許多組織都面臨著新的網絡安全問題，因為它們希望加快自身和客戶的數字化轉型。與此同時，信息技術（IT）和運營部門正面臨著聯合和創新以實現其企業數字化目標的挑戰。

通常情況下，公司希望加快速度，安全團隊需要保護組織，這會導致摩擦，減緩進展。許多企業以流程、決策和經驗的形式提供網絡安全的方式并沒有以其自身變革的速度、速度和速度發生。

CISO困境

首席信息安全官（CISO）有責任保護其企業。通常，他們通過建立經過戰斗考驗的策略、標準和服務來實現這一點，這些策略、標準和服務將成為治理模型。這就產生了一種運營模型，這種模型試圖在優先考慮風險和安全性的情況下來平衡推向市場的趨勢。網絡安全團隊希望成為創新的推動者，香港服務器租用，而不是被視為障礙。但是，為了促進轉換，除了幫助其他人采用安全意識的文化外，它們本身還必須進行轉換。

云計算中的安全軟件交付

過去的舊版應用程序看起來與現代的云原生應用程序不同。由虛擬機管理程序管理的裸機或虛擬機已組織成三層應用程序（Web服務器、Web應用程序和數據庫），這已成為數十年來的慣例。今天，我們仍然可以在客戶中看到這種模式，但是這個據點正在讓位于云原生應用程序。

云原生應用程序是商品化和開源爭奪解決方案堆棧（包括操作系統（Linux）、云計算、軟件定義的網絡以及最近的容器）不斷發展的結果。甚至接口方法也已經商品化（請考慮應用程序編程接口）。“應用”一詞的定義正在不斷發展。現在，過去的巨石被分解為一系列微服務，這些微服務由Kubernetes（k8s）進行容器化和管理。

隨著體系結構的根本變化和當前應用程序的結構，安全問題也在不斷發展：

· 在云原生模型中，威懾，預防，偵探和糾正措施的應用方式有所不同。

· 攻擊面是不同的（圖像，名稱空間和服務帳戶在過去的遺產計算模型中不存在）。

· 攻擊面的數量更大（微服務固有地比整體服務具有更多的服務間通信）。

· 攻擊面是短暫的（從零縮放和動態縮放功能可以暴露在定期掃描和審核之前可能已經消失的漏洞）。

擴展DevOps以包括安全性

在DevOps流行之前，安全團隊通常在項目后期參與評審，在應用程序投入生產之前提供指導。安全性只在開發過程的最后才被考慮，如果發現問題就會導致延遲。這導致了更大的補救成本。

DevOps的初衷是在生命周期的早期將兩個不同的交付利益相關者聚集在一起：開發和運營。為什么停在那里？

盡早將IT安全作為第三大利益相關者，不僅可以防止生產延遲，還可以改變對安全團隊是“無人之隊”的看法。它可以將與安全的關系轉變為強大的盟友。

顯然，在安全性方面，包容性具有積極的影響。這引起了諸如DevSecOps之類的引領潮流的術語，這些術語著重于解決交付過程中的安全性。通過這種方法，安全不僅僅是一種趨勢，它還是負責任的企業交付的基礎。

安全是軟件交付的基礎

Andrea C. Crawford和IBM Garage 撰寫的Modern DevOps宣言列出了一些適用于端到端安全軟件交付的關鍵概念。第一個主題是“一切皆有代碼”，站群服務器，這為在企業內部更深入地實施安全性和安全實踐（圖像、k8集群配置、應用程序配置甚至管道本身）提供了機會。

編碼資產將需要建立為“受信任”資源。好的候選者是在整個企業中共享的那些構造。 一個示例就是將容器映像，應用程序模板，基于角色的訪問控制策略和群集配置視為保證其自身治理和管道的“可信”資源，以及管理這些資源的明確定義的角色。較大的企業可能會考慮為新角色（例如圖像工程師、集群工程師、管道工程師等）使用徽章和內部認證。

組織可以使用零信任和最小特權原則加強職責分離。定義新角色和角色后，他們應該獲得對受信任資源的足夠訪問權以完成其工作，從而降低風險并限制暴露。取決于行業和區域合規性環境，這可能意味著一個角色的訪問權限和職責不同。由于對應用程序堆棧影響太大的風險，受到嚴格監管的企業可能不允許應用程序開發人員兼任圖像工程師。