Tweet
Tổng quan:
DevSecOps là đại diện cho Development, Security, Operations. Đó là cách tiếp cận đến văn hóa, tự động hóa và thiết kế platform có tích hợp bảo mật như một nghĩa vụ chung trong toàn bộ vòng đời của một sản phẩm CNTT.
DevSecOps vs DevOps
DevOps không chỉ là ám chỉ đến các team phát triển và vận hành. Nếu bạn muốn tận dụng tối đa sự nhanh nhẹn và khả năng đáp ứng của phương pháp DevOps, bảo mật cũng sẽ phải đóng một vai trò tích hợp trong toàn bộ vòng đời sản phẩm của bạn.
Tại sao ư? Trong quá khứ, vai trò bảo mật được tách biệt cho một team cụ thể trong giai đoạn phát triển cuối cùng. Điều đó sẽ không có vấn đề gì khi quy trình phát triển kéo dài hàng tháng hoặc thậm chí hàng năm, nhưng việc đó không còn đúng ở thời điểm hiện tại.
DevOps hiệu quả phải đảm bảo chu kỳ phát triển nhanh chóng và thường xuyên (đôi khi vài tuần hoặc vài ngày), nhưng đối với các phương pháp bảo mật lỗi thời thì nó đó có thể phá hỏng mọi thứ ngay cả những sáng kiến DevOps hiệu quả nhất.
Giờ đây, Trong các frame- work của DevOps, bảo mật là một trọng trách chung được tích hợp từ đầu đến cuối. Đó là một tư duy quan trọng đến mức khiến một số người đặt ra thuật ngữ “DevSecOps” để nhấn mạnh tầm quan trọng của nó trong việc xây dựng nền tảng bảo mật cho những kế hoạch DevOps.
DevSecOps có nghĩa là suy nghĩ về việc bảo mật ứng dụng và cơ sở hạ tầng ngay từ đầu. Điều đó cũng có ng- hĩa là tự động hóa một số cổng bảo mật để giữ cho quy trình làm việc DevOps không bị chậm lại. Chọn lựa những công cụ phù hợp để liên tục tích hợp bảo mật, như là đồng ý về một môi trường tích hợp (IDE) với các tính năng bảo mật, điều đó cũng có thể giúp đáp ứng các mục tiêu này. Tuy nhiên, bảo mật DevOps hiệu quả đòi hỏi nhiều hơn các công cụ mới, nó được xây dựng dựa trên những thay đổi văn hóa DevOps để tích hợp công việc của team bảo mật sớm hơn thay vì chậm trễ.
DevOps security được tích hợp từ bên trong
Cho dù bạn gọi nó là “DevOps” hay “DevSecOps” thì việc có thêm bảo mật như một phần không thể thiếu của toàn bộ vòng đời sản phẩm luôn là một điều lý tưởng. DevSecOps là việc tích hợp bảo mật từ bên trong, chứ không phải chỉ có chức năng bảo mật như một vành đai xung quanh các ứng dụng và dữ liệu. Nếu bảo mật vẫn còn nằm ở cuối quy trình phát triển, các tổ chức đang áp dụng DevOps có thể sẽ phải quay trở lại với vòng đời phát triển kéo dài mà từ đầu họ đã
cố gắng tránh.
Một phần nào đó, DevSec- Ops nhấn mạnh sự cần thiết khi phải mời các team bảo mật và những cộng sự ngay từ ban đầu khi diễn ra các hoạt động DevOps, điều đó nhằm để xây dựng về bảo mật thông tin và thiết lập kế hoạch tự động hóa bảo mật. Đó cũng là nhấn mạnh sự cần thiết để giúp các lập trình viên lưu ý đến vấn đề bảo mật. Đây là một quy trình liên quan đến việc các team bảo mật chia sẻ về tầm nhìn, phản hồi và thông tin chi tiết về các mối đe dọa mà họ biết. Đó cũng có thể là việc đào tạo bảo mật cho các lập trình viên, vì việc đó vốn không phải là vấn đề trọng tâm trong phát triển ứng dụng kiểu truyền thống.
Bảo mật được tích hợp thực sự sẽ ra sao? Đầu tiên, một chiến lược DevSecOps tốt là xác định mức độ chấp nhận rủi ro / lợi ích. Mức độ kiểm soát bảo mật nào là cần thiết trong một ứng dụng? Tốc độ tiếp cận thị trường cho các ứng dụng khác nhau quan trong như thế nào?
Tự động hóa các tác vụ lặp đi lặp lại chính là chìa khóa của DevSecOps, vì việc chạy kiểm tra bảo mật thủ công trong quy trình có thể gây tốn rất nhiều thời gian.
Comment