DAY39 DevSecOps 開發、安全、維運整合

• 一. DevSecOps是什麼?
• 二. 剛好能跟DAY37和DAY38連接在一起

一. DevSecOps是什麼?

它是三個單字的結合，分別是:
Development 開發
Security 安全
Operations 維運
這三個單字的整合
把安全持續整合進軟體開發與維運流程
不是只有資安人員檢查
而是從開發到維運大家都一起負責

為什麼需要DevSecOps?
DAY36在軟體開發安全中有提到
安全問題越晚修，成本通常越高
而DevSecOps的做法是
從開發就開始做安全檢查

強調由開發、資安、維運，三邊一起合作
把安全工作持續進行

二. 剛好能跟DAY37和DAY38連接在一起

DAY37說SAST (靜態應用程式安全測試)
主要用來看原始程式碼的安全
DAY38說DAST (動態應用程式安全測試)
主要用來測執行中的應用程式是否有漏洞

所以結合這次的DevSecOps就是

1. 開發寫程式
2. SAST檢查程式碼安全
3. 如果發現問題->修改
4. 系統部署到測試環境
5. DAST測試執行中的系統
6. 如果再發現問題->再修改

確保整個流程每一步都有進行安全測試
並且安全是共同的責任

Developer(開發人員)->寫安全程式
Security Team(資安團隊)->提供安全規範與測試
Operations Team(維運團隊)->安全部署、監控、修補
流程、工具、人員合作都要把安全納入，並且持續