunikowane, pomagając zespołom zapobiegać nowym problemom przy jednoczesnym planowaniu działań dotyczących istniejących. Rozwiązywane są problemy krytyczne i problemy o dużym wpływie, a ochrona tożsamości i poufnych informacji staje się priorytetem.

  • Zasady i standardy: obowiązują wymagania najwyższego poziomu i standaryzacja ścieżki utorowanej. Używanie rozwiązań typu open source i sztucznej inteligencji jest dozwolone ze wskazówkami.

  • Ochrona systemów inżynieryjnych: procesy kompilowania i testowania są definiowane za pomocą standardów ścieżki utorowanej, w tym ochrony gałęzi, przeglądu kodu i testowania weryfikacyjnego. Stacje robocze deweloperów w chmurze są zarządzane centralnie. Dostęp do kodu źródłowego i infrastruktury inżynieryjnej jest zabezpieczony za pośrednictwem zasad Zero Trust i najniższych uprawnień z dostępem opartym na rolach i zarządzaniem tożsamościami przedsiębiorstwa. Aplikacja SaaS innej firmy korzysta z logowania jednokrotnego. Niestandardowe grupy użytkowników i role są definiowane i regularnie weryfikowane, a uwierzytelnianie wieloskładnikowe jest zalecane dla wszystkich użytkowników.

Kompleksowe (usprawnienie)

Standardy stanowią uniwersalną podstawę, która umożliwia organizacji poprawę zarówno ochrony, jak i wydajności. Bezpieczeństwo i prywatność stają się priorytetem na wczesnym etapie każdego procesu.

  • Program zabezpieczeń: Zabezpieczenia stają się częścią zachęt, a wyspecjalizowane działania są wbudowane w normalne rytmy biznesowe. Rozwiązano nawet problemy o średniej ważności i zablokowano wprowadzanie nowych problemów. Identyfikacja i ograniczanie ryzyka są na wysokim poziomie dojrzałości, a agentowa sztuczna inteligencja wspiera cele i działania programu.

  • Zasady i standardy: Mechanizmy zabezpieczające łączą podejścia odgórne i oddolne z raportowaniem i rozwiązywaniem problemów w czasie rzeczywistym. Oprogramowanie open source i sztuczna inteligencja podlegają strategicznemu zarządzaniu, a przepływy pracy z udziałem człowieka (HITL) pozostają łatwe do kontrolowania i odporne na manipulację społeczną.

  • Ochrona systemów inżynieryjnych: usługa Teams używa niezmiennych artefaktów i uruchamia procesy kompilacji i testowania w środowiskach wirtualnych. Procesy likwidowania są definiowane. Ustandaryzowane dynamiczne stacje robocze deweloperów chmury są tworzone i niszczone na żądanie. Uwierzytelnianie wieloskładnikowe jest wymuszane z ciągłym uwierzytelnianiem i dynamiczną weryfikacją dostępu i rejestracji.

Perspektywiczne (pionierskie)

Organizacje na tym etapie wykraczają poza podstawy, optymalizują swoje podejście i wykorzystują nowe technologie w sposób, który ustanawia kierownictwo branży w usłudze DevSecOps.

  • Program zabezpieczeń: narzędzia oparte na sztucznej inteligencji i monitory pomagają przewidywać i bronić przed nieuchronnym ryzykiem. Pojawia się trwały bezpieczny stan, uniemożliwiając regresje i ograniczając wprowadzenie nowych problemów.

  • Zasady i standardy: strategie DevSecOps i nowe rozwiązania są regularnie przeglądane. Organizacja pełni wiodącą rolę w zakresie zapewniania ładu w zakresie sztucznej inteligencji i sponsorowania open source.

  • Zabezpieczanie systemów inżynieryjnych: kompilacja i testowanie nadal odbywają się w środowiskach wirtualnych, a dodatkowo wprowadzane są hermetyczne kompilacje. Niektóre scenariusze stosują silniejszą weryfikację tożsamości, w tym weryfikację fizyczną lub biometryczną.

Treści powiązane

  • Ostatnia aktualizacja o