DevSecOps 中的标准和治理确定安全做法在组织中是否一致、可见且可强制实施。 强大的治理可帮助团队保护工程系统、降低风险并应用安全要求，而不会降低交付速度。
此功能区域介绍了组织如何定义、沟通和执行其安全计划、策略和标准团队的工作，以及应用于构建和交付软件的工程系统的保护。 治理将良好意图转化为可重复、可监视的做法。
随着组织不断发展成熟，标准会从缺失或被动应对，转变为日常工作的通用基础。 安全和隐私成为每个过程中的优先事项，AI 等新兴技术在更刻意和战略性上受到治理。
核心功能区域
DevSecOps 中的标准和治理侧重于三个子功能：
安全计划：组织如何投资安全开发实践并随时间推移解决风险。
策略和标准：如何定义和应用开放源代码和 AI 的要求、合规性和治理。
保护工程系统：如何保护标识、访问、工作站和生成和测试环境。
阶段
标准和治理的发展经历五个成熟度阶段。 这些阶段展示了 DevSecOps 原则在组织优先级中的出现方式，从不一致的遵守到超越基础知识并有助于定义行业领导层的前瞻性治理。
| 总体阶段 | 阶段名称 | 它的外观 |
|---|---|---|
| 临时 | 隐式 | 缺乏关注和标准使得遵守不一致且难以监视。 |
| 启动 | 明确的 | 固定进程和标准工具可实现更可靠、更一致的活动。 |
| 协调 | 有原则的 | 既定原则明确了标准和治理的优先事项。 |
| 精简 | 全面 | 标准设定了一个通用基础，安全和隐私成为每个流程的优先任务。 |
| 开创性 | 前瞻性 | 价值来自优化和使用新兴技术引领行业。 |
隐式（临时）
在建立治理之前，缺乏关注和标准会使坚持不一致且难以监视。
安全计划：组织不投资已建立的模式、方法或安全做法。 它会在发布时识别并解决关键问题，或者更常见的是，只有在对事故作出响应时才会这样做。
策略和标准：有限的监督会增加不合规、不安全系统和不完整软件的风险。
保护工程系统：工程系统缺乏标准和管理。 身份编排和身份验证的程度有限，SaaS 站点使用个人账户登录。
显式（发起）
随着治理开始形成，固定流程和标准工具可实现更可靠和一致的开发活动。
安全项目：团队依赖外部资源来寻求指导。 有限的可见性使得难以识别和缓解风险。 基于里程碑的焦点会导致债务随时间推移累积，仅解决了关键问题，安全活动仍会定期进行。
政策和标准：合规性管理侧重于政府法规的发布。 尚未涵盖开源和人工智能（AI）的使用。
保护工程系统：某些领域已经建立起管理机制，组织内部的部分部门也开始形成相关标准，包括测试环境与生产环境的隔离。 工作站是物理的、集中管理的，仅限于基本的本地用户管理。 第三方 SaaS 仍依赖于个人登录。使用默认用户组、角色和基于角色的访问控制（RBAC）。 管理员可能需要多重身份验证（MFA）。
遵循原则（正在编排）
既定原则明确了标准和治理的优先级，并指导如何推出 DevSecOps 做法。
安全计划：Teams 开始遵循安全开发生命周期原则。 安全目标得到明确界定并传达给相关团队，从而帮助团队在规划处理遗留问题的同时防止新问题出现。 解决了关键和高影响的问题，保护标识和机密成为优先事项。
政策和标准：自上而下的要求和铺路标准化已经到位。 允许在指导下使用开源和 AI。
保护工程系统：生成和测试过程通过铺面路径标准定义，包括分支保护、代码评审和验证测试。 云开发人员工作站是集中管理的。 通过基于角色的访问和企业标识管理，通过零信任和最小特权策略来保护对源代码和工程基础结构的访问。 第三方 SaaS 使用单一登录（SSO）。 自定义用户组和角色是定义和定期验证的，建议为每个人使用 MFA。
全面（精简）
标准设定了一个通用基础，使组织能够提高保护和效率。 安全和隐私在每个过程中都成为一个优先事项。
安全计划：安全成为奖励的一部分，专用活动内置于正常的业务节奏中。 即使解决了中等严重性问题，检查也会阻止引入新问题。 风险识别和缓解成熟，代理 AI 支持计划目标和活动。
策略和标准：防护措施将自上而下和自下而上的方法与实时报告和解决相结合。 开源和 AI 受到战略性治理，人在回路 (HITL) 工作流保持可管理，并能够抵御社会操纵。
保护工程系统：团队使用不可变工件，并在虚拟环境中运行构建和测试流程。 已定义退役流程。 标准化的动态云开发人员工作站是按需创建和销毁的。 强制实施 MFA，对访问和注册进行持续身份验证和动态验证。
前瞻性（开创性）
现阶段的组织超越了基础知识，优化了方法，并在 DevSecOps 中以建立行业领导的方式使用新兴技术。
安全计划：AI 驱动的工具和监视器有助于预测和防范迫在眉睫的风险。 出现持续的安全态势，防止回归并限制引入新问题。
策略和标准：定期审查 DevSecOps 策略和新兴做法。 该组织在 AI 治理和赞助开放源代码方面发挥了主导作用。
保护工程系统：在虚拟环境中继续生成和测试，并添加隐性生成。 某些方案应用更强的身份验证，包括物理或生物识别验证。