DevOps – это только начало!
Вчера вы встали рано утром, приехали на работу и в торжественной обстановке перерезали ленту вашего новенького конвейера DevOps. Вы много работали, чтобы ответить на важнейший вызов современности с точки зрения разработки программного обеспечения (ПО) – сокращение Time-To-Market (T2M). Вы добились максимальной гибкости любых внедрений, сократили длительность релизных циклов, а вывод новых продуктовых фич в промышленную эксплуатацию ускорен настолько, насколько это вообще возможно. Казалось бы, работа закончена и можно немного передохнуть. У меня для вас отличные новости: DevOps – это только начало!
В эпоху тотальной цифровизации наиболее актуальным вызовом для компаний, использующих в своих продуктах и сервисах конфиденциальные и платежные данные клиента, становится обеспечение информационной безопасности. Для банков, страховых компаний, операторов связи, медицинских учреждений, провайдеров услуг, ретейла – для любого бизнеса наличие уязвимостей в программном продукте создает риск серьезных финансовых и репутационных потерь, а порой ставит под вопрос существование компании как таковой.
Единственный возможный ответ на этот вызов –интеграция практик обеспечения информационной безопасности в непрерывный процесс разработки DevOps, то есть построение DevSecOps.
Мы пообщались с экспертами из двух Российских компаний – Trust Technologies и Swordfish Security, специализирующихся на реализации комплексных проектов в области разработки защищенного ПО. Вот что они нам рассказали о DevSecOps.
Что такое DevSecOps?
Недостаточно установить статический анализатор кода или проводить функциональное тестирование с автоматическим контролем прохождения тестов. DevSecOps – это методология разработки ПО, включающая процессы, инструменты и методы защиты приложений от угроз на протяжении всего цикла. Это комплексный, автоматизированный, контролируемый на всех этапах процесс.
.jpeg)
Эксперты из Trust Technologies отмечают, что лишь часть клиентов запрашивают комплексную услугу по построению DevSecOps c полным пересмотром текущих процессов разработки ПО, встраиванием в процессы необходимых элементов автоматизации и проверок соответствия процессов и продуктов требованиям регуляторов. Часто клиент просит предоставить какой-то конкретный продукт, надеясь, что он решит все проблемы. Но это не так.
В Swordfish Security выстраивание правильного, системного процесса DevSecOps представляют в виде комплексной задачи, состоящей из следующих этапов:
Анализ защищенности ПО. Общий анализ защищенности ПО (систем, приложений, цифровых сервисов) включают как комплексный анализ с использованием инструментальных средств, так и экспертный анализ требований, архитектуры и формирование приоритетного бэклога идентифицированных дефектов. Результаты проведенного анализа используются для оперативного повышения уровня защищенности ПО, для планирования программы повышения компетенций инженерных команд, а также для проектирования инженерного процесса DevSecOps на последующих этапах.
Разработка стратегии внедрения практик информационной безопасности ПО. Формирование дорожной карты внедрения процесса безопасной разработки на основе модели зрелости BSIMM (Building Security In Maturity Model), позволяющей детально оценить весь объем практик, как технологического, так и организационно-процессного характера. Фиксируется целевой уровень зрелости в рамках реализации данной стратегии, а также поэтапный перечень необходимых активностей. Наличие стратегии поможет не только при старте самой инициативы информационной безопасности (защита бюджетов на корпоративном уровне, планирование, оценка и обоснование необходимого объема ресурсов), но и при уже выстроенном процессе разработки защищенного ПО для определения векторов дальнейшего развития.
Процессный консалтинг. Модернизация текущих процессов разработки ПО, если это требуется по результатам проведенного анализа. Формирование новых элементов процесса, новых ролей, реализация необходимых активностей и контроля, детальный анализ реализации конкретных практик DevSecOps.
Технологический консалтинг. Внедрение, сопровождение и тонкая настройка инструментального стека в рамках процесса DevSecOps. Интеграция инструментов анализа защищенности ПО в текущий инженерный процесс, с учетом особенностей внутреннего технологического стека разработчиков, а также требований максимального уровня автоматизации.
Онбординг в процесс DevSecOps. Постепенное и итеративное включение всех команд и потоков разработки в построенный процесс. Детальный анализ идентифицированных дефектов, фильтрация ложных срабатываний, устранение дубликатов и корреляция дефектов при их обнаружении несколькими практиками ИБ. Анализ ложно-позитивных/ложно-негативных срабатываний, по результатам которого разрабатываются автоматизированные политики и индивидуальные правилаанализа, значительно повышающие эффективность инструментального стека ИБ на последующих итерациях.
DevSecOps – это люди!
Как упоминалось выше, для построения DevSecOps важно взаимодействие и понимание между всеми участниками процесса, а этого можно добиться только грамотным построением центра компетенций внутри компании. Здесь выделяются три основных направления: программа осведомленности, программа обучения и методические руководства по безопасной разработке.
Программы осведомленности – это практика вовлечения в процесс безопасной разработки всех целевых подразделений в компании. В рамках такой программы должны проводиться вводные семинары для новых технических специалистов, функционирующих инженерных команд, а также для менеджмента.
Программы обучения обеспечивают повышение квалификации как специалистов из команд разработки, так и специалистов команды ИБ. Программы должны включать проведение очных тренингов по практикам безопасного кодирования и построения защищенных архитектур с учетом текущего практического опыта, постоянное повышение квалификации с использованием интерактивных курсов, регулярный контроль через тестирование уровня знаний.
Руководства по безопасной разработке предоставляют инженерам простой доступ к базе знаний для использования при разработке.
Оркестрация DevSecOps
Как вы уже поняли, DevSecOps – это сложный процесс, требующий автоматизированного управления и контроля, так называемой оркестрации, на всех этапах. Использование правильного инструмента для оркестрации DevSecOps может существенно сократить время на запуск инициативы безопасной разработки ПО, а также повысить эффективность взаимодействия с командами разработки в рамках общей трансформации инженерных процессов.
***
Подводя итог, хочется сказать, что переход от DevOps к DevSecOps – это не простой, требующий комплексного подхода, требовательный к финансовым и человеческим ресурсам, шаг. Но в то же время это шаг, который необходимо сделать всем компаниям, занимающимся разработкой ПО, чтобы адресовать современные угрозы кибербезопасности и остаться на рынке. Исходя из этого, компании Trust Technologies и Swordfish Security предлагают рынку комплексное решение, обеспечивающее безопасность разработки на всех стадиях жизненного цикла программных продуктов.
Опубликовано 31.08.2020