DevSecOps 的实施

为了满足市场速度和规模要求的同时，设计安全的软件是很重要的，而DevSecOps在其中起到很重要的作用。

DevSecOps 是描述开发、安全和运营集成的术语。它是一种文化、自动化和平台设计策略，强调安全是整个 IT 生命周期中的共同责任。DevSecOps 从一开始就考虑到安全性来创建应用程序和基础设施的做法，同时涉及自动化安全检查，以免减慢当前的 DevOps 流程。为了满足安全目标，安全团队为持续集成安全选择和配备合适、正确的工具来满足必要的保护。

DevOps 将业务关键应用程序在性能、速度、功能和规模方面提升到了一个全新的水平。但是由于缺乏合规性和可靠的安全性，这些应用程序有时会滞后。而将 DevSecOps 集成到软件开发生命周期中就等于把开发、安全和运营置于一个统一的框架之下。借助 DevSecOps，每个开发人员和运维人员都将在开发和部署关键业务应用程序的每个阶段优先考虑安全性。

DevSecOps 的优势在于：

降低合规成本

更快地部署应用程序

提高软件交付率

从软件开发的最开始就进行安全检查、持续监控和自动部署检查

从应用程序开发的早期阶段提高可视性和透明度

在遭受安全攻击的情况下能够更快地恢复

通过启用进一步安全自动化来提高整体安全性

DevSecOps 的实施

实施 DevSecOps 能够让企业保持高速、敏捷地开发和创新，同时满足合规要求且永远领先攻击者一步。从 DevOps 切换到 DevSecOps 看起来复杂且不易执行，企业可以参考以下六点：

代码分析 - 以小规模、高频率的版本交付代码，以便更轻松高效地检查漏洞，同时将代码分析嵌入 QA 流程中。

变更管理 - 允许并鼓励开发人员随时提出重要任务安全更改建议并尽可能在24小时内批准更改，让变更管理流程变得更加高效。

合规监控 - 在开始编写代码或进行更改时收集合规性证据，以便让开发持续处于合规状态。

威胁研究 - 针对使用新交付代码对企业所做出的更改而产生的威胁或漏洞进行查找、调查、研究并且进行修正。

漏洞管理及评估 - 在发布代码并完成漏洞检查后，定期进行扫描并进行代码审查和渗透测试。

安全培训 - 鼓励技术人员参加行业会议或安全认证会议，并定期为他们提供安全开发的相关培训。