Was ist SecOps?

Als ich das Wort SecOps hörte, stellte ich es mir als einen Managementansatz vor, der darauf abzielt, Sicherheits- und Betriebsteams auf die gleiche Weise miteinander zu verbinden, wie DevOps Entwickler und Betriebsteams vereint.

Aber ist Sicherheit nicht nur ein Teil des DevOps-Puzzles?
DevOps beinhaltet bereits Prozesse wie Komponentenüberwachung, Versionsverwaltung, Benchmarking, Codeüberprüfung, kontinuierliche Überwachung.

Was kann SecOps einem DevOps-Team noch hinzufügen, oder ist es vielleicht ein anderes Modewort?

Ich würde zustimmen, dass dies ein Modewort ist, so viel DevOps sein kann.

Die Hauptaufgabe eines SecOps, das zusätzlich zu den üblichen Aufgaben eines Betriebsingenieurs hinzugefügt wird, besteht darin, die CVE-Veröffentlichungs-Feeds zu befolgen, die Korrekturen vorzunehmen und in der Regel die Aufgaben zu übernehmen, die bisher vom Sicherheits- oder Netzwerkadministrationsteam ausgeführt wurden (Firewall-Regeln, Firewall-Ausnahmen für Webanwendungen).

Wenn Sie einen Sysadmin in einer DevOps-Organisation als einen Sysadmin sehen, der in der Lage ist, den Anwendungscode zu lesen und Teil des Anwendungscodes zu sein, ist ein SecOps ein Sysadmin, der Teil der Sicherheitsregeln der Infrastruktur um die Server selbst ist.

In einigen Strukturen sind die Verantwortungsbereiche (Vertrieb, Geschäft, Entwicklung, Betrieb, Sicherheit, Überwachung), Sicherheitsingenieur und Betriebsingenieur genauso getrennt wie Entwickler und Betriebsingenieure, obwohl sie keine vollständige DevOps-Organisation umfassen Erster Schritt, um zwei getrennte Teams wieder zu vereinen, die historisch enger und weniger gegensätzlich zu der silobasierten Organisation sind. Einige Leute fühlen sich auch wohler darin, entweder die Bedienungs- oder die Sicherheitsfacette in ihren aktuellen Job aufzunehmen, als ihre Code-Kenntnisse zu erweitern.

Zusammenfassend würde ich SecOps als ersten Schritt in Richtung einer DevOps-Organisation definieren, mit dem Ziel, ein Team mit mehreren Fähigkeiten für Sicherheits-, Netzwerk- und Betriebssystemingenieure zusammenzustellen, bei denen es sich um separate Teams in einer vorhandenen Abteilung handelt.

Ich stimme Tensibais Antwort darin zu, dass SecOps genauso ein Modewort ist wie DevOps selbst und dass SecOps ein Sprungbrett zwischen einer isolierten Organisation und einer zusammenhängenden Organisation ist.

Ich habe die Kehrseite beobachtet auch wahr sein, das heißt, wenn Sie eine Organisation haben , die mit DevOps Arbeitsweisen und folgenden DevOps Praxis mit einem DevOps Model, in Betrieb ist , können sie jemand in einer SecOps Rolle ernennen zu integrieren IT - Sicherheit der Praxis in das Modell.

In der Regel wird dies als DevSecOps oder DevOpsSec bezeichnet, um alle drei Disziplinen zu verbinden.

Weitere Lektüre:

• DevOpsSec von Jim Bird
• DevSecCon: Eine DevSecOps-Konferenz
• Velocity EU: Kontinuierliche Sicherheit

Davon lese ich gerade das Buch von Jim Bird, hatte das Vergnügen, in einer früheren Rolle mit dem Organisator von DevSecCon zusammenzuarbeiten, und hatte den Vorteil, letztes Jahr an der Velocity Session in Amsterdam teilzunehmen.