Tým má automatické sestavení aplikace, testy i nasazení. Přesto se bezpečnostní otázky opakovaně řeší až těsně před vydáním. Někdo pošle dlouhý seznam nálezů, není jasné, kdo je posoudí, a vývojáři nevědí, které opravy mají přednost. Právě taková situace může být důvodem pro zapojení zkušenosti s DevSecOps. Samotný nákup dalšího nástroje nemusí změnit způsob práce.
Modelová situace: kontrola, které nikdo nevěří
Představme si fiktivní tým, jehož automatická kontrola při každém sestavení hlásí desítky problémů. Část se opakuje, některé nejsou pro dané použití relevantní a jiné mohou vyžadovat rychlou reakci. Lidé si zvyknou upozornění přeskakovat. Potřebují proto nejen technické nastavení, ale i dohodu o vyhodnocení nálezů, vlastnících oprav a výjimkách. Tento příklad nepopisuje konkrétního zákazníka Meta Ventures.
Co má být výsledkem spolupráce
Smysluplné zadání může znít: zmapovat současný průchod změny, navrhnout vhodná kontrolní místa, zapojit vybrané kontroly a domluvit práci s výsledky. Výstupem nemá být jen zapnutý skener. Tým potřebuje rozumět tomu, co jej může zastavit, kdo rozhodne o výjimce a kde bude dohledatelné její zdůvodnění. Přijatelný rozsah se liší podle aplikace, jejího využití a důsledků případné chyby.
Jak se role vztahuje k DevOps a AppSec
DevOps se běžně věnuje cestě od vývoje k provozu. DevSecOps zdůrazňuje bezpečnost v této cestě a spolupráci lidí, kteří ji ovlivňují. AppSec může do řešení přinést hlubší pohled na konkrétní aplikační rizika a návrh. Názvy rolí však nejsou jednotnou zárukou zkušeností. Ptejte se kandidáta, co skutečně zaváděl, jak vyhodnocoval dopady a co předal týmu k samostatnému používání.
Chránit potřebuje i cesta k nasazení
OWASP DevSecOps Guideline se zabývá nejen kontrolami aplikace, ale také bezpečností samotné pipeline. Pro zadání je užitečné určit jejího vlastníka a hranice přístupů. NIST SSDF nabízí rámec praktik pro bezpečný vývoj; nejde o certifikaci konkrétního dodavatele. Tyto podklady mohou pomoci uspořádat otázky, samy ale neříkají, jaké konkrétní opatření je dostatečné pro váš systém.
Začněte omezeným, ověřitelným rozsahem
Vyberte jednu reprezentativní aplikaci nebo část procesu. Sepište, co se má změnit a podle čeho tým pozná přínos. Může jít například o jasného vlastníka každého závažného nálezu, dohledatelné rozhodnutí o výjimce nebo reprodukovatelný postup kontroly. Předem určete, kdo novou práci převezme po skončení podpory externisty. Bez této dohody hrozí, že se proces postupně vrátí do původního stavu.
Při hledání DevSecOps specialisty popište současné nástroje, typ aplikací a problém, který chcete odstranit. Domluvte rozsah ověření zkušeností a spolupráci s interním vývojem, provozem i bezpečností. Meta Ventures může pomoci upřesnit profil pro tuto konkrétní potřebu; dostupnost a rozsah zapojení se potvrzují podle poptávky.