1 дар 100: Тарҳрезии гурӯҳҳо барои бартараф кардани холигии амният

1 дар 100

Ҳатто агар шумо дар як ташкилоти калон кор кунед ҳам, эҳтимол дорад, ки шумо номи ҳама кормандони амниятро, ки дар IT кор мекунанд, дар ёд доред. Тибқи як пурсиши охирин, таносуби амният таҳиякунанда 100: 1 аст (худи ҳамон таҳқиқот таҳиякунанда ва таносуби системаи амалиётии 10: 1-ро нишон медиҳад). Таҳқиқоти қаблӣ дар бораи таносуби 100: 3 то 100: 6 гузориш дода буданд, бинобар ин баъзе пешрафтҳо ба даст омадаанд, аммо он кофӣ нест.

Ин нишонаи хуби қобилияти ин созмонҳо барои қоидаҳои дарпешистода оид ба ҳифзи додаҳо ба монанди GDPR Иттиҳоди Аврупо ва қатъ кардани маълумоте нест, ки дар навигариҳои солҳои охир мунтазам нашр мешавад. Барои пур кардани ин камбудӣ, имрӯз шумораи кофии посдорони амният вуҷуд надорад. Татбиқи бомуваффақияти амалияҳои бехатар ва рушд на танҳо фаҳмиши амиқи техникӣ, балки қобилияти муошират, итминон ва мувозинатро барои бартарӣ дар байни дастаҳои рушд ва (асосан) роҳбарият талаб мекунад.

Мо то ҳол дар ҳолати номусоид қарор дорем, ки ихтисоси амният ба қадри кофӣ ҷолиб нест, зеро ширкатҳо дар гузашта афзалияти амниятро ба таври кофӣ надодаанд. Ҳамон ширкатҳо ҳоло талаботи афзояндаи бозии амнияти худро афзоиш медиҳанд, аммо онҳо кормандон намерасанд.

Мо барои осебпазирии мазкур чӣ гуна имкониятҳо дорем?

Аввалан, равшан месозем, ки автоматикунонии аудити асосии амният (масалан, осебҳои тарафҳои сеюм) ва дастурҳои рамзгузорӣ, инчунин воридкунии амният ба лӯлаи густариш набояд барои ҳеҷ як дастаи таҳияи маҳсулот мушкилот дошта бошанд. Лавҳаи асбобҳо дар DevSecOps мунтазам васеъ мешавад ва ҳам талаботи ҷомеа ва ҳам корхона ба хубӣ иҷро карда мешавад.

Пас тафовут дар куҷост? Он дар "тафаккури ҳакерҳо" ҷустуҷӯи доимии векторҳои эҳтимолии ҳамла дар барномаҳои мо ("номаълум") мебошад. Гузаронидани таҳлили дақиқи хатар ва моделсозии таҳдид ва ба чораҳо ва афзалиятҳо табдил додани онҳо низ вазифаи мушкил аст. Инҳо тафаккури амиқи амният ва дониши пасзаминаро талаб мекунанд. Аз гурӯҳҳои таҳияи маҳсулот талаб карда намешавад, ки ин масъулияти иловагии маърифатиро ба ғайр аз ӯҳдадориҳои мавҷуда қабул кунанд.

Коре, ки ман ва Мэттью Скелтон барои таҳқиқ, феҳрист ва шарҳ додани он, ки чӣ тавр топологияҳои мухталифи DevOps дар пешрафт ё бастани қабули DevOps метавонад нақши муҳимро иҷро кунанд, ба мушкилоти дарпешистода мувофиқат мекунад.

Ду топологияҳои мухталифи гурӯҳӣ (ва эҳтимолан иловагӣ) вуҷуд доранд:

A) ӯҳдадориҳои амниятро ба пуррагӣ тақсим карданд

B) Амният ҳамчун як дастаи фаъол

Фарқиятҳо, афзалиятҳо ва нуқсонҳои бархӯрдҳои инфиродӣ чист?

Масъулиятҳои комилан муштарак оид ба бехатарӣ маънои онро доранд, ки ҳар як дастаи таҳияи маҳсулот ҳадди аққал як узви ба гурӯҳи T-Shape нигаронидашудаи бехатариро муттаҳид мекунад. Ин равиш мувофиқ аст, агар созмон ҳадаф гирад, ки гурӯҳҳои дорои хусусиятҳои функсионалии мустақил оид ба таҳияи маҳсулот таҳия карда шавад. Корманди амният бояд қодир бошад таҳдидҳои мураккаби амниятро ба гузоришҳои амалкунандаи амният ва меъёрҳои қабул, ки гурӯҳ аз нуқтаи назари техникӣ фаҳмида метавонад ва татбиқ кунад, баргардонад.

