兩位行業(yè)專家在構(gòu)建支持星巴克公司移動應(yīng)用程序所需的團(tuán)隊和流程的過程中，總結(jié)了一些經(jīng)驗和教訓(xùn)。
在日前召開的互聯(lián)網(wǎng)安全大會上，幫助星巴克公司構(gòu)建一個主要云計算項目的兩位安全和合規(guī)負(fù)責(zé)人發(fā)表了演講。幾年前，星巴克公司曾要求合規(guī)性自動化初創(chuàng)廠商Shujinko公司的創(chuàng)始人Matt Wells和Scott Schwan為其構(gòu)建必要的團(tuán)隊和流程，以支持星巴克公司開發(fā)的移動應(yīng)用程序，采用完全符合支付卡行業(yè) (PCI) 的安全云架構(gòu)，并根據(jù)互聯(lián)網(wǎng)安全中心(CIS)制定的標(biāo)準(zhǔn)進(jìn)行衡量。
Shujinko公司首席技術(shù)官Matt Wells解釋說，“我們公司的20名工程師在大約9到12個月的時間里構(gòu)建了一個高度自動化、可擴(kuò)展、可重復(fù)的環(huán)境，星巴克公司可以用來支持他們想要推出的所有產(chǎn)品，他們以此為基礎(chǔ)然后開始將其他應(yīng)用程序移至公共云。”
Shujinko公司首席技術(shù)官Matt Wells和首席執(zhí)行官Scott Schwan深入研究了他們?yōu)樾前涂说墓ぷ骷?xì)節(jié)，并分享了有關(guān)如何將合規(guī)性納入企業(yè)的云計算架構(gòu)以及在此過程中擴(kuò)展DevSecOps的技巧。在此采用了他們自己的語言提出一些見解。
1.將合規(guī)要求放入“完成”的定義中
Matt Wells說，免備案主機(jī)，“對于一個工程團(tuán)隊來說，將合規(guī)性要求納入‘完成’的定義中是非常重要的。很多時候，團(tuán)隊沒有及早地開始對話和進(jìn)行討論。因此，‘完成’的定義沒有包括與法規(guī)遵從性或安全性相關(guān)的內(nèi)容。因此，為團(tuán)隊建立這種聯(lián)系極為重要。”
2.讓工程師直接負(fù)責(zé)保護(hù)環(huán)境
Matt Wells說，“在特殊情況下，我們正在構(gòu)建一個完整的云平臺，并且我們負(fù)責(zé)該平臺的安全性。能夠盡早設(shè)定期望，也就是說，‘這很重要：如果想加入這個團(tuán)隊，將會使用一些非常好的技術(shù)，但是要對安全負(fù)責(zé)，要對合規(guī)性負(fù)責(zé)。如果沒有通過審核，那將是我們的團(tuán)隊責(zé)任，而不是安全團(tuán)隊或合規(guī)性團(tuán)隊的責(zé)任。'”
3.在云計算工程團(tuán)隊和安全團(tuán)隊之間建立緊密的聯(lián)系
Scott Schwan說，“我們確保從一開始就真正與安全領(lǐng)導(dǎo)保持一致。我確實相信DevSecOps的基本原則，因此，如果工程團(tuán)隊了解他們正在建立的要求，他們可以對自己的職責(zé)負(fù)責(zé)這樣做，不再是安全團(tuán)隊在項目的最后階段突然涌入，并試圖更改或阻止它們，因此，文化轉(zhuǎn)變的一部分是確保我們在團(tuán)隊之間建立信任。”
4.在構(gòu)建之前定義安全性程序和要求
Matt Wells 表示，“我們從安全團(tuán)隊那里收集了要求，并且從業(yè)務(wù)組那里收集了必須支持的地理區(qū)域的合規(guī)性要求。我們擁有了必須遵守的所有合規(guī)性標(biāo)準(zhǔn)，這些標(biāo)準(zhǔn)有不同的要求。從那里我們定義了程序，那么我們要如何給服務(wù)器打補(bǔ)丁呢?我們將如何采用容器并部署代碼?
我們認(rèn)為在擴(kuò)建之前設(shè)置這些程序很重要，因為隨著工程師擴(kuò)建基礎(chǔ)設(shè)施，有時這些程序會影響他們構(gòu)建某些技術(shù)的方式。對我們來說，這就是設(shè)計階段。”
5.將安全專業(yè)知識嵌入并培訓(xùn)工程團(tuán)隊
Matt Wells 表示，“在設(shè)計之后，我們大量招聘工作人員，需要獲得一些短缺的技能，因此我們雇傭了一批安全人員、開發(fā)人員和運營人員，結(jié)果發(fā)現(xiàn)需要的開發(fā)人員比安全人員和運營人員多得多。我們非常專注于自動化和規(guī)模化，因此發(fā)現(xiàn)讓開發(fā)人員參與進(jìn)來更容易，讓安全人員和運營人員與他們一起工作，定義開發(fā)人員將如何構(gòu)建許多這些功能。我們并不是直接聘用專業(yè)安全人員，而是通過培訓(xùn)開發(fā)人員使他們成為安全人員。”
6.遵照法規(guī)自動加固環(huán)境
Matt Wells 表示，“對我們來說，一個主要原則是自動強(qiáng)化我們構(gòu)建的所有內(nèi)容。我們要做的第一件事是我們使用Terraform自動化配置和強(qiáng)化AWS賬戶。我們花了一周的時間使用Terraform來構(gòu)建AWS賬戶，而不是花一天或幾個小時來構(gòu)建AWS賬戶、設(shè)置日志記錄、密碼策略等。但是從長遠(yuǎn)來看，每次我們在AWS賬戶中設(shè)置新內(nèi)容時，不必對工程師說，‘是否設(shè)置了密碼策略?’或者，“日志要去哪里?”我只想說，‘運行Terraform腳本進(jìn)行加固了嗎?現(xiàn)在我們可以繼續(xù)工作。’”
7.自動化護(hù)欄
Scott Schwan說，“我們使用了可以掃描新環(huán)境的支付卡行業(yè) (PCI)要求的供應(yīng)商。因此，在運行腳本后，我們立即運行并向他們提供了報告。如果他們?nèi)匀挥龅街Ц犊ㄐ袠I(yè) (PCI)方面的問題，我們將確保返回進(jìn)入sprint，然后將它們添加到Terraform中的基礎(chǔ)設(shè)施代碼中，VPS租用，然后下次進(jìn)行設(shè)置時，他們將不會遇到類似問題。
