DevSecOps Maturity Model

성숙도 모델의 핵심 영역

DevSecOps 성숙도 모델을 통해 조직은 DevSecOps로의 여정에서 어느 단계에 있는지 설정하고, 궁극적인 목표를 향한 진행 상황을 평가하고, 목표 달성을 위한 다음 단계를 식별할 수 있습니다.

DevSecOps의 성숙도 모델은 다음 세 가지 주요 영역을 다루어야 합니다.

• 현재 DevSecOps 성숙도 수준은 어디입니까?
• 조직에 필요한 DevSecOps 성숙도는 어느 정도인가요?
• 우리가 있는 곳, 조직이 우리를 필요로 하는 곳으로 가기 위해 우리는 무엇을 해야 할까요?

DevSecOps 성숙도 모델이 비즈니스 가치를 제공하는 데 어떻게 도움이 될 수 있는지, 모델의 수준과 각 모델의 장점에 대해 살펴봅니다.

DevSecOps 성숙도 모델의 수준

DevSecOps 성숙도 모델에는 4가지 수준이 있으며, 첫 번째 수준은 이제 막 DevSecOps 여정을 시작한 조직의 특성을 나타내고, 마지막 단계는 DevSecOps를 완전히 수용한 조직의 특성을 나타냅니다. 레벨은 가이드로 간주되어야 하는데, 프로세스는 엄격한 입구 및 출구 기준의 집합이라기보다는 연속체에 가깝기 때문입니다. 중요한 것은 조직이 모든 레벨을 통해 여정을 완료해야 한다는 것입니다 – 레벨 4를 달성하고 유지하는 것은 그 이전의 단계를 완료하지 않고는 불가능합니다.

레벨 1 은 조직의 DevSecOps 여정의 시작으로, 팀이 개별적으로 작업하고, 위험 및 보안을 적절하게 고려하지 않으며, 대부분의 작업을 수동으로 완료하고, 수정 작업은 일반적으로 출시 후 수행되고 시간이 많이 소요됩니다. 잘된 점이나 개선할 수 있는 점을 검토하는 데 거의 관심이 없습니다. 여기에는 사고 방식의 변화가 필요하며, 결과를 개선하기 위한 협업의 중요성을 강조합니다.

레벨 2 는 DevSecOps 여정의 진정한 시작을 의미하며, 기존 팀의 경계가 모호해지기 시작하고 혁신을 기념합니다. 위험 평가는 빈번하고 공개적으로 수행되며 일반적인 작업은 부분적으로 자동화됩니다. 수정 기간은 조기 검색과 취약성 및 잘못된 구성에 대한 일부 검사의 결과로 개선됩니다. 플랫폼 가용성은 프로비저닝 자동화 및 확장과 기본 DR 계획을 통해 향상됩니다. 병목 현상은 줄어들지만 수명 주기가 끝날 때 많은 보안 작업이 여전히 수행됩니다.

레벨 3 은 신뢰할 수 있는 플랫폼에 정기적으로 출시되는 고품질 소프트웨어 제품을 통해 생산성과 효율성이 향상되는 것을 볼 수 있습니다. 지속적인 협업과 흠잡을 데 없는 문화가 우세하며, 포괄적인 위험 평가, 위협 모델링 및 보안 기능이 라이프사이클 전반에 걸쳐 내재되어 있습니다. 개발, 테스트 및 운영 전반에 걸쳐 높은 수준의 자동화가 제공될 뿐만 아니라 주간 릴리스 일정을 지원하는 동적 취약성 및 잘못된 구성 검사가 제공됩니다.

모델의 레벨 4는 가장 발전된 조직이 위의 세 가지 레벨 을 기반으로 구축하여 신뢰할 수 있는 여러 프로덕션 환경에 매일 여러 코드 릴리스를 달성하는 것을 봅니다. 보안은 더 이상 특정 도메인이나 팀이 아니며 프로세스와 도구는 수명 주기 전반에 걸쳐 포함됩니다. 매우 높은 수준의 자동화는 위협 모델링 및 평가, 코드 유효성 검사, 테스트, 코드 검사 및 배포가 모두 고도로 자동화된 DevSecOps의 완전한 채택의 특징입니다. 코드형 인프라(Infrastructure as Code)가 기대되며, 플랫폼은 여러 클라우드 서비스 제공업체를 활용하여 자동으로 확장됩니다. 사용자 여정은 완전히 가시적이며, 고도로 진화하고 혁신적인 개발 방법론을 알려주며, 고품질 및 보안 소프트웨어 제품을 지속적으로 제공합니다.