DevSecOps标准解读优质文档课件.pptxVIP

DevSecOps标准解读

DevOps的定义：“开发（Dev）”和“运维（Ops）”的缩写，是一组过程、方法与系统的统称，强调业务人员及IT专业人员（开发、测试、运维等）在应用和服务生命周期中的协作和沟通；强调整个组织的合作以及交付和基础设施变更的自动化，从而实现持续集成、持续部署和持续交付等的无缝集成。DevSecOps的定义：是将信息安全的框架整合到DevOps的工作流程中，研发、运营、测试、安全多个部门紧密协作，在提升开发和运营敏捷性的同时，也保障了数据和服务的可用性与安全性。什么是DevSecOps？安全概念DevSecOps概念示意图

DevSecOps的由来2012Gartner的报告中首次提??了“DevOpsSec”这个概念2012年2017在RSA年度大会上“DevSecOps”成为了热门词汇，它是一种对DevOps的延展，DevSecOps提??安全是每个人的责任。2017年2017-至今至今DevOps的落地实践带动了DevSecOps的兴起，强调将信息安全的能力整合到DevOps的工作流程中，各部门重视安全，提升开发和运营敏捷性。传统开发模式中，安全介入较晚，且安全部门独立于软件开发、运维部门。

关于DevSecOps的几点理解？是一种安全的文化的渗透是制度流程和工具的集合是将安全性和合规性纳入软件全生命周期的方法是由学习和实践驱动的战略YesNo部署应用程序的能力在规模和速度上都得到了改善，但安全方面的考虑却常常被忽略，更倾向于快速满足业务需求。依靠应用程序来保持操作运行，开发过程中的安全性是上线的最后阶段执行，应用程序安全性必须加快以跟上软件开发的步伐。

DevSecOps生命周期计划阶段定义研发安全指标，进行威胁建模，安全工具培训等编码阶段IDE安全插件方式实现验证（测试）阶段在软件开发阶段消除这些漏洞可以降低企业的信息安全风险，包括SAST/DAST/IAST,SCA配置阶段签名验证、完整性校验和纵深防御检测阶段RASP、UEBA、网络监控和渗透测试响应阶段安全编排，基于RASP/WAF的安全防护、混淆DevSecOps的主要特征是通过在软件生命周期的各个阶段进行自动化，监控和应用安全性来提高客户成果和使命价值，包括计划，开发，构建，测试，发布，交付，部署，操作和监控等阶段。准生产环境混沌工程、模糊测试和集成测试发布阶段软件签名，传输等过程中防篡改预测阶段相关的脆弱性分析、IOC情报、STIX、TAXIIDevOpsSec优化阶段解决安全技术债、事件响应、纵深防御体系等不断适配、调整和优化ReDetect

标准背景说明牵头单位：工信部中国信息通信研究院（国家智库，可信云等出品单位）起草单位：中国信息通信研究院、云计算开源产业联盟、DevOps时代社区、高效运维社区、BATJ、中国银行、招商银行、平安科技、中国移动、中国联通和华为等目前进展：工信部和联合国ITU-T立项在研，2018年6月29日发布全量征求意见稿安全整风体险级管别理说标明准

安全及风险管理标准框架控制总体风险组织建设和人员管理安全工具链基础设施管理第三方管理度量与反馈改进数据管理控制开发过程风险需求管理设计管理开发过程管理控制交付过程风险配置管理构建管理测试管理部署与发布管理控制运营过程风险安全监控运营安全应急响应运营反馈《研发运营一体化（DevOps）能力成熟度模型第6部分：安全及风险管理》《研发运营一体化（DevOps）能力成熟度模型第6部分：安全及风险管理》标准是一种全新的安全理念与模式，强调安全是每个人的责任，指将安全内嵌到应用的全生命周期，在安全风险可控的前提下，帮助企业提升IT效能，更好地实现研发运营一体化，框架划分依据DevOps全生命周期分为：控制总体风险、控制开发过程风险、控制交付过程风险和控制运营过程风险四大部分。人人为安全负责·安全左移·全流程的安全内建·安全闭环

理、控制总体风险控制总体风险：在DevOps模式下，安全内建于开发、交付、运营过程中，总体风险包括三个过程中的共性安全要求，包括：组织建设和人员管理、安全工具链、基础设施管理、第三方管理、数据管理、度量与反馈改进。交付过程开发过程运营过程①组织建设与人员管理：在DevSecOps全过程中，建立对应的组织负责不同的安全职责，注重安全文化建设⑥度量与反馈改进：通过对研发、交付、运营过程的安全风险进行度量、展示并反馈给团队处理和改进④第三方管理第三方机构第三方人员第三方软件第三方服务合作/接入的安全风险控制③基础设施管理：要求基础设施在DevOps全生命周期中，提供安全、可靠、稳定、可持续的基础环境以及支撑服务的平