Che cos'è SecOps?

Innanzitutto, quando ho sentito la parola SecOps, l'ho pensato come un approccio di gestione che mira a connettere i team di sicurezza e operativi, in modo molto simile a DevOps unifica gli sviluppatori e il team operativo.

Ma la sicurezza non è solo un pezzo del puzzle DevOps?
DevOps include già processi come monitoraggio dei componenti, gestione delle versioni, benchmarking, revisione del codice, monitoraggio continuo.

Cos'altro può aggiungere SecOps a un team DevOps o forse è un'altra parola d'ordine?

Sono d'accordo che questa è una parola d'ordine quanto DevOps può essere.

Il compito principale di un SecOps aggiunto a un normale compito di ingegnere operativo è quello di sostenere l'onere di seguire i feed di pubblicazione CVE, gestire la riparazione, in genere gestire le cose gestite storicamente dal team di sicurezza o dell'amministrazione della rete (regole del firewall, eccezioni del firewall delle applicazioni Web)

Se vedi un amministratore di sistema in un'organizzazione DevOps come un amministratore di sistema in grado di leggere e far parte del codice dell'applicazione, un SecOps sarebbe un amministratore di sistema in grado di far parte delle regole di sicurezza dell'infrastruttura intorno ai server stessi.

In alcune strutture mantenendo silos di responsabilità (vendite, affari, sviluppo, operazioni operative, sicurezza, monitoraggio), l'ingegnere della sicurezza e gli ingegneri operativi sono separati come gli sviluppatori e gli ingegneri operativi, mentre non abbracciano un'organizzazione DevOps completa, passare a un modello SecOps è un primo passo per riunire due team separati storicamente più vicini e meno antagonisti nell'organizzazione basata sul silo. Alcune persone sono anche più a loro agio nell'aggiungere l'operazione o l'aspetto della sicurezza nel loro lavoro attuale rispetto alle crescenti competenze nel codice.

Riassumendo, definirei SecOps come primo passo verso un'organizzazione DevOps, con l'obiettivo di ottenere un team multi-abilità attorno agli ingegneri della sicurezza / rete / sistemi operativi in ​​cui sono team separati in un dipartimento esistente.

Sono d'accordo con la risposta di Tensibai in quanto SecOps è una parola d'ordine come DevOps stesso e che SecOps è un trampolino di lancio tra un'organizzazione insensata e un'organizzazione coesiva.

Ho osservato che il rovescio della medaglia è anche vero, vale a dire, se si dispone di un'organizzazione che sta utilizzando un modello DevOps, con modalità di lavoro DevOps e seguendo DevOps Practice, potrebbero nominare qualcuno con un ruolo SecOps per integrare le pratiche di sicurezza IT nel modello.

Abbastanza comunemente questo è marchiato come DevSecOps o DevOpsSec in modo da colmare tutte e tre le discipline.

Ulteriori letture:

• DevOpsSec di Jim Bird
• DevSecCon: una conferenza DevSecOps
• Velocity EU: sicurezza continua

Di quanto sopra sto attualmente leggendo il libro di Jim Bird, ho avuto il piacere di lavorare con l'organizzatore di DevSecCon in un ruolo precedente e ho avuto il privilegio di partecipare alla Session di Velocity ad Amsterdam l'anno scorso.