Organisation och kultur i DevSecOps

Organisation och kultur i DevSecOps avgör om säkerhet blir en delad driftsmodell eller förblir en uppsättning frånkopplade uppgifter. Varaktiga säkerhetsförbättringar kommer från ledarskap, tankesätt, samarbete och kontinuerlig förbättring som arbetar tillsammans i hela organisationen.

Det här kapacitetsområdet beskriver hur en organisation bygger och upprätthåller en kultur där säkerhet är allas ansvar och en källa till delad stolthet. Verktyg och processer är viktiga, men de ger bara varaktigt värde när de personer som använder dem delar säkerhetsmål och arbetar över traditionella gränser.

När organisationer mognar övergår säkerheten från en eftertanke som ägs av några personer till ett delat värde som formar det dagliga arbetet. Ledarskap investerar medvetet, team samarbetar mer smidigt och förbättringar blir kontinuerliga och proaktiva.

Kärnkapacitetsområden

Organisation och kultur i DevSecOps fokuserar på fyra underfunktioner:

  • Ledarskap: Hur ledare investerar i, modellerar och upprätthåller en säkerhetskultur.
  • Säkerhetstänk: Hur djupt säkerheten internaliseras i hur människor tänker och agerar.
  • Samarbete: Hur produkter, utveckling, säkerhet och åtgärder fungerar tillsammans.
  • Kontinuerlig förbättring: Hur organisationen lär sig, anpassar sig och förbättras över tid.

Stadier

Organisationen och kulturen utvecklas genom fem mognadssteg. Dessa steg visar hur människor antar DevSecOps-principer i sitt dagliga arbete, från fragmenterade och manuellt drivna insatser till en branschledande kultur där starka säkerhets-, sekretess- och kvalitetsvärden formar organisationen.

Övergripande fas Namn på stadium Hur det ser ut
Ad hoc Frivillig Insatserna är fragmenterade och processerna är manuella, varierande och ohanterade. Säkerhet beror på individuellt omdöme.
Påbörjande Lokaliserad Enskilda team skapar konsekvens, anpassar produkter, utveckling och drift lokalt.
Orkestrering Centraliserad Investeringar i centraliserade metoder främjar en kultur av säkerhets-, sekretess- och efterlevnadsvärden.
Effektivisering Inbäddad Verktyg och metoder i världsklass minskar den manuella ansträngningen och gör det möjligt för utvecklare att skriva elastisk och säker kod.
Banbrytande Branschledande Starka säkerhets-, sekretess- och kvalitetsvärden är djupt rotade i hela organisationen och definierar branschledarskap.

Frivillig (ad hoc)

Innan en DevSecOps-kultur dyker upp är insatserna fragmenterade och processerna är manuella, varierande och ohanterade. Säkerhetspraxis, där de finns, beror på enskilda personers omdöme.

  • Ledarskap: Ledarskapsengagemanget med säkerhet är begränsat eller obefintligt, och teamen förlitar sig på individuell diskretion.
  • Säkerhetstänk: Säkerhet erkänns sällan som ett meningsfullt problem, vilket skapar den högsta risknivån.
  • Samarbete: Produkt, utveckling och drift fungerar i silor med liten delad kontext.
  • Kontinuerlig förbättring: Organiserat förbättringsarbete saknas.

Lokaliserad (initierar)

Enskilda team börjar skapa enhetlighet och samordna produkt, utveckling och drift på lokal nivå. Goda metoder dyker upp, men de är fortfarande begränsade till de team som skapar dem.

  • Ledarskap: Ledarskap är lokaliserat till individer som kämpar för bättre metoder inom sina egna team.
  • Säkerhetstänk: Säkerhet åtgärdas sent i processen och lämnas ofta till individer eller outsourcade specialister.
  • Samarbete: Team samordnar runt milstolpar och ger regelbunden transparens.
  • Kontinuerlig förbättring: Förbättringsarbetet lokaliseras till enskilda team.

Centraliserad (orkestrerande)

Investeringar i centraliserade DevSecOps-metoder främjar en kultur som baseras på säkerhets-, sekretess- och efterlevnadsvärden. Specialiserade resurser delas och praxis börjar anpassas i hela organisationen.

  • Ledarskap: Ledarskap investerar i centralisering och delning av specialiserade resurser mellan team.
  • Säkerhetstänk: Säkerhetsaktiviteter börjar anpassas mellan olika områden och projekt i stället för att leva i isolerade team.
  • Samarbete: Samarbetet stärks mellan funktioner, team och intressenter, vilket möjliggör snabbare genomförande.
  • Kontinuerlig förbättring: Regelbundna kontroller och granskningar identifierar problem så att de kan åtgärdas systematiskt.

Inbäddad (effektivisering)

Verktyg och metoder i världsklass minskar den manuella ansträngningen och gör det möjligt för utvecklare att skriva elastisk och säker kod. Säkerhet blir en del av vägen för minsta motstånd i stället för ett hinder.

  • Ledarskap: Ledande befattningshavare inser värdet av modellen, driver investeringar och behandlar plattforms- och säkerhetsteknik som en strategisk prioritet.
  • Säkerhetstänk: Teams visar en tydlig aptit på att bygga om system för bättre säkerhet och tillförlitlighet.
  • Samarbete: Teamen är helt anpassade och anpassar sig snabbt efter föränderliga behov.
  • Kontinuerlig förbättring: Medarbetarna har möjlighet att främja och implementera ändringar i realtid.

Branschledande (banbrytande)

Starka säkerhets-, integritets- och kvalitetsvärden är djupt rotade i hela organisationen och etablerar branschdefinierande ledarskap som lockar och behåller topptalanger.

  • Ledarskap: En säkerhetsinriktad metod vävs in i varje del av organisationen och ledningen utvecklar kontinuerligt visionen.
  • Säkerhetstänk: Tänkesättet är framtidsfokuserat, förutser och mildrar negativa resultat innan de inträffar.
  • Samarbete: En inlärningskultur möjliggör förväntan mellan team och samordnade åtgärder, ofta före schemat.
  • Kontinuerlig förbättring: Feedbackcykler är omfattande och djupt inbäddade i hur organisationen fungerar.

Relaterat innehåll

  • Uppdaterades senast