Not
Bu sayfaya erişim yetkilendirme gerektiriyor. Oturum açmayı veya dizinleri değiştirmeyi deneyebilirsiniz.
Bu sayfaya erişim yetkilendirme gerektiriyor. Dizinleri değiştirmeyi deneyebilirsiniz.
DevSecOps'taki standartlar ve idare, güvenli uygulamaların kuruluş genelinde tutarlı, görünür ve uygulanabilir olup olmadığını belirler. Güçlü idare ekiplerin mühendislik sistemlerini korumasına, riski azaltmaya ve teslimi yavaşlatmadan güvenlik gereksinimlerini uygulamasına yardımcı olur.
Bu yetenek alanı, bir kuruluşun güvenlik programını nasıl tanımladığını, iletişim kurduğunu ve uyguladığını, ekiplerin çalıştığı ilkeleri ve standartları ve yazılım oluşturup sevk eden mühendislik sistemlerine uygulanan korumaları açıklar. İdare, iyi niyetleri tekrarlanabilir, izlenebilir bir uygulamaya dönüştürür.
Kuruluşlar olgunlaştıkça, standartlar eksik veya reaktiften günlük işler için evrensel bir temele kaymaktadır. Güvenlik ve gizlilik her sürecin başında öncelik haline gelir ve yapay zeka gibi yeni teknolojiler daha bilinçli ve stratejik bir şekilde yönetilir.
Çekirdek yetenek alanları
DevSecOps'taki standartlar ve idare üç alt özelliğe odaklanır:
Güvenlik programı: Kuruluşun güvenli geliştirme uygulamalarına nasıl yatırım yapar ve zaman içindeki riski ele alır.
Politikalar ve standartlar: Açık kaynak ve yapay zekâ yönetişiminin yanı sıra gereksinimlerin ve uyumluluğun nasıl tanımlandığı ve uygulandığı.
Mühendislik sistemlerini koruma: Kimlik, erişim, iş istasyonları ve derleme ve test ortamlarının güvenliği nasıl sağlanır?
Aşama
Standartların ve idarenin olgunluğun beş aşaması boyunca ilerlemesi. Bu aşamalar DevSecOps ilkelerinin, tutarsız bağlılığından temelleri aşan ve sektör liderliğini tanımlamaya yardımcı olan ileriye dönük idareye kadar kuruluş önceliklerinde nasıl göründüğünü gösterir.
| Genel aşama | Aşama adı | Nasıl göründüğü |
|---|---|---|
| Geçici | Dolaylı | Dikkat ve standartların eksikliği, tutarsız ve izlenmesi zor bir uyum sağlar. |
| Başlatma | Açık | Sabit süreçler ve standart araçlar daha güvenilir ve tutarlı etkinlikler sağlar. |
| Orkestrasyon | İlkeli | Belirlenmiş ilkeler, standartlar ve idare için öncelikleri net hale getirir. |
| Yalınlaştırma | Kapsamlı | Standartlar evrensel bir temel oluşturur ve güvenlik ve gizlilik her sürecin başında öncelik haline gelir. |
| Öncü | İleriye dönük | Değer, sektöre liderlik etmek için gelişen teknolojileri iyileştirmekten ve kullanmaktan gelir. |
Örtük (Geçici)
Yönetişim oluşturulmadan önce, yeterli dikkat ve standartların olmaması uyumu tutarsız hale getirir ve izlenmesini zorlaştırır.
Güvenlik programı: Kuruluş yerleşik desenlere, yöntemlere veya güvenli uygulamalara yatırım yapmaz. Kritik sorunları yayın sırasında veya daha sık yalnızca bir olaya tepki gösterirken tanımlar ve giderir.
İlkeler ve standartlar: Sınırlı gözetim uyumsuzluk, güvenli olmayan sistemler ve eksik yazılım riskini artırır.
Mühendislik sistemlerinin korunması: Mühendislik sistemleri standartları ve yönetimine sahip değil. Kimlik orkestrasyonu ve kimlik doğrulama asgari düzeydedir ve SaaS sitelerinde kişisel oturumlar kullanılır.
Açık (Başlatma)
İdare şekillenmeye başladığında, sabit süreçler ve standart araçlar daha güvenilir ve tutarlı geliştirme etkinlikleri sağlar.
Güvenlik programı: Teams, rehberlik için dış kaynaklara güvenir. Sınırlı görünürlük, risklerin tanımlanmasını ve azaltılmasını zorlaştırır. Dönüm noktalarına dayalı bir odak, teknik borcun zaman içinde birikmesine neden olur, yalnızca kritik sorunlar ele alınır ve güvenlik faaliyetleri periyodik olmaya devam eder.
Politikalar ve standartlar: Uyumluluk yönetimi, sürüm aşamasında devlet düzenlemelerine odaklanır. Açık kaynak ve yapay zeka (AI) kullanımı henüz ele alınmıyor.
