使用Continuous DeliveryDevSecOps
DevSecOps 是敏捷和 DevOps, 的演进，在软件交付生命周期中尽早集成了安全开发最佳实践。 此方法可防止安全问题影响生产系统并导致企业审计失败。
DevSecOps将安全实践与软件开发和操作生命周期相集成的方法。 合并的目标是优先考虑发展速度和安全性的平衡。要求将安全和合规控制自动化，作为持续集成和持续交付流程的一部分。 还收集了这些控制措施的证据，以向审计员证明历史记录中的每次更改都符合必要的控制措施。
根据金融服务行业的需求，Continuous Delivery 提供了 NIST 配置管理 控件作为服务的参考实现。 您可以通过使用模板进行几次单击来配置此服务。
DevSecOps 使用 Continuous Delivery （ Git Repos and Issue Tracking、Tekton Pipelines 和 Code Risk Analyzer）、Secrets Manager、Key Protect、Cloud Object Storage、Container Registry 以及 Vulnerability Advisor。 DevSecOps 开箱即用，还支持多种流行的扫描工具，例如 SonarQube, Gosec、OWASP Zap（动态扫描）、任何单元测试框架以及 GPG 签名。 它还可以与更多工具配合使用，例如外部的 Git 提供商和工件存储库。 DevSecOps 支持混合部署，特别是通过使用私有管道工作者，并且可以与其他部署工具（如 Satellite Config 和 ArgoCD ）进行集成。
DevSecOps 是如何运作的？
敏捷和 DevOps 提供了自动化和更高的开发速度，软件质量以及交付流程中的一致性和可靠性，同时消除了人为错误的可能性。 DevSecOps将一套安全和合规控制措施整合到DevOps流程中。 此功能允许组织在保持强大的安全态势和持续的审计就绪状态时快速且经常交付。
与敏捷和 DevOps, 一样，DevSecOps 引入了文化变革，消除了开发人员、运营人员、安全与合规人员之间的传统障碍。 开发团队对安全性拥有更大的所有权，而不是依赖外部团队来评估其软件的安全性，通常在开发周期中发现的漏洞具有更高的颠覆性和补救成本时较晚。 具有孤岛式安全团队的旧模型无法扩展，也无法满足云原生 DevOps 域中开发项目的需求。 有了DevSecOps,安全团队的目的就演变成更多的支持、建议和管理角色。
我为什么要使用 DevSecOps?
有了DevSecOps,开发人员可以继续频繁地交付更新，并将摩擦降到最低。 将自动化的安全扫描和控制集成到 DevOps 管道中，为变更管理过程提供了可靠的证据。 此集成还支持在满足所有安全条件并通过特定检查时自动将新部署核准到生产环境。 在开发和部署过程中引入安全性和合规性，可以在软件到达生产环境之前及早发现问题，从而降低成本和风险。 这种方法在开发的最初阶段就考虑到了安全问题。 此外，即使安全最佳实践是每个组织培训的一部分，开发人员也可能缺乏安全级别的深厚专业知识。 在交付生命周期的早期阶段应用 DevSecOps 并集成安全功能，可降低天真地将已知漏洞发布到生产中的风险。
跨组织的标准化
组织可以利用使用一组标准流程的显着优势，由开发异构产品和组件的多个不同团队进行持续集成和持续交付。 这些好处包括一致性和规模经济。 当针对合规性检测的一组规范性参考管道用于整个组织中的所有组件时，开发人员将花费更少的时间来开发自动化解决方案，并且可以专注于功能开发。 开发负责人和安全人员可以确信，已经制定了必要的控制措施，以确保安全，合规的软件，并提供可以在审计中使用的证据。 当使用标准实施时，可以简化组织内的安全审计，而不是使用自己的合规实施的每个组件或产品团队。
准备好加入DevSecOps? 查看我们的系列教程，了解如何 利用DevSecOps最佳实践部署安全应用程序。 您还可以了解有关 "DevSecOps的好处和相关 "解决方案"的更多信息。