Elastic｜為何資安與 DevOps 的協作如此重要？

為何整合資安和 DevOps 團隊至關重要？

對於資安和 DevOps 團隊來說，想在競賽中保持優勢，就必須與彼此保持一致的步調。
無論這場競賽是潛伏在網路上的威脅，還是競爭對手將新產品推向市場，整合資安和 DevOps 團隊能更好地保護組織，並開發創新的技術性解決方案。

舉例來說，想像一個正在調查 Log4Shell 漏洞的資安團隊，假如能夠使用可觀察性數據 （observability data）， 資安分析師便能夠透過程式效能監控（APM) 和可觀察性解決方案提供的相關日誌及蹤跡，更好地瞭解 Log4j 在其應用程式中被入侵的可能性。以其他方面來看，開發人員可以透過早期測試（shifting left)，在開發過程的前期，整合安全性問題，從而避免事後為了符合資安合規（security compliance）而導致速度降低甚至增加風險。

整合數據孤島的效益雖高，但實際上卻是「說來容易，做來難」。如何讓領導者與其團隊更密切地合作？ 以下建議幫助您向 DevSecOps 的未來靠攏。 

團隊培訓：IT 和資安團隊共同排練事件響應

「網路安全是一項團隊運動」這是資安專家常提及的「諺語」。跨團隊甚至跨組織的合作對資安侵害的響應至關重要。

然而，這樣的思維並非總是如此。標準普爾全球市場情報部的 451 Research 寫道：「過去，追蹤和降低整個組織的威脅被視為資安團隊的職責」。隨著資料外洩的強度和成本不斷上升，威脅預防及響應需所有人同心協力，從控制威脅事件的響應者，到資料外洩後減輕名譽受損的公關團隊，再到將資安資料整合成技術開發和將其導入的  IT 團隊。

另一句常聽到的諺語「熟能生巧」，是體育和資安的共通點。練習形式包括完成員工資安意識的培訓到響應團隊進行緊急應變管理（tabletop exercises）的演習等等。Elastic 首席資訊安全官 Mandy Andress 建議這樣的網路安全技巧：「擬定規避計畫（mitigation plan）並經常地與 IT 和資安團隊排練，再配合領導執行，如此便能對數據外洩做出快速和有意識的響應。」有計劃地與資安和 IT 團隊一起制定事件響應計畫有助於所有人做好準備。

流程：使用單一平台簡化流程

451 Research 指出資安與 IT 團隊的目標重疊，有助於可觀察性與資安流程更緊密地合作和互利互惠。「對資安問題進行分類及識別的能力，是可觀察性的一部分，而對問題的核心採取行動和區隔的能力，應該被整合至現代化業務技術系統中。」

儘管資安和 IT 團隊擁有共同目標，可觀察性和資安數據可能被分別存放於各自的獨立系統。想像一下，如果代表資安和可觀察性的相關數據同時被彼此的團隊使用，會發生什麼？將兩者整合的強大之處在於，它能將可觀察性、資安團隊和程序更緊密地結合，它還能提供更深層的數據洞見，將可觀察性數據增添到日誌中，從而萃取行為特徵的標籤、和資安風險因子。

整合平台方式提供簡化和擴大流程的機會，例如：調查工作、追蹤和分析威脅。它也順應 「Gartner  2022 年預測」供應商的整合趨勢，而組織也正致力於消除複雜性工具所導致的低效率。

技術：利用整體安全和可觀察性解決方案監控

俗話說：「人會犯錯」。整體監控工具（Holistic monitoring tools）能夠協助發現開發過程中一些潛在的資安漏洞，以免為時已晚。持續監控 是DevSecOps 的理想方案，因為它具有能夠監控資安、稽核、合規性和績效的應用程式。

Andress 建議：「使用外部掃描系統，持續監控被暴露的數據庫」。她繼續說道：「當開發人員將敏感數據錯誤地暴露在外，這些工具會立即通知資安團隊，他們擁有能夠掃描內部與外部的整體資安系統和可觀察性解決方案」。

從何著手？

雖然以下三點舉例涉及人員、流程和技術，然而，所有要素並非一樣重要，想讓資安和 DevOps 團隊間密切合作，並從實踐 DevSecOps 過程中獲益，先從人員著手。

如果沒有技藝精通的人才，就算擁有正確的技術或簡化流程，也無法發揮 DevSecOps 真正的功能。Andress 建議：「與能夠將技術有創意地應用到環境，採取防禦措施抵禦新威脅，並擁有高度同理心，與用戶溝通的人才創建團隊」。此外，領導層也必須一同加入改革中，首席資訊官（CIO）與首席安全官（CISO) 才是組織高層創建組織新氛圍的推手。

組成合適的團隊並建立明確的共同目標後，必須著重於團隊之間對於技術和流程的共識。正如 451 Research 表示：「為了以現代 IT 的速度實現安全開發，合作團隊必須熟悉維持高效運行所需的關鍵工具和策略。「雖然實施改革「說來容易，做來難」，但著手於如何將資安與可觀察性優勢整合至 DevSecOps 的實際應用，最終能幫助企業提高效能與保護其客戶的資訊安全。

閱讀  Security without limits 了解統一與整合資安所帶來的好處
本文翻譯自：How to build collaboration across security and DevOps teams–and why it’s business critical