20250528-云安全联盟-互联网_DevSecOps的六大支柱_集体责任_24页_1mb

DevSecOps 的六大支柱：集体责任总结

核心内容

DevSecOps 是一种将安全原则、流程和技术整合到持续软件开发和IT运营文化中的方法，旨在提升软件安全性，同时满足快速迭代和自动化的需求。云安全联盟（CSA）与 SAFECode 联合发起的 DevSecOps 工作组，围绕六大支柱展开研究，其中“集体责任”是基础性支柱，对其他支柱的实施具有深远影响。

主要观点

DevSecOps 的成功不仅依赖于技术工具和流程，更依赖于组织内部的文化转变。集体责任是 DevSecOps 实施中最具挑战性的部分，因为它需要所有团队成员，从开发人员到高层管理者，都意识到自身在软件安全中的角色，并主动承担责任。

• 文化的重要性：安全文化是组织应对复杂威胁环境的第一道防线，必须通过培训、沟通和激励措施来培养。
• 安全冠军的作用：安全冠军作为开发团队中安全意识的代表，是推动集体责任文化的重要力量。他们需要具备明确的职责、授权以及与安全团队的紧密合作。
• 高层支持与参与：管理层的坚定支持是 DevSecOps 成功的关键，他们应积极参与并推动安全文化的建立。
• 培训与意识提升：全面的培训计划有助于提高所有团队成员对安全的理解和实践能力。
• 持续运维与评估：DevSecOps 需要持续的监控、测量和反馈机制，以确保安全文化的长期发展和有效性。

关键信息

1. 六大支柱概述

DevSecOps 的六大支柱包括：

1. 集体责任：所有团队成员对软件安全负有共同责任。
2. 培训和流程整合：通过培训提升安全意识，将安全流程嵌入开发和运营中。
3. 务实的实现：采用实际可行的安全措施，避免过度理想化。
4. 建立合规与发展的桥梁：确保安全实践与业务目标一致，促进合规与创新的平衡。
5. 自动化：利用自动化工具提高安全效率和一致性。
6. 测量、监控、报告和行动：通过可操作的指标和反馈机制持续改进安全实践。

2. 集体责任的实施

• 安全设计的心态：在软件开发和运营的每个阶段都考虑安全问题。
• 全员参与：从开发到IT运营，再到管理层，所有人员都应参与安全实践。
• 个人责任与信任：强调个体责任和信任，以增强自主性和敏捷性。
• 业务目标与安全的一致性：确保安全行为与业务目标相一致，以提高团队积极性和执行力。

3. 安全冠军的实施

• 角色定位：安全冠军应被视为主要职责，最好是全职或接近全职。
• 协作与授权：安全冠军应与安全团队和首席架构师密切合作，拥有威胁和隐私模型。
• 计划支持：安全冠军需要正式的、管理层支持的计划，以确保其工作的有效性和可持续性。

4. 培训与意识提升

• 全员培训：所有团队成员，包括架构师、技术作家、项目经理等，都应接受基础安全培训。
• 多样化外联活动：如午餐和学习、开放时间、安全游戏化、黑客马拉松等，有助于提升安全意识。
• 反馈机制：培训和外联活动应有反馈机制，以评估效果并优化后续计划。

5. 持续运维与成效评估

• 指标驱动：制定可操作的指标以衡量安全文化的发展和 DevSecOps 的成效。
• 文化演变：组织文化会随时间变化，需持续调整策略以适应新的挑战。
• 领导层的持续支持：领导层必须持续支持安全文化的发展，以确保计划的长期成功。

附录信息

附录一：健康问题与讨论要点

• 是否使用威胁建模来帮助构建功能需求？
• 是否使用功能安全要求指导软件组件选择？
• 漏洞发现是否反馈到设计和开发过程中？
• 产品安全事件响应人员是否参与安全设计、流程和培训？
• 安全问题是否影响产品“构建”运营？
• 安全冠军是否应拥有威胁和隐私模型？
• 是否在每个产品组中都有安全支持者？
• 团队成员是否能独立于安全支持者工作？
• 未修复的安全漏洞是否应获得批准？
• 当前或先前版本中已批准的异常何时变得不可接受？
• 是否能够构建和重用参考库？是否能访问威胁和隐私模型？

附录二：延伸阅读

以下为相关研究与指南的链接：

1. Fundamental Practices for Secure Software Development
2. The Six Pillars of DevSecOps
3. [Information Security Management Through Reflexive Security](https://cloudsecurityalliance.org/artifacts/information-security- management-through-reflexive-security/)

行业合作伙伴

• 云安全联盟（CSA）：全球领先的云安全研究和教育组织。
• 软件保证卓越代码论坛（SAFECode）：致力于通过改进软件保证方法来提升对信息与通信技术的信任。

云安全联盟大中华区

• 位于上海的国际非政府组织。
• 旨在推动中国数字安全技术标准与产业的发展，并加强国际合作。

总结

DevSecOps 的成功依赖于集体责任的建立和持续的文化变革。通过培训、安全冠军计划、高层支持和持续的指标监控，组织可以有效推动安全意识和实践。然而，文化变革是一个长期过程，需要耐心和策略性地实施。云安全联盟和 SAFECode 提供了重要的指导和研究，帮助组织在 DevSecOps 实施过程中克服挑战，建立可持续的安全文化。