DevSecOps для самых маленьких 1\n. Смотрим стрим по Dota
Помню свой первый стрим по Dota. Пять героев бегают по карте, что-то покупают, дерутся, кто-то умирает, комментатор кричит так, будто решается судьба мира. Кажется, что происходит хаос. А потом — раз, и начинаешь видеть. Вот саппорт ставит варды на руны. Вот керри фармит лес, потому что ему нужен предмет. Вот мид уходит за руной, потому что иначе проиграет линию. Игра не изменилась. Изменилась оптика. За шумом обнаружилась структура.
С DevSecOps у меня было так же. Снаружи — куча сканеров, пайплайнов, политик, отчётов. Выглядит как хаос. Но чтобы разглядеть структуру, полезно понять, откуда всё взялось.
Сначала был DevOps. Разработка и эксплуатация перестали жить за забором: CI/CD, инфраструктура как код, автоматизация, быстрые деплои. Стало удобнее. Но безопасность часто оставалась сбоку. Приходила в конце, говорила «нельзя» — и все страдали. DevSecOps встроил безопасность в этот поток. Не как отдельного цербера, а как часть процесса. DevSecOps = DevOps + Security. Только безопасность не тормозит, а помогает.
Вот теперь видно, что держит конструкцию. Три идеи.
Сдвинуть влево. Безопасность не в конце, когда релиз уже на пороге, а в начале — на этапе кода и конфигураций, пока правка стоит дёшево.
Автоматизировать. Руками столько не проверить. Если проверка требует героических усилий, её будут обходить или не будут делать вовсе.
Договариваться. Без разговора разработчика и безопасника ничего не работает. Поэтому soft skills для безопасника — не бонус, а половина работы.
Теперь про мифы. Их вокруг профессии накопилось столько, что пора разобрать по одному.
"DevSecOps — это когда безопасник сидит в чате разработки". Сидит — хорошо, но это не процесс. Один человек не заменит выстроенный поток проверок, нужны роли, зоны ответственности и автоматизация. Иначе всё держится на том, что кто-то не ушёл в отпуск.
"Это только про инструменты". Поставишь лучший сканер на рынке и получишь красивый PDF-отчёт, который никто не читает. Без процесса и ролей инструмент ничего не меняет.
«Это только для больших компаний». Наоборот. Маленькой команде проще договориться и быстрее внедрить. Крупным тяжелее из-за масштаба.
«Это заменяет отдел ИБ». Не заменяет. Меняется то, как безопасность встроена в разработку, у отдела ИБ меняются задачи и точки взаимодействия.
«Это быстро и дёшево». Дешевле, чем инцидент, но не бесплатно и не за неделю: нужны время, люди и деньги на инструменты.
Не надо осваивать всё сразу
Люди смотрят на область целиком: сканеры, политики, хранилища секретов, мониторинг, аудит. Видят гору и думают, что надо освоить всё сразу. Не надо. Возьми одну понятную проверку, которая болит сегодня, и встрой её в процесс. Когда она станет привычной, через неделю возьми следующую. Через месяц у тебя будет не набор разрозненных проверок, а работающий конвейер.
Да, про Dota была ловушка. Но иначе объяснить, что DevSecOps не страшный, сложно. Он про здравый смысл: проверяй раньше, автоматизируй, не храни секреты в Git, давай минимальные права, логируй и мониторь, объясняй, а не запрещай.
Напоминаю, что статьи мы обсуждаем в Telegram-канале. Недушный ИнфоБез.
