Not
Bu sayfaya erişim yetkilendirme gerektiriyor. Oturum açmayı veya dizinleri değiştirmeyi deneyebilirsiniz.
Bu sayfaya erişim yetkilendirme gerektiriyor. Dizinleri değiştirmeyi deneyebilirsiniz.
DevSecOps'taki kuruluş ve kültür, güvenliğin paylaşılan bir işletim modeli mi olduğunu yoksa bağlantısız bir görev kümesi olarak mı kaldığını belirler. Kalıcı güvenlik geliştirmeleri, kuruluş genelinde birlikte çalışan liderlik, düşünce yapısı, işbirliği ve sürekli iyileştirmeden gelir.
Bu yetenek alanı, bir kuruluşun, güvenliğin herkesin sorumluluğu ve paylaşılan gurur kaynağı olduğu bir kültürü nasıl oluşturup sürdürdüğü açıklanır. Araçlar ve süreçler önemlidir, ancak yalnızca bunları kullanan kişiler güvenlik hedeflerini paylaştığında ve geleneksel sınırlar arasında çalıştığında kalıcı değer sağlarlar.
Kuruluşlar olgunlaştıkça, güvenlik yalnızca birkaç kişinin sorumluluğunda olan, sonradan düşünülen bir unsur olmaktan çıkıp günlük çalışmayı şekillendiren ortak bir değer hâline gelir. Liderlik kasıtlı olarak yatırım yapar, ekipler daha akıcı bir şekilde işbirliği yapar ve geliştirme sürekli ve proaktif hale gelir.
Çekirdek yetenek alanları
DevSecOps'ta kuruluş ve kültür dört alt özelliğe odaklanır:
- Liderlik: Liderlerin güvenlik öncelikli bir kültüre yatırım yapma, modelleme ve sürdürme şekli.
- Güvenlik zihniyeti: İnsanların düşünme ve hareket etme şekli konusunda güvenliğin ne kadar derin içselleştirildiği.
- İşbirliği: Ürün, geliştirme, güvenlik ve operasyonlar birlikte nasıl çalışır?
- Sürekli iyileştirme: Kuruluşun zaman içinde nasıl öğrendiği, uyum sağladığı ve geliştirdiği.
Aşama
Kuruluş ve kültür, olgunluğun beş aşaması boyunca ilerler. Bu aşamalar, insanların parçalanmış ve el ile yönlendirilen çabalardan, güçlü güvenlik, gizlilik ve kalite değerlerinin kuruluşu şekillendirdiği sektör lideri bir kültüre kadar her gün yaptıkları çalışmalarda DevSecOps ilkelerini nasıl benimsedikleri gösterilir.
| Genel aşama | Aşama adı | Nasıl göründüğü |
|---|---|---|
| Geçici | Gönüllü | Eforlar parçalanır ve işlemler el ile, çeşitli ve yönetilmeyen şekilde gerçekleştirilir. Güvenlik, bireysel takdire bağlıdır. |
| Başlatma | Yerelleştirilmiş | Bireysel ekipler, ürün, geliştirme ve operasyonları yerel düzeyde hizalayarak tutarlılığı sağlar. |
| Orkestrasyon | Merkezileştirilmiş | Merkezi uygulamalara yatırım, güvenlik, gizlilik ve uyumluluk değerleri kültürünü teşvik eder. |
| Yalınlaştırma | Gömülü | Birinci sınıf araçlar ve uygulamalar el ile yapılan çabayı azaltır ve geliştiricileri dayanıklı ve güvenli kod yazma konusunda güçlendirmektedir. |
| Öncü | Sektör lideri | Güçlü güvenlik, gizlilik ve kalite değerleri kuruluş genelinde köklüdür ve sektör liderliğini tanımlar. |
Gönüllü (Geçici)
Bir DevSecOps kültürü ortaya çıkmadan önce, çabalar parçalıdır ve süreçler manuel, farklılık gösteren ve yönetilmeyen yapıdadır. Mevcut oldukları güvenlik uygulamaları, kişilerin takdirine bağlıdır.
- Liderlik: Güvenlikle liderlik etkileşimi sınırlıdır veya yoktur ve ekipler bireysel takdire bağlıdır.
