云為DevOps提供了許多優(yōu)勢，但要付出一定的代價。在本文中解釋了為什么所有DevOps團隊都必須將安全性放在首位。

云通過敏捷，用戶友好和可擴展的規(guī)模為企業(yè)提供了運營和管理優(yōu)勢。它還使IT團隊能夠應用持續(xù)集成/持續(xù)部署（CI / CD）方法來更快地交付應用程序和功能。通過使用稱為DevOps的開發(fā)和交付方法，整個組織可以更好地響應客戶和市場需求，并持續(xù)交付創(chuàng)新。

速度是DevOps的本質(zhì)。這個想法是要迭代，迭代，迭代并快速在用戶面前獲得修復和新功能。盡管不一定是安全的對手，但速度可能會對在組織的云環(huán)境中維持嚴格的安全狀態(tài)所需的預防細節(jié)產(chǎn)生負面影響。當然，這兩個學科的目標之間存在一定的張力，但是實現(xiàn)各自的目標不一定是零和游戲。實際上，所需要的是一種將快速CI / CD的需求與云安全控制和策略相集成的方法，以使數(shù)據(jù)和資源既有效又安全地工作。

在結(jié)構(gòu)中建立安全性

一些組織將安全性作為要定期檢查的錯誤和漏洞的檢查表。對于云中的現(xiàn)代企業(yè)而言，這不會削減成本。安全工作必須融入組織的文化中，并應強調(diào)為整個IT，產(chǎn)品和工程流程的組成部分。除了使用將安全控制應用于代碼和資源的最佳實踐之外，團隊還必須在系統(tǒng)在生產(chǎn)環(huán)境中運行時建立自動安全檢查。即使從一開始就在設計應用程序和系統(tǒng)時都考慮到安全性，并且在整個開發(fā)過程中進行了所有適當?shù)陌踩栽u估，但安全漏洞仍然存在，配置也會發(fā)生變化。為了保持安全，企業(yè)必須對生產(chǎn)中的系統(tǒng)進行持續(xù)的安全性和法規(guī)遵從性監(jiān)控。

使自動化成為您的盟友

使用DevOps時有許多優(yōu)點，而限制安全措施將適得其反。隨著云部署和應用程序開發(fā)的快速發(fā)展，應用程序功能的日新月異，配置的更改以及工作負載的變化，無法手動跟上。幸運的是，有一種方法可以將安全性嵌入到DevOps實踐中，即自動化。大多數(shù)開發(fā)人員已經(jīng)熟悉腳本，編碼和簡化復雜性的自動化概念，并且云中的安全性可以以相同的方式運行。

安全功能與代碼的功能不同，但是管理安全性的過程可以通過腳本和API來訪問，而不是特定的工具集。隨著云環(huán)境利用微服務架構(gòu)，并使用DevOps支持開發(fā)和部署，現(xiàn)在安全性的許多方面都是可編程的。

集成和部署管道非常適合作為常規(guī)開發(fā)工作流程的一部分，自動化質(zhì)量保證和安全控制的應用。但是，隨著資源被添加到云環(huán)境中，并且更多應用程序之間的連接不斷增加，對構(gòu)成組織安全態(tài)勢的設置，策略，控件，簽名和其他元素的持續(xù)洞察，測試和修復的需求也日益增加。

找到共同點

整合DevOps和安全性需要團隊之間進行文化變革，但對于融合兩者的需求至關(guān)重要。目標應該是開發(fā)人員，運營團隊，IT領導，質(zhì)量保證和安全性都將安全性作為開發(fā)和管理各個方面的優(yōu)先考慮。DevOps和安全都有一些獨特的最佳實踐。其中一些可以共享，而另一些則可以分開，但是當不同的小組了解其他目標時，他們可以制定支持他們的流程。

這看似基本，但成功的最重要因素是對他人需求的溝通和同理心。其中一些是通過智能通信和敏捷的工作環(huán)境實現(xiàn)的，該環(huán)境允許團隊不斷改進流程和運營工作流程。同樣重要的是，使用正確的激勵措施和KPI來鼓勵不同群體改變這種新的集成DevOps /安全操作方式的方式。

結(jié)論

云環(huán)境是動態(tài)的。在各種類型的工作負載，令人眼花connections亂的連接以及不斷增長的表面積（呈現(xiàn)出越來越多的端點）的情況下，推動代碼并使其變得安全的一切都在發(fā)生?？紤]到激進的時間表和交付期限，很容易讓安全性要求的紀律松懈。但是，在當今高度連接的世界以及瞬息萬變的云環(huán)境中，讓安全性暫時消失只是企業(yè)根本無法承受的事情。為了獲得成功，企業(yè)必須具備適當?shù)牧鞒毯图夹g(shù)（最重要的是人員），以保持系統(tǒng)的充分安全。