[レポート] 世界のDevSecOps の現状 2023

《DevSecOps状态报告2023》概述了全球DevSecOps现状及其对软件安全的影响策略、工具和实践。报告以自动化的优点为起点，强调了DevSecOps在安全文化传播和持续集成与部署（CI/CD）过程中的应用。以下要点总结了报告的主要内容：

DevOps与DevSecOps对比

• DevOps强调加速开发、持续交付、流程弹性、可扩展性和端到端透明性。
• DevSecOps是DevOps的扩展版本，旨在在整个团队中灌输安全文化，并在DevOps环境中早期持续地处理安全问题。

DevSecOps的采用情况

• 报告调查了1000名IT专业人员，包括开发者、应用安全专家、DevOps工程师、CISO，以及在技术、网络安全、应用/软件开发领域担任不同职务的专家。
• 调查覆盖全球多个国家和地区，涵盖不同行业和规模的企业。
• 调查发现，DevSecOps已经成为不可或缺的业务实践，被认为是风险管理的关键考虑因素。

DevSecOps的挑战与机遇

• 开发过程中的安全引入通常通过将传统应用程序安全测试（AST）整合到软件开发生命周期（SDLC）中实现。
• AST工具存在复杂性高、学习曲线陡峭、性能不佳、成本效益比低等问题。
• 自动化测试提供了持续性和扩展性优势，有助于快速验证代码更改，减少人工测试的误差和成本，并推动团队改进安全实践。

ASOC/ASPM的增加

• 应用程序安全编排和管理（ASOC/ASPM）的使用显著增长，成为成熟度较高的安全计划的一部分。
• ASPM解决方案允许跨多个开发工具和安全工具进行数据聚合、关联和优先级设置，以持续监控和管理应用程序风险。

DevSecOps成熟度与实践

• 报告显示，超过90%的受访者已在其软件开发管道中实施了某种形式的DevSecOps活动。
• 成熟度等级从1（无结构化/未系统化的过程）到5（持续分析和改进过程）不等，其中25%的组织达到了第四级成熟度。
• 关键实践包括安全风险管理、设计阶段的安全集成、编码安全实践、各种安全性测试、环境配置管理、威胁数据响应、持续测试、监控和测量，以及安全事件响应计划。

自动化与手动测试的组合

• 手动测试存在一致性、范围和错误的可能性，而自动化测试可以迅速、高效地应用于每个构建和部署，并有助于持续改进和文档化。
• 自动化测试有助于减少人为错误，节省时间和成本，并提高开发者的经验。

有效DevSecOps实施的障碍与策略

• 主要障碍包括安全培训不足、安全人员短缺、开发和运维流程的透明度缺乏、不断变化的优先级，以及工具/流程的有效性问题。
• 建议包括采用部门交叉的DevSecOps团队、集成自动安全测试、培养安全倡导者、改善跨团队沟通、应用基础设施作为代码（Infrastrucure-as-code）原则。

组织成熟度与评估工具

• 大多数受访者认为使用像BSIMM这样的评估工具对安全计划有帮助，部分认为非常有益。
• 这些工具能提供基于数据和客观分析的评估，帮助组织识别资源、时间、预算和优先级的分配。

结论

《DevSecOps状态报告2023》强调了DevSecOps在提升软件安全性和业务效率方面的关键作用，同时指出了一些挑战和改进策略，以促进更有效的安全实践和团队协作。