Рекомендации по использованию DevSecOps | OTUS

Рекомендации по использованию DevSecOps

DevSecOps может стать закономерным этапом по интеграции средств обеспечения безопасности в непосредственные процессы разработки, доставки и эксплуатации программного обеспечения. Давайте рассмотрим основные рекомендации, связанные с этим подходом.

Shift left

DevSecOps-подход реализует принцип Shift left -- «сдвиг влево». Данная концепция помогает разработчикам переместить задачи безопасности с правой части (с конца) цикла DevOps-доставки в левую часть (в начало). В DevSecOps-среде безопасность изначально является неотъемлемой частью всего процесса разработки ПО. Если компания следует принципам DevSecOps, то инженеры и архитекторы кибербезопасности включены в состав команды разработчиков. Задача данных специалистов — удостовериться, что каждый компонент/элемент конфигурации в стеке исправлен, а также сконфигурирован с учетом требований безопасности и задокументирован.

Принцип Shift left дает возможность DevSecOps-специалистам находить и устранять риски и угрозы, связанные с информационной безопасностью, на самых ранних этапах. Разработчики ПО не только стремятся к эффективной работе продукта, но и стараются реализовать меры безопасности уже на этапе разработки.

DevSecOps_1-1801-d229b0.jpg

Обучение в сфере ИБ

Безопасность представляет собой, по сути, сочетание нормативных требований и инженерно-технических решений. То есть компании объединяют в единое сообщество специалистов по нормативному контролю, разработке и эксплуатации. Все сделано для того, чтобы каждый сотрудник понимал суть корпоративной системы безопасности и следовал единым стандартам.

На практике все участники жизненного цикла доставки программного обеспечения должны быть знакомы с основными принципами защиты приложений. Речь идет, к примеру, о топ-10 наиболее опасных уязвимостей OWASP (Open Web Application Security Project). Также необходимо знать методы тестирования безопасности приложений, подходы к проектированию ПО. Если говорить непосредственно о разработчиках ПО, то им важно понимать модели угроз. Кроме того, разработчики должны: - иметь практические навыки оценки рисков и угроз; - знать особенности реализации средств контроля безопасности; - понимать специфику проверки ПО на соответствие нормативным требованиям.

Why_DevSecOps_1-1801-916280.jpg

Культура: люди и взаимодействие, процессы и технологии

Высокие лидерские качества руководителя помогут сформировать культуру, которая станет стимулировать изменения внутри организации. Также весьма важную роль в DevSecOps играет процесс эффективного донесения информации об обязанностях владельцев продуктов с точки зрения информационной безопасности. И инженеры с разработчиками смогут стать владельцами процессов и быть в полной мере ответственными за свою работу только в том случае, если вышенаписанное условие соблюдается.

Остается добавить, что специалисты по эксплуатации DevSecOps должны сформировать удобную для себя систему, а также выбрать технологии и протоколы с учетом конкретного проекта и конкретной команды. А если вы предоставите своим сотрудникам возможность самостоятельно создавать рабочую среду с учетом текущих потребностей, вы сделаете их проактивными участниками, заинтересованными в результате проекта.

По материалам https://www.ibm.com/cloud/learn/devsecops.

Не пропустите новые полезные статьи!

Спасибо за подписку!

Мы отправили вам письмо для подтверждения вашего email.
С уважением, OTUS!

Автор
0 комментариев
Для комментирования необходимо авторизоваться
Популярное
Сегодня тут пусто