- Güvenlik anlayışı: Güvenlik anlamlı bir sorun olarak nadiren kabul edilir ve bu da en yüksek risk düzeyini oluşturur.
- İşbirliği: Ürün, geliştirme ve operasyonlar çok az paylaşılan bağlamla silolarda çalışır.
- Sürekli iyileştirme: Düzenli iyileştirme çalışmaları yoktur.
Yerelleştirildi (Başlatılıyor)
Tek tek ekipler tutarlılık sağlayarak ürün, geliştirme ve işlemleri yerel olarak uyumlu hale getirmeye başlar. İyi uygulamalar ortaya çıkar, ancak bunları oluşturan ekiplere bağlı kalırlar.
- Liderlik: Liderlik, kendi ekipleri içinde daha iyi uygulamaları savunan bireyler düzeyinde şekillenir.
- Güvenlik zihniyeti: Güvenlik sürecin sonlarında ele alınır ve genellikle kişilere veya dış kaynak uzmanlarına bırakılır.
- İşbirliği: Ekipler kilometre taşları etrafında koordine olur ve düzenli aralıklarla saydamlık sağlar.
- Sürekli iyileştirme: İyileştirme çalışmaları tek tek ekipler için yerelleştirilir.
Merkezi (Düzenleme)
Merkezi DevSecOps uygulamalarına yatırım, güvenlik, gizlilik ve uyumluluk değerlerine dayandırılmış bir kültürü teşvik eder. Özelleştirilmiş kaynaklar paylaşılır ve uygulamalar kuruluş genelinde uyumlu hale başlar.
- Liderlik: Liderlik, merkezileştirmeye ve özel kaynakları ekipler arasında paylaşmaya yatırım yapar.
- Güvenlik zihniyeti: Güvenlik etkinlikleri, yalıtılmış ekipler içinde yaşamak yerine disiplinler ve projeler arasında uyum sağlamak için başlar.
- İşbirliği: İşbirliği işlevler, ekipler ve paydaşlar arasında güçlenerek daha hızlı yürütme sağlar.
- Sürekli iyileştirme: Düzenli yoklama ve gözden geçirme sorunları sistematik olarak giderilebilmeleri için ortaya çıkar.
Gömülü (Sadeleştirme)
Birinci sınıf araçlar ve uygulamalar el ile yapılan çabayı azaltır ve geliştiricileri dayanıklı ve güvenli kod yazma konusunda güçlendirmektedir. Güvenlik, engel yerine en az direnç yolunun bir parçası haline gelir.
- Liderlik: Üst düzey liderlik modelin değerini tanır, yatırımı destekler ve platform ile güvenlik mühendisliğini stratejik bir öncelik olarak değerlendirir.
- Güvenlik zihniyeti: Teams, daha iyi güvenlik ve güvenilirlik için sistemleri yeniden tasarlamaya açık bir iştah gösterir.
- İşbirliği: Ekipler tamamen uyumlu hale gelir ve değişen ihtiyaçlara hızla uyum sağlar.
- Sürekli iyileştirme: Çalışanlar, değişiklikleri gerçek zamanlı olarak tanıtma ve uygulama yetkisine sahiptir.
Sektör lideri (Öncü)
Güçlü güvenlik, gizlilik ve kalite değerleri kuruluş genelinde köklüdür ve en büyük yetenekleri çeken ve koruyan sektör belirleyici liderlikler oluşturur.
- Liderlik: Güvenlik öncelikli bir yaklaşım kuruluşun her parçasına dokunuyor ve liderlik vizyonunu sürekli geliştiriyor.
- Güvenlik zihniyeti: Düşünce yapısı geleceğe odaklıdır, ortaya çıkmadan önce olumsuz sonuçları tahmin eder ve hafifleter.
- İşbirliği: Öğrenme kültürü, ekipler arası tahmine ve eşgüdümlü eyleme olanak tanır ve genellikle zamanlamanın önüne geçer.
- Sürekli iyileştirme: Geri bildirim döngüleri, kuruluşun çalışma şekline zengin ve derinden katıştırılır.