DevSecOps成熟度モデル

成熟度モデルの主要領域

DevSecOps 成熟度モデルにより、組織は DevSecOps への道のりのどの段階にあるかを確立し、最終目標に向けた進捗状況を評価し、目標を達成するための次のステップを特定できます。

DevSecOps の成熟度モデルでは、次の 3 つの重要な領域に対処する必要があります。

• 現在のDevSecOpsの成熟度はどの程度ですか?
• 組織に必要なDevSecOpsの成熟度はどの程度か?
• 今いる場所から、組織が私たちを必要としている場所にたどり着くために、私たちは何をする必要がありますか?

DevSecOps成熟度モデルがビジネス価値の提供にどのように役立つか、モデルのレベルとそれぞれの利点を探ります。

DevSecOps 成熟度モデルのレベル

DevSecOps 成熟度モデルには 4 つのレベルがあり、最初のレベルは DevSecOps の取り組みを始めたばかりの組織の特徴を表し、最後のレベルは DevSecOps を完全に採用した組織の特徴を表します。 レベルは、プロセスが厳格な入口と出口の基準というよりも連続体であるため、ガイドと見なす必要があります。 重要なことは、組織はすべてのレベルを通した旅を完遂しなければならないということです - レベル4を達成し、それを維持するには、それに先行するレベルを完了する必要があります。

レベル 1 は、組織の DevSecOps ジャーニーの始まりであり、チームは個別に作業し、リスクとセキュリティが十分に考慮されず、タスクの大部分が手動で完了し、修復作業は通常、起動後に実施され、時間がかかります。 何がうまくいったのか、何を改善できるのかを振り返ることは、ほとんど考慮されていません。 ここでは、成果を向上させるためのコラボレーションの重要性を強調し、考え方を変える必要があります。

レベル 2 は、DevSecOps ジャーニーの真の始まりであり、従来のチームの境界が曖昧になり始め、イノベーションが称賛されます。 リスクアセスメントは頻繁かつオープンに実施され、一般的なタスクは部分的に自動化されています。 修復のタイムスケールは、早期検出と脆弱性や設定ミスのスキャンの両方の結果として改善されます。 プラットフォームの可用性は、プロビジョニングの自動化とスケーリング、および基本的な DR 計画によって向上します。 ボトルネックは軽減されますが、ライフサイクルの最後には、依然として多くのセキュリティ作業が行われます。

レベル3 では、信頼性の高いプラットフォームに定期的にリリースされる高品質のソフトウェア製品により、生産性と効率が向上します。 継続的なコラボレーションと誰も責めない文化が普及し、包括的なリスク評価、脅威モデリング、セキュリティがライフサイクル全体に組み込まれています。 開発、テスト、運用全体を通じて高レベルの自動化が行われ、毎週のリリーススケジュールをサポートする動的な脆弱性と設定ミスのスキャンが行われます。

このモデルのレベル 4 では、最も高度な組織が上記の 3 つのレベルに基づいて構築され、複数の信頼性の高い運用環境に対して毎日複数のコード リリースを実現します。セキュリティはもはや特定のドメインやチームではなく、そのプロセスとツールはライフサイクル全体に組み込まれています。 DevSecOpsの全面的な導入の特徴は、脅威のモデリングと評価、コード検証、テスト、コードスキャン、デプロイメントのすべてが高度に自動化されているため、非常に高いレベルの自動化です。 Infrastructure as Codeが期待されており、プラットフォームは複数の クラウドサービスプロバイダーを利用して自動的にスケーリングされます。 ユーザージャーニーは完全に可視化され、高度に進化した革新的な開発方法論を通知し、高品質でセキュリティの高いソフトウェア製品を一貫して提供します。