DevSecOps Maturity Model

Áreas-chave do modelo de maturidade

Um modelo de maturidade DevSecOps permite que as organizações estabeleçam onde estão em sua jornada para o DevSecOps, avaliem seu progresso em direção ao objetivo final e identifiquem as próximas etapas para atingir seus objetivos.

Um modelo de maturidade para DevSecOps deve abordar três áreas principais:

• Onde está nosso nível de maturidade DevSecOps hoje?
• De que nível de maturidade DevSecOps nossa organização precisa?
• O que precisamos fazer para sair de onde estamos e chegar onde a organização precisa que estejamos?

Exploramos como o modelo de maturidade DevSecOps pode ajudar a agregar valor ao negócio, bem como os níveis do modelo e as vantagens de cada um.

Os níveis do modelo de maturidade DevSecOps

O modelo de maturidade DevSecOps tem quatro níveis, o primeiro representando as características de uma organização que está apenas iniciando sua jornada DevSecOps, o último representando as características de uma organização que adotou totalmente o DevSecOps. Os níveis devem ser considerados um guia, pois o processo é mais um continuum do que um conjunto rígido de critérios de entrada e saída. É importante ressaltar que uma organização deve completar a jornada através de todos os níveis – não é possível atingir e sustentar o nível 4 sem completar aqueles que o precedem.

O nível 1 é o início da jornada DevSecOps de uma organização, onde as equipes trabalham individualmente, o risco e a segurança não são considerados adequadamente, a maioria das tarefas é concluída manualmente e os trabalhos de remediação são normalmente realizados após o lançamento, além de serem demorados. Pouca ou nenhuma consideração é dada à revisão do que deu certo ou do que poderia ser melhorado. Aqui é necessária uma mudança de mentalidade, enfatizando a importância da colaboração para melhorar os resultados.

O nível 2 marca o verdadeiro início da jornada DevSecOps, onde os limites tradicionais da equipe começam a se confundir e a inovação é celebrada. As avaliações de risco são realizadas de forma frequente e aberta, e as tarefas comuns são parcialmente automatizadas. Os prazos de correção melhoram, tanto como resultado da detecção precoce quanto de algumas verificações de vulnerabilidade e configuração incorreta. A disponibilidade da plataforma melhora com a automação e o dimensionamento do provisionamento, bem como com o planejamento básico de DR. Os gargalos são reduzidos, mas muito trabalho de segurança ainda é realizado no final do ciclo de vida.

A Level 3 vê a produtividade e a eficiência melhorarem com produtos de software de alta qualidade lançados regularmente em plataformas confiáveis. Prevalecem a colaboração contínua e uma cultura isenta de culpa, com avaliação abrangente de riscos, modelagem de ameaças e segurança incorporada ao longo de todo o ciclo de vida. Altos níveis de automação estão presentes em todo o desenvolvimento, testes e operações, bem como vulnerabilidade dinâmica e verificação de configuração incorreta, apoiando um cronograma de lançamento semanal.

O nível 4 do modelo vê as organizações mais avançadas desenvolverem os três níveis acima para obter vários lançamentos diários de código para vários ambientes de produção confiáveis. A segurança não é mais um domínio ou equipe específica e seus processos e ferramentas são incorporados ao longo de todo o ciclo de vida. Níveis muito altos de automação são a marca registrada da adoção total do DevSecOps, com modelagem e avaliação de ameaças, validação de código, testes, verificação de código e implantação, todos altamente automatizados. A expectativa é a infraestrutura como código, e as plataformas são dimensionadas automaticamente utilizando vários provedores de serviços em nuvem. A jornada do usuário é totalmente visível e informa uma metodologia de desenvolvimento altamente evoluída e inovadora, que entrega consistentemente produtos de software de alta qualidade e segurança.