Mühendislik sistemlerinin korunması: Bazı alanlar yönetilir ve test ve üretim ortamlarının ayrılması dahil olmak üzere kuruluşun ceplerinde standartlar ortaya çıkmaya başlar. İş istasyonları fiziksel, merkezi olarak yönetilir ve temel yerel kullanıcı yönetimiyle sınırlıdır. Üçüncü taraf SaaS hala kişisel oturum açma işlemlerine dayanır. Varsayılan kullanıcı grupları, roller ve rol tabanlı erişim denetimi (RBAC) kullanılır. Yöneticiler için çok faktörlü kimlik doğrulaması (MFA) gerekebilir.
İlkeli (Orkestrasyon)
Yerleşik ilkeler, standartlar ve idare için öncelikleri net hale getirir ve DevSecOps uygulamalarının nasıl dağıtıldığında kılavuzluk eder.
Güvenlik programı: Teams, güvenli geliştirme yaşam döngüsü ilkelerini takip eder. Güvenlik hedefleri tanımlanır ve iletilir ve ekiplerin eski sorunları planlarken yeni sorunları engellemelerine yardımcı olur. Kritik ve büyük etkiye sahip sorunlar ele alınır ve kimlik bilgilerinin ile gizli bilgilerin korunması öncelik kazanır.
Politikalar ve standartlar: Üstten alta belirlenen gereksinimler ve standartlaştırılmış uygulama yolları mevcuttur. Açık kaynak ve yapay zeka kullanımına rehberlikle izin verilir.
Mühendislik sistemlerinin korunması: Derleme ve test süreçleri; dal koruma kuralları, kod incelemesi ve doğrulama testleri de dahil olmak üzere standartlaştırılmış iş akışı standartlarıyla tanımlanır. Bulut geliştirici iş istasyonları merkezi olarak yönetilir. Kaynak koduna ve mühendislik altyapısına erişim, rol tabanlı erişim ve kurumsal kimlik yönetimiyle Sıfır Güven ve en düşük ayrıcalık ilkeleriyle güvenli hale getirilir. Üçüncü taraf SaaS çoklu oturum açma (SSO) kullanır. Özel kullanıcı grupları ve rolleri tanımlanır ve düzenli olarak doğrulanır ve MFA herkes için teşvik edilir.
Kapsamlı (Sadeleştirme)
Standartlar, kuruluşun hem korumaları hem de verimliliği geliştirmesini sağlayan evrensel bir temel oluşturur. Güvenlik ve gizlilik her sürecin başında bir öncelik haline gelir.
Güvenlik programı: Güvenlik teşviklerin bir parçası haline gelir ve özel etkinlikler normal iş ritimlerinde yerleşiktir. Orta önem derecesinde sorunlar bile giderilir ve denetimler yeni sorunların kullanıma sunulmasını engeller. Risk belirleme ve risk azaltma olgunlaşır ve aracı yapay zeka program hedeflerini ve etkinliklerini destekler.
Politikalar ve standartlar: Güvenlik önlemleri, yukarıdan aşağıya ve aşağıdan yukarıya yaklaşımları gerçek zamanlı raporlama ve sorun giderme ile bir araya getirir. Açık kaynak ve yapay zeka stratejik olarak yönetilir ve döngüdeki insan (HITL) iş akışları yönetilebilir ve sosyal manipülasyona karşı dayanıklı olmaya devam eder.
Mühendislik sistemlerini koruma: Ekipler sabit yapıtlar kullanır ve derleme ve test işlemlerini sanal ortamlarda çalıştırır. Devreden çıkarma süreçleri tanımlanmıştır. Standartlaştırılmış dinamik bulut geliştirici iş istasyonları isteğe bağlı olarak oluşturulur ve yok edilir. MFA, erişim ve kayıtların sürekli kimlik doğrulaması ve dinamik doğrulaması ile uygulanır.
İleriye Dönük (Öncü)
Bu aşamadaki kuruluşlar temel bilgilerin ötesine geçer, yaklaşımlarını iyileştirir ve gelişmekte olan teknolojileri DevSecOps'ta sektör liderliği oluşturacak şekilde kullanır.
Güvenlik programı: Yapay zeka destekli araçlar ve izleyiciler, tahminde bulunup yakın risklere karşı savunmaya yardımcı olur. Regresyonları önleyen ve yeni sorunların ortaya çıkmasını sınırlayan, sürekli bir güvenli duruş ortaya çıkar.
Politikalar ve standartlar: DevSecOps stratejileri ve gelişen uygulamalar düzenli olarak gözden geçirilir. Kuruluş yapay zeka idaresinde ve açık kaynak sponsorluğunda lider bir rol üstlenir.
Mühendislik sistemlerini koruma: Sanal ortamlarda derleme ve test işlemlerine devam edin ve hermetik derlemeler ekleyin. Bazı senaryolar fiziksel veya biyometrik doğrulama da dahil olmak üzere daha güçlü kimlik doğrulaması uygular.