DevSecOps_的六大支柱协作与集成_37页_1mb

DevSecOps的六大支柱：协作与集成

核心内容

DevSecOps 是一种将安全集成到 DevOps 流程中的方法，强调安全是开发、运营和安全团队的共同责任。它不仅是一种技术实践，更是一种文化转变，旨在通过人员、文化、流程和技术的结合，在整个软件开发生命周期（SDLC）中实现持续的安全性。

DevSecOps 的六大支柱之一是“协作与集成”，其核心思想是通过跨团队的协作，将安全视为组织的共同责任，而非单一团队的职责。这要求在软件开发的每个阶段，如安全设计、安全编码、持续集成、持续交付和运行时监控中，确保所有相关方的积极参与和协同工作。

主要观点

1. 文化转变：DevSecOps 成功的关键在于建立协作、沟通和持续改进的文化，这需要领导层的主动参与和有效沟通。
2. 消除孤岛：DevSecOps 要求打破部门间的孤岛，确保所有团队（如业务、开发、安全和运营）在流程中紧密协作。
3. 自动化：自动化工具和流程在 DevSecOps 中发挥重要作用，有助于提高安全性、效率和响应速度。
4. 以人为本：安全培训是 DevSecOps 的重要组成部分，需要根据角色定制，并通过持续学习和激励机制提升团队参与度。
5. 明确责任与所有权：在 DevSecOps 实施过程中，需要明确每个任务的责任人和相关方，以确保任务的顺利完成。
6. 持续评估与改进：通过持续监控、测量和反馈机制，确保 DevSecOps 实践不断优化，以适应组织的需求和变化。

关键信息

• 协作与集成是 DevSecOps 的关键支柱之一，强调跨职能团队之间的协作和沟通。
• 安全设计和架构阶段需要安全架构师和开发人员合作，确保从设计阶段就考虑安全因素。
• 安全编码阶段应使用 OWASP 标准、代码审查流程等，确保代码的安全性。
• 持续构建、集成和测试阶段需要安全测试人员、开发人员和质量保证团队协作，使用自动化工具提高效率。
• 持续交付和部署阶段强调自动化部署和持续监控，以确保系统在生产环境中安全运行。
• 运行时防御和监控阶段需要开发与运营团队紧密合作，确保对安全事件的快速响应。

实施步骤与建议

1. 成功的 DevSecOps 协作与集成的指导原则

• 领导层主动和有效的沟通：领导层应推动 DevSecOps 文化，确保安全目标与业务目标一致。
• 没有孤岛：确保所有团队之间的信息共享和协作，避免部门间信息隔离。
• 自动化：利用自动化工具提高安全测试和监控效率。
• 以人为本的方法：通过培训和认证，提升团队的安全意识和技能。
• 组织背景的理解：根据组织的实际情况定制 DevSecOps 实施方案。
• 明确的所有权和责任：使用 RACI 矩阵确保每个任务的责任清晰。
• 衡量进展：制定统一的衡量标准，确保所有相关方对安全目标有共识。
• 将失败视为机遇：通过失败学习和改进，提高整体安全水平。

2. 基于角色的安全培训项目

• 实施安全培训计划：确保不同角色（如 CISO、开发人员、安全工程师等）接受与其职责相关的培训。
• 获得支持：通过展示安全培训对减少网络事件的影响，获得领导层的支持。
• 衡量成功：跟踪培训完成率、安全问题报告数量、修复时间等指标，评估培训效果。

3. 交付流水线中的协作与集成

• 安全设计和架构：开发与安全团队共同设计系统架构，考虑安全威胁模型和控制措施。
• 安全编码：开发人员与安全团队协作，确保代码符合安全标准和规范。
• 持续构建、集成和测试：自动化测试和安全扫描工具集成到 CI/CD 流程中，确保持续质量与安全。
• 持续交付和部署：开发与运营团队协作，确保部署流程的安全性和稳定性。
• 运行时防御和监控：通过持续监控和事件响应机制，确保系统在运行时的安全。

4. 新收购项目与 DevSecOps 流程的集成

• 60天内：识别和评估被收购公司的安全工具和流程，确保与现有流程兼容。
• 180天内：使用 DevSecOps 成熟度模型，制定并执行整合计划。
• 每年一次：评估和优化 DevSecOps 实施效果，确保持续改进。

5. DevSecOps 案例研究

• 大型老牌公司（如 Capital One）：通过文化转变、自动化安全控制和持续合规，成功实现 DevSecOps。
• 快速发展的企业（如 Netflix）：利用自动化工具和持续安全测试，保持灵活性和安全性。
• 高成长型创业公司（如 Catawiki）：通过游戏化漏洞管理、标准化组件和安全自动化，实现安全与效率的平衡。
• 初创银行（如 10x Future Technologies）：通过持续身份验证、微隔离和安全监控，实现云原生银行平台的安全交付。

6. DevSecOps 与其他技术实践的融合

• DevSecOps 与零信任：两者在安全设计、身份验证和持续监控方面高度协同，共同构建安全框架。
• DevSecOps 与 AIOps：AIOps 通过自动化和数据分析提升 DevSecOps 的效率和安全性。
• DevSecOps 与 MLSecOps：在机器学习系统中，需特别关注模型证明、治理、风险与合规（GRC）和可信人工智能（Trustworthy AI）等方面。

参考资料

• 云安全联盟（CSA）发布的《DevSecOps 的六大支柱》系列报告。
• 零信任与 DevSecOps 融合的相关文献。
• NIST SP 800-204D 关于软件供应链安全的指南。
• 德勤关于可信人工智能（Trustworthy AI）的框架。

注：本文档由云安全联盟大中华区专家团队翻译并审校，旨在为组织提供实施 DevSecOps 的指导和参考。