Онҳо инчунин бояд тавонанд дар бораи хатарҳо ва хароҷотҳои эҳтимолӣ барои ширкат (мувофиқат, фурӯш ва эътибори он) ба тавре тавонанд, ки соҳибкорон дарк ва афзалияти онро муайян кунанд. Аз тарафи дигар, дар ҳолати зарурӣ, онҳо бояд барои иҷрои вазифаҳои марбут ба амният омода бошанд. Бо мурури замон, масъулият барои таҳлил ва татбиқи амнияти даста бояд афзоиш ёбад, дар сурате, ки шахси T-шакл дар бораи таҷрибаи пешқадам, усулҳо ва воситаҳои нав дониш дошта бошад ва ба семинарҳои марбут ба амният ва стратегияи бехатарии маҳсулот роҳбарӣ кунад. .

Ҳадаф аз он иборат нест, ки тамоми корҳои амниятиро ба шахси амният таъин кунед. Дар акси ҳол, мо танҳо силоро дар сатҳи макрос (гурӯҳи ҷудошудаи амният) ба сатҳи хурд (узви ҷудошуда) мегузаронем.
Ҳар як дастаи маҳсулот - ҳамчун гардиши зард нишон дода шудааст - аз 7 то 9 аъзои даста, ҳадди аққал яке аз онҳо шахсияти T-шакли муҳофизатшуда - дар доираи сабз нишон дода шудааст - аммо одамони дигар низ дар кори амният иштирок мекунанд.

Албатта, барои созмон додани нуқтаи назари мутамаркази амният дар назди як қатор молҳо ва соҳаи тиҷорӣ мавқеи муҳим дар созмон ҷой дорад. Мубодилаи таҷриба, муносибатҳо ва натиҷаҳо аҳамияти ҳалкунанда дорад. Аммо, ин метавонад як шакли ҷомеаи амалия ё гильдияро (бо забони Spotify) аз шахсони ҳавасманд, ки ба ҷои як гурӯҳи махсус мунтазам ҷамъ меоянд (гарчанде ки ин кор метавонад, агар шумо дорои захираҳо бошед).

Афзалиятҳо

  • Масъулият барои амнияти даста меафзояд, ки ин ба ҳалли тезтари (ғайримуассирии) ҳодисаҳои амниятӣ оварда мерасонад ва шояд муҳимтар аз он, омӯзиши онҳо барои пешгирии такрори дард дар оянда.
  • Азбаски дастаҳо лимити андозаи табиӣ доранд (8–9 нафар), таносуби кормандони IT бо кормандони амният (T-шакл) бо мурури замон бо ин топологияи даста бояд ба 10: 1 ба таври назаррас наздик шавад. Гуногунрангии заминаи техникӣ танҳо дар ҳалли мушкилот ва афзалиятҳо мусоидат хоҳад кард.
  • Гузариш ба ин топология ба ҳар як аъзои созмон аломати бебаҳс хоҳад овард, ки амният дар маҳсулоти мо акнун шаҳрванди дараҷаи аввал аст.

Камбудии

  • Хароҷоти дарёфт ва ҷалбкунӣ (ки бастаҳои фаровон талаб мекунанд) ва оғози ин 9 посбони иловагӣ (дар як созмон бо 100 таҳиякунанда) як масъалаи ҷиддӣ хоҳад буд (тавре ки дар ин сарлавҳа омадааст). Интизор шавед, ки ин гузариш каме вақтро мегирад. Дар тӯли ин вақт, моделҳои гуногун бояд истифода шаванд (баъзе дастаҳои мустақили маҳсулоти мустақил ва дигарон, ки то ҳол аз дастаи марказӣ вобастаанд) ва бояд дар назар гиранд, ки кадом гурӯҳҳо бояд аввал интихоб карда шаванд. Масалан, бо таъин кардани кормандони ботаҷриба оид ба амният ба гурӯҳҳое, ки маҳсулоти хатарноки ширкати шумо кор мекунанд, оғоз кунед.
  • Дастаҳои пуриқтидори автономӣ ба устуворӣ ва дониши ҷиҳатҳои қавӣ ва заифи якдигар асос ёфтаанд. Ҳама гуна тағирот дар ҳайати даста, ҳатто агар як шахс ҳузур дошта бошад, ногузир ба вайроншавӣ оварда мерасонад. Гурӯҳ метавонад чунин фикр кунад, ки ҳангоми баррасии ҷанбаи нави амният онҳо камтар баромад мекунанд ва камтар самаранок мешаванд. Муҳим он аст, ки ҳама дарк мекунанд, ки ин муқаррарӣ аст ва қабул шудааст.
  • Ягон нуқтаи марказии тамос барои нигарониҳои амниятӣ. Аз ҷумла, роҳбарон чунин эҳсос карда метавонистанд, ки дар сохтори ғайримарказонидашуда ҳеҷ кас вазифаи амниятро ишғол намекунад. Ин ҷо метавонад фоидаовар бошад, ки каналҳои иртиботӣ дастрасанд ва одамон метавонанд дархостҳои иттилоотро дар бораи бехатарӣ ба гурӯҳҳои дуруст (ё ба ҷомеаи амалия) фиристанд.

