讓DevSecOps真正落地
時間：2022-04-25 16:39:01 | 來源：行業(yè)動態(tài)
時間：2022-04-25 16:39:01 來源：行業(yè)動態(tài)
DevSecOps是在DevOps落地的前提下部署的，它和DevOps一樣非常重視協(xié)作，需要改變?nèi)藗兊年P鍵、調(diào)整流程、借力自動化工具。其中對企業(yè)轉向DevSecOps最大的阻力還是來自企業(yè)文化，一般而言，開發(fā)團隊不愿意改變自己的開發(fā)流程，更愿意繼續(xù)沿用傳統(tǒng)的開發(fā)方法。另一方面，DevSecOps特別強調(diào)將開發(fā)人員與安全人員統(tǒng)一起來，共同建立起協(xié)作環(huán)境。但這兩大團隊間總是存在一定程度的摩擦，甚至認定對方總在跟自己作對，這直接違背了DevSecOps的核心原則。只有改變這種狀況才能讓DevSecOps文化在組織內(nèi)落地、開花結果。
很多企業(yè)在引入DevSecOps的另一大常見挑戰(zhàn)在于，常有人認定安全保障會拖慢軟件開發(fā)工作速度、甚至阻礙創(chuàng)新。為了滿足業(yè)務需求，為了商業(yè)競爭，開發(fā)人員希望不斷加快代碼的交付速度。但是，安全團隊的核心重點在于保障代碼安全，而這兩個截然不同的目標導致團隊之間難以彼此理解、協(xié)同工作。
另外，安全人員的不足也可能影響DevSecOps的落地。如前所述，在開發(fā)流程中，安全人員原本就是相對缺乏的，而且就整個行業(yè)而言，相對于嚴峻的安全形勢（不斷爆出的安全漏洞與攻擊事件），安全人員也是不足的。根據(jù)Cybersecurity Ventures發(fā)布的報告，2021年全球網(wǎng)絡安全職位空缺將多達350萬個，因此，安全專家的不足很可能是很多中小型開發(fā)團隊面對的一個難題。
DevSecOps落地的另一個問題是自動化工具還需要優(yōu)化和豐富。和DevOps一樣，DevSecOps也非常依賴自動化的工具，需要借助工具來構建腳本、將源代碼進行編譯、進行軟件漏洞掃描。一個好用的自動化工具不僅要提供多種強大的功能、豐富的插件庫，還具備多種易于上手的用戶界面，其中一部分甚至能夠自動檢測易受攻擊的庫并及時加以替換。目前，在自動化工具方面主要以開源為主，這些工具的易用性、安全性還有不小的改進空間。
不過，盡管DevSecOps在落地過程中還存在這樣那樣的障礙，但是在改善軟件質(zhì)量、提高軟件安全性以及縮短交付期等壓力之下，作為應對這些需求最為有效的辦法之一的DevSecOps被認可、被部署應該是眾望所歸。顯然，這種需求越強烈，DevSecOps越是有望迎來自己的高速發(fā)展時期，這一時期相信不會太遠。
在線咨詢