DevSecOps 如何改變未來？

根據最新的數據顯示，IT 和資安團隊開始利用彼此的技術來提高業務透明度、安全性成果。

根據標準普爾全球市場情報部門 451 Research 的分析，開發人員使用程式安全工具的次數幾乎與資安專家一樣頻繁。與此同時，最近 Forrester Research 預測，資安專家將開始採用一種開發人員常用的做法——可觀測性功能( observability capabilities )。

而這將如何改變團隊設計及運作的方式？ 以下是對 DevSecOps 的三個預測，以及如何應用它們的潛力。 

預測一 : 可觀測數據應用在資安的潛力

實務上，可觀察性數據（observability data）可能存在於一個不重要且獨立或是資安分析師難以應用的系統中。 但想像一下，假如 DevOps 和資安團隊都能夠利用可觀察性數據，會發生甚麼？

透過相關的日誌和蹤跡，可觀測數據可以強化調查並改善 SRE 和資安分析師處理告警疲勞的體驗。可觀測性解決方案還能使資安服務供應商了解平均回應時間 (MTTR) 的數據。另一個結果可能是提高數據的能見度，從而實現對事件的響應（ incident response）。

正如 451 Research 所指出，「團隊依靠數據監測來保證現代技術的效益和可用性－在「 IT 可觀測性 」的概念中亦是－這些數據也逐漸代表與保護組織資安直接相關的數據來源。」

預測二: 不同團隊的專業知識趨於整合

如 451 Research 數據所顯示，從 IT 決策者在 DevOps 和資安團隊分配工具的方式說明了很多事。2015 年，資安工具使用存在巨大差異，當時只有 29% 的開發團隊與 71% 的資安團隊使用了資安應用工具。到 2020 年，這項數據的差距縮小：48% 的開發團隊和 52% 的資安團隊使用資安應用工具。

這些數據顯示出：資安已有很長一段時間不再僅由資安團隊負責，開發人員將會需要不斷地學習專業知識，以便在不影響關鍵功能的情況下減少風險。

為此，資安專家被期望精通快速開發及導入技術所需的工具和流程。 DevOps 和資安團隊將會需要在彼此的工作內容中有足夠的了解，以在不阻礙開發的情況下塑造強大的的資安環境。

預測三: 組織高層由上而下的推手

DevOps 和資安與企業的盈虧息息相關。可靠的產品創造更高的收入，有效的運營控制成本。防止數據洩露可以減輕損失和回收總和達數百萬的成本。 Devops 和資安似乎自然而然地齊頭並進，當然，這也需要 IT 主管在幕後推手。

組織高層可以影響對 DevSecOps 的看法，並將其視為必要的業務需求，一種能為組織帶來收益的需求。組織高層對 DevSecOps 的支持可以幫助消除許多錯誤觀念，例如：「在開發過程中提早測試 (shifting left)會使開發延誤」的誤解，進而宣揚在開發流程前期就導入資訊安全的好處。

DevSecOps 最大化數據的可能性

導入 DevSecOps 能夠利用企業最珍貴的資產 — 也就是數據，提供更多團隊可操作的洞見
數據規模化後，數據觀測團隊除了需要處理大量的數據，資安也是一定會面臨的問題。整合專業知識、提升透明度及領導層的支持，可以讓企業在安全環境中藉由數據獲得洞見，為企業帶來更多可能。

Elastic 強大的搜尋功能幫助用戶及組織，將數據無窮的可能性化為真實。例如，在安全性和可觀察性領域，Elastic 提供可操作的可觀測性 (actionable observability) 來加速分析問題的核心；APM 關聯性可以應用於找出脆弱的安全漏洞 (例如 Log4j)。

Elastic 解決方案幫助企業、它們的員工以及它們的顧客更快滿足他們的需求，同時保持關鍵任務的應用程式平穩地運作，以及抵禦網路攻擊。

繼續閱讀以了解為什麼是時候讓更多的 CISO 接受 DevSecOps。