Эвристика

  • Оё дар ташкилоти шумо аллакай гурӯҳҳои фаръӣ мавҷуданд, ки соҳибони тиҷоратро муттаҳид мекунанд, барои сифат масъуланд ва барномаҳои татбиқшавандаро назорат ва идора мекунанд?
  • Оё маҳсулот (ё хидматҳо) профилҳои хеле мухталифи хатарро нишон медиҳанд?
  • Оё маҳсулот (ё хидматҳо) дар пояҳо ва инфрасохтори гуногунтаҷриба истифода мешаванд?

Агар ҷавоб ба як ё якчанд саволҳои дар боло овардашуда мусбат бошад, ин топология метавонад роҳи хуби бастани осебпазирӣ бошад.

Амният ҳамчун як дастаи фаъол маънои онро дорад, ки гурӯҳи махсуси амният дастаҳои таҳияи маҳсулотро дастгирӣ ва дастгирӣ мекунад (масалан, дастурҳо барои рушди бехатари таҳияшуда).

Хеле муҳим аст, ки дастаи мутамаркази амният таҳлили воқеӣ ва татбиқи амниятро на гузаронад, балки дар ҳолати зарурӣ мусоидат ва роҳнамоӣ кунад.

Ҳамин муҳим аст, ки ин даста аз оғоз ба лоиҳа ё нашр дароварда шавад, то дастаи маҳсулот имкони амният, равишҳо ва амалияро дар ҳама марҳилаҳои давраи ҳаёт баррасӣ кунад.

Гурӯҳи муҳофизати transverse, ки ба таври амудӣ бо хокистарӣ нишон дода шудааст, се гурӯҳи маҳсулотро дастгирӣ мекунад, ки уфуқӣ бо ранги норанҷӣ нишон дода шудаанд. Ин боиси масъулияти муштарак барои амният мегардад, ки он ҳамчун доираи сабзи нур тасвир шудааст

Бисёр ташкилотҳо ин равишро интихоб карданд, аз ҷумла Spotify ва Sportradar. Мо тағироти нисбатан камтартари сохториро аз "силои анъанавии амният" тақозо мекунем, зеро мо ӯҳдадориҳои ин дастаро тағир медиҳем (роҳнамо ва дастгирӣ на татбиқ). Аммо, ин метавонад барои ширкати боқимондаи ширкат дарк кунад, ки гурӯҳҳои маҳсулот барои амнияти системаҳои худ дарк мекунанд.

Пабло Йенсен, CTO дар Sportradar, чанде пеш дар бораи нақши дастаи бахшидашудаи амнияти иттилоотӣ дар пешбурди сиёсатҳо ва дастурҳои амниятӣ дар ҳамкории зич бо дастаҳои маҳсулот сухан гуфт. Яке аз дарвозаҳои давраи зиндагии онҳо "Қобилияти оғози рушд" мебошад, ки тасдиқи гурӯҳи амниятро талаб мекунад, ки оқибатҳои амният ба назар гирифта шуда, кор мутаносибан ба нақша гирифта шудааст. Ин гурӯҳ мустақиман ба Директори генералӣ ҳисобот медиҳад ва дар сурати зарурат, таваққуф кардани оғози маҳсулотро дорад.

Нақши як гурӯҳи мутамаркази амният, ки кори бехатарии маҳсулотро ба ӯҳда намегирад, аммо маслиҳат (манбаъ: Пабло Йенсен, CTO дар Sportradar - слайдҳо аз муаррифии ӯ дар QCon London 2018)

Афзалиятҳо

  • Гузариш ба модели фаъолкунӣ аз як дастаи ҷудогонаи бехатарии анъанавӣ, ки қисми зиёди корҳои амниятиро иҷро мекунад, вақти кӯтоҳтар аст.
  • Шумораи зиёди кормандони навро талаб намекунад ва аз ин рӯ саъй ва алоқамандии эҳтимолии гурӯҳро пешгирӣ мекунад. Таваҷҷӯҳи инҷо бояд ба он равона карда шавад, ки дастаи мувофиқ дар маҷмӯъ, илова бар малакаҳои техникӣ, дорои тамоми малакаҳои зарурии мулоим бошад.

