DevSecOps 中的组织与文化决定了安全是成为一种共享的运营模式，还是仍然只是一系列彼此割裂的任务。 持久的安全改进来自整个组织的领导、心态、协作和持续改进。
此功能区域描述了组织如何构建和维护安全是每个人的责任和共同自豪感的来源的文化。 工具和流程很重要，但在使用工具和流程的人共享安全目标并跨传统边界工作时，它们才提供持久的价值。
随着组织成熟，安全性从少数个人拥有的事后转向塑造日常工作的共享价值。 领导团队刻意投入，团队协作更加流畅，改进成为持续和主动的。
核心功能区域
DevSecOps 中的组织和文化侧重于四个子功能：
- 领导：领导者如何投资、建模和维护安全优先的文化。
- 安全意识：安全在人的思维和行为中内化的程度。
- 协作：产品、开发、安全性和操作如何协同工作。
- 持续改进：组织如何随时间推移学习、调整和改进。
阶段
组织和文化的发展经历五个成熟阶段。 这些阶段展示了人们如何在日常工作中采用 DevSecOps 原则，从分片和手动推动的努力到行业领先的文化，其中强大的安全性、隐私和质量价值塑造了组织。
| 总体阶段 | 阶段名称 | 它的外观 |
|---|---|---|
| 临时 | 自愿 | 工作碎片化，流程是手动的、不同的和非托管的。 安全性取决于个人自由裁量权。 |
| 启动 | 本地化 | 单个团队在本地推动一致性，使产品、开发和运营保持一致。 |
| 协调 | 集中式 | 对集中做法的投资促进了安全、隐私和合规性价值观的文化。 |
| 精简 | 嵌入式 | 世界级的工具和做法可减少手动工作，并让开发人员能够编写弹性、安全的代码。 |
| 开创性 | 行业领先 | 强大的安全性、隐私和质量价值根深蒂固于整个组织，并定义行业领导。 |
自愿（临时）
在 DevSecOps 文化形成之前，各项工作是零散分散的，流程依赖手动操作、彼此不统一且缺乏管理。 安全实践（如果有的话）取决于个人自行决定。
- 领导：与安全的领导接触有限或不存在，团队依靠个人自由裁量权。
- 安全思维模式：安全很少被承认为有意义的问题，这创造了最高级别的风险。
- 协作：产品、开发和运营在几乎没有共享上下文的孤岛中工作。
- 持续改进：缺乏有组织的改进工作。
已本地化（正在启动）
各个团队开始推动一致性，使产品、开发和运营在本地保持一致。 最佳实践不断涌现，但仍局限于提出它们的团队内部。
- 领导力：领导力体现在那些在各自团队中推动更佳实践的个人身上。
- 安全思维模式：安全性在流程后期得到解决，通常留给个人或外包专家。
- 协作：团队围绕里程碑进行协调，并定期同步进展，保持透明。
- 持续改进：改进工作已本地化为单个团队。
集中式（编排）
对集中式 DevSecOps 实践的投资促进了以安全、隐私和合规性价值观为基础的文化。 共享专用资源，实践开始在整个组织中保持一致。
- 领导：领导部门投资集中化，并跨团队共享专用资源。
- 安全思维：安全活动开始在不同职能领域和项目之间保持一致，而不是局限于彼此孤立的团队中。
- 协作：跨职能、团队和利益干系人加强协作，加快执行速度。
- 持续改进：定期轮询和审查表面问题，以便系统地解决这些问题。
嵌入式（精简）
世界级的工具和做法可减少手动工作，并让开发人员能够编写弹性、安全的代码。 安全成为最不抵抗的道路的一部分，而不是障碍。
- 领导：高级领导认识到模型的价值，推动投资，并将平台和安全工程视为战略优先事项。
- 安全思维模式：Teams 清楚地希望重新构建系统，以提高安全性和可靠性。
- 协作：团队充分协同一致，并能快速适应不断变化的需求。
- 持续改进：员工有权实时促进和实施更改。
行业领先（开创性）
强大的安全、隐私和质量价值根深蒂固于整个组织，建立了吸引和留住顶级人才的行业定义领导。
- 领导：安全优先方法融入组织的每个部分，领导不断改进愿景。
- 安全思维模式：思维模式以未来为重点，在发生前预测和缓解不良结果。
- 协作：学习型文化能够促成跨团队的前瞻性预判和协同行动，而且往往提前于计划。
- 持续改进：反馈周期丰富且深入地嵌入到组织工作原理中。