如何打破开发、安全和运营之间的壁垒

这些步骤可以作为路线图，使企业能够从一开始就成功实施DevSecOps并创建安全软件。

用外行的语言来说，DevSecOps是软件开发、安全和软件操作的组合形式。根据Gartner公司发布的一份研究报告，“据估计，到2022年，至少95%的云安全故障将是企业的错”。因此，在开发任何应用程序时，开发人员都不能有可能使企业容易受到此类攻击的漏洞。类似地，DevSecOps是在学习操作和维护代码的同时理解软件和学习编码。重要的是要记住，单个安全漏洞可能导致客户对任何业务失去信心。因此，优先维护严格的安全措施是至关重要的。

DevSecOps包括将安全性集成到应用程序开发和操作中，以及促进团队之间的协作，并利用自动化和工具来构建健壮且安全的应用程序。在DevSecOps方法中，安全性是在开发过程中主动解决的，而不是事后才想到的。安全测试和错误修复被集成到开发周期中，以便在软件开发生命周期的早期检测安全漏洞。这种方法促进了创新，提高了开发人员的速度，并允许在保持对安全性的关注的同时加快发布周期。DevSecOps已被证明有利于实现更快的开发、更快的特性发布和敏捷实践的实现。通过从一开始就将安全性集成到开发过程中，DevSecOps有助于降低安全漏洞和其他网络安全威胁的风险，这些威胁可能会给企业带来声誉、法律责任和经济损失。

DevSecOps还有助于促进团队之间的协作和沟通文化，从而更好地协调安全和开发目标。它还可以帮助企业满足合规性需求，因为安全性从一开始就集成到开发过程中。总的来说，DevSecOps对于任何想要构建安全、可靠和高质量的软件产品的企业来说都是必不可少的，这些产品可以满足客户的需求，同时最大限度地降低安全风险。

尽管企业在采用现代业务实践方面取得了进展，例如向云提供商过渡和利用敏捷框架，但在企业优先级方面，DevSecOps经常被利益相关者忽视。DevSecOps计划通常缺乏一个清晰的框架，主管人员可以随时支持。Gartner预测，到2022年，由于企业学习和实施变革方面的困难，75%的DevOps计划将无法达到预期。

采用DevSecOps

企业实现DevSecOps的过程是一项跨越多年的长期任务，从长远来看，尽早启动它对企业是有利的。虽然有大量的资源可用于提高对DevOps及其好处的认识，但相对而言，关于DevSecOps的信息较少，企业可以使用一个全面的框架来顺利地将DevSecOps集成到他们的运营中。

下面是企业开始DevSecOps之旅时需要记住的一些关键步骤。

1.需要DevSecOps吗?

开始DevSecOps之旅的第一步是全面了解DevSecOps需要什么以及为什么它是必要的。一旦建立了这种理解，重点就应该转移到评估谁将从采用DevSecOps中受益以及如何受益。这将需要对业务用例、可用资源和企业当前的痛点进行彻底的评估。在此阶段，对任何现有的技术债务、缺陷和错误保持透明是非常必要的，因为这将有助于确定需要改进的领域，并有机会查明缺陷的根本原因。此过程将能够识别当前应用程序和流程中的差距，并提供评估可用机会的见解。

2.如何推广/支持它?

接下来的步骤包括确定一组大使或拥护者，他们与企业内的DevSecOps使命保持一致并致力于此。这提供了一个机会，可以招募有热情的人，他们可以带来新的观点。应该利用多种渠道来促进整个企业的机会，以吸引不同的个人群体，包括工程师、操作人员、安全专家、测试人员和管理人员。理想的候选人应该有上进心，渴望学习，能适应不确定性，善于团队合作。这群人将帮助DevSecOps的使命变为现实，并倡导这一事业，促进在整个企业中更广泛地采用DevSecOps。

3.DevSecOps策略

要通过DevSecOps实现企业范围的变更，创建DevSecOps策略至关重要。这包括向所有相关人员灌输“安全第一”的心态，并从一开始就纳入安全最佳实践。在制定战略时，重要的是要考虑优先事项、时间和资源成本，并确保努力有时间限制才能成功实施。该策略用于确定作为DevSecOps采用的一部分需要实现的目标。

4.领导的支持

领导和执行人员在促进和接受DevSecOps方面负有重大责任，获得他们的支持以确保没有其他业务目标或关键结果阻碍在企业中采用DevSecOps是至关重要的。在这里，你要向领导展示DevSecOps战略，并告知他们在时间、金钱和资源方面的初始设置成本。同时，这也是一个教育他们长期利益及其对企业影响的机会。

5.实现阶段

真正的工作开始于执行阶段，在这个阶段时间是至关重要的。从小事做起，收集反馈和迭代是至关重要的。在此阶段，应该评估可用的工具，以帮助加快采用过程。

6.成功的标准和衡量

反馈是人生成长的一个重要方面，从童年开始，人们就从父母那里得到持续的反馈，帮助他们学习和提高技能。类似地，在DevSecOps环境中，必须有一个系统来提供持续的反馈，以促进持续的改进。警报、仪表板和通过警报进行监视等工具可以帮助审计应用程序并主动检测问题。此外，建立一个持续的反馈机制，比如每季度的敏捷回顾或调查，让员工提供反馈。必须有适当的治理和防护措施来衡量DevSecOps的成功采用。

上述步骤可以作为路线图，使企业能够从一开始就成功实施DevSecOps并创建安全软件。对DevSecOps的短期投资可以产生长期收益，例如能够向客户发布更好、更快、更安全的产品。持续的反馈机制可以促进持续的改进和迭代。通过使用DecSecOps，企业可以避免与之相关的常见陷阱，并确保DevSecOps的集成代表了他们开发过程中的文化转变，而不是一次性的努力。