DevSecOps Maturity Model

Aree chiave del Modello di maturità

Un modello di maturità DevSecOps consente alle organizzazioni di stabilire a che punto sono nel loro percorso verso DevSecOps, di valutare i loro progressi verso l'obiettivo finale e di identificare i prossimi passi per raggiungere i loro obiettivi.

Un modello di maturità per DevSecOps dovrebbe affrontare tre aree chiave:

• Qual è il nostro livello di maturità DevSecOps oggi?
• Di quale livello di maturità DevSecOps ha bisogno la nostra organizzazione?
• Cosa dobbiamo fare per arrivare da dove siamo, a dove l'organizzazione ha bisogno che siamo?

Esploriamo come il modello di maturità DevSecOps può aiutare a fornire valore al business, oltre ai livelli del modello e ai vantaggi di ciascuno.

I livelli del modello di maturità DevSecOps

Il modello di maturità DevSecOps ha quattro livelli, il primo dei quali rappresenta le caratteristiche di un'organizzazione che ha appena iniziato il suo viaggio DevSecOps, mentre l'ultimo rappresenta le caratteristiche di un'organizzazione che ha abbracciato completamente DevSecOps. I livelli devono essere considerati una guida, poiché il processo è più un continuum che una serie rigida di criteri di ingresso e di uscita. È importante che un'organizzazione completi il viaggio attraverso tutti i livelli: non è possibile raggiungere e sostenere il livello 4 senza aver completato quelli che lo precedono.

Il livello 1 è l'inizio del viaggio DevSecOps di un'organizzazione, in cui i team lavorano individualmente, il rischio e la sicurezza non sono adeguatamente considerati, la maggior parte delle attività sono completate manualmente e le opere di rimedio sono tipicamente intraprese dopo il lancio, oltre a richiedere molto tempo. Si presta poca o nessuna attenzione alla revisione di ciò che è andato bene o di ciò che potrebbe essere migliorato. In questo caso è necessario un cambiamento di mentalità, sottolineando l'importanza della collaborazione per migliorare i risultati.

Il livello 2 segna il vero inizio del viaggio DevSecOps, dove i confini tradizionali dei team iniziano a sfumare e l'innovazione viene celebrata. Le valutazioni del rischio vengono effettuate frequentemente e apertamente, e i compiti comuni sono parzialmente automatizzati. I tempi di riparazione migliorano, sia come risultato di un rilevamento più precoce che di una certa scansione delle vulnerabilità e delle configurazioni errate. La disponibilità della piattaforma migliora con l'automazione e la scalabilità del provisioning, nonché con la pianificazione di base del DR. I colli di bottiglia si riducono, ma molto lavoro di sicurezza viene ancora svolto alla fine del ciclo di vita.

Per Level 3 , la produttività e l'efficienza migliorano grazie a prodotti software di alta qualità rilasciati regolarmente su piattaforme affidabili. La collaborazione continua e la cultura dell'assenza di colpe prevalgono, con una valutazione completa dei rischi, la modellazione delle minacce e la sicurezza integrata nell'intero ciclo di vita. Sono presenti alti livelli di automazione in tutte le fasi di sviluppo, test e operazioni, oltre alla scansione dinamica delle vulnerabilità e delle misconfigurazioni, che supporta un programma di rilascio settimanale.

Il livello 4 del modello vede le organizzazioni più avanzate basarsi sui tre livelli precedenti per ottenere più rilasci giornalieri di codice in più ambienti di produzione affidabili. La sicurezza non è più un dominio o un team specifico, e i suoi processi e strumenti sono incorporati in tutto il ciclo di vita. Livelli di automazione molto elevati sono il segno distintivo della piena adozione di DevSecOps, con la modellazione e la valutazione delle minacce, la convalida del codice, i test, la scansione del codice e deployment, tutti altamente automatizzati. L'infrastruttura come codice è l'aspettativa, e le piattaforme scalano automaticamente utilizzando più fornitori di servizi cloud. Il percorso dell'utente è interamente visibile e informa una metodologia di sviluppo altamente evoluta e innovativa, che fornisce costantemente prodotti software di alta qualità e sicurezza.