Камбудии

  • Ин даста бояд муоширати муассирро хуб аз худ кунад, ки ин худ хуб аст. Ин маҳоратест, ки бояд бо мурури замон такмил дода шавад. Аз ин рӯ, зарур аст, ки аввал барои кӯмаки беруна ё дохилӣ сармоягузорӣ кунед, то стратегияҳои коммуникатсионӣ ва тартиб додани мундариҷаро муайян кунед.
  • Агар шумо ба ин модел гузаред, сигнали суст барои тағири тамаркузи амният ба вуҷуд хоҳад омад. Сигналро бояд тақвият бахшид ва шояд пеш аз ғарқ шудан ба як қисми фарҳанги org, онро тӯл кашад.
  • Ҷорӣ намудани вазифаҳо, амалия ва воситаҳои нав барои гурӯҳҳои таҳияи маҳсулот, ки аллакай қобилияти баландтарин доранд, душвор буда метавонад. Гурӯҳи мутамаркази фаъолсозӣ метавонад зери фишор қарор гирад ва барои ба даст овардани кӯмак дар татбиқи амнияти маҳсулот фишор оварад, ки ҳадафи умумии моделро бекор мекунад.
  • Бо мурури замон, таваҷҷӯҳи амният дар гурӯҳҳои маҳсулот метавонад бе ширкати амнияте, ки дар банақшагирии релиз / спринт ва стендҳои ҳаррӯзаи гурӯҳ ширкат мекунад, коҳиш ёбад. Барои пешгирӣ кардани ин натиҷа бояд як намуди идоракунӣ таъсис дода шавад.

Эвристика

  • Оё шумораи ками гурӯҳҳои таҳияи маҳсулот вуҷуд доранд (ки ҳамкориҳои наздикро бо дастаи амният имкон медиҳанд)?
  • Оё аъзои гурӯҳи маҳсулот ба мавзӯъҳои амниятӣ ва омодагӣ ба омӯзиш (масалан, дар конфронсҳои техникӣ ё вохӯриҳои техникӣ) таваҷҷӯҳ зоҳир мекунанд?
  • Албатта, оё ҳалли ҳодисаҳои марбут ба амният дар истеҳсолот ҳам ба кормандони амният ва ҳам ба кормандони соҳаи рушд таъсир мерасонад (бар хилофи бозии гунаҳкор, ки дар он тарафҳо худро аз масъулият дур мекунанд).

Агар ҷавоб ба як ё якчанд саволҳои дар боло овардашуда мусбат бошад, ин топология метавонад роҳи хуби бастани осебпазирӣ бошад.

Хулоса

DevSecOps профили амниятро дар IT мустаҳкам кард ва ҷараёни мунтазами вайронкунии ҷиддии маълумот камбудиҳои бехатариро дар аксар ширкатҳо ошкор сохт. Дар ин мақола ман бархӯрдҳои имконпазири пур кардани ин холигиро (масъулияти комилан муштараки амният ва амният ҳамчун як гурӯҳи тавонмандсозӣ), инчунин афзалиятҳо ва нуқсонҳои онҳо ва эвристикаро, ки дар заминаи замина асос ёфтаанд, пешниҳод кардам.

Дар хотир доред, ки тарроҳии гурӯҳ набояд статикӣ бошад. Ташкилотҳо, одамон ва равандҳо бо мурури замон табиатан рушд мекунанд. Он чизе ки имрӯз беҳтарин аст, метавонад барои нармафзори тезтар ва бехатартари фардо монеа шавад. Ин комилан имконпазир аст, ки ширкат метавонад ибтидо аз равиши анъанавии силсилаи амният ба модели "амният ҳамчун гурӯҳи фаъолсозӣ" гузашт ва бо гузашти вақт ба сохтори дорои "масъулияти ҳамаҷонибаи амният" ҳамчун тағйири огоҳӣ оид ба амният ва дониш ба дастаҳои маҳсулот.

Кадом топологияҳои дигар ва стратегияҳои амниятиро дар созмонҳо ва муштариёни худ дидаед? Лутфан дар зер шарҳ диҳед ё ба ман паёми электрони фиристед ба:

маро дар manuelpais нуқта холӣ