DevSecOpsin kulttuurisen perustan luominen

DevSecOpsia tukevan kulttuurisen perustan luominen organisaatioon edellyttää kuitenkin, että ymmärrät ja otat käyttöön välittömästi kolme asiaa, joissa on onnistuttava:

• Johdon tuen hankkiminen: sinun on ymmärrettävä, ketkä vastaavat tietoturvasta, mitkä ovat heidän prioriteettinsa ja miten heitä kannattaa lähestyä.

• Sujuva Developer Experience: keskity siihen, mitä kehittäjäsi haluavat, sekä DevOps-työkalujen tietoturvan seuraaviin viiteen vuoteen.

• Vasemman laidan vahvistaminen (ja kulttuurin vieminen mukana): tunnista kulttuurin heikkoudet, nosta esiin tietoturvalähettiläitä ja opi muokkaamaan kulttuuria.

Tässä blogissa käsittelen näitä kolmea aihetta syvällisemmin sekä niiden haasteita ja strategioita.

Johdon tuen hankkiminen

Johdon tuen hankkimista voi ajatella shakkiotteluna: jokainen johtoryhmän jäsen edustaa eri shakkipeliä. Tarkastellaan siis kunkin pelin roolia:

CEO (toimitusjohtaja)

Johdon tuki on ratkaisevan tärkeää DevSecOps-matkallasi. Mitä useampi johtoryhmän jäsen tukee sinua, sitä korkeammalle organisaatiossa pääset. CEO:n tuki on kuitenkin vaikeimmin saavutettava. Tekniselle tietoturva-asiantuntijalle on luontevaa keskittyä rajattuun näkökulmaan. CEO taas tarkastelee koko organisaatiota, joten tietoturvan on päästävä myös hänen tutkalleen. Tietoturva ja DevOps voivat kukoistaa ilman esteitä vasta, kun saat CEO:n tuen.

Neuvoni kaikille, jotka haluavat keskustella tietoturvasta CEO:n kanssa:

1. Puhu kokonaiskuvasta.

2. Käsittele samoja asioita, joilla vakuuttaisit muutkin johtoryhmän jäsenet.

3. Korosta erinomaisuutta sekä kilpailijoiden tahdissa pysymistä tai heidän ohittamistaan.

CTO (teknologiajohtaja)

CTO on organisaation vaikutusvaltainen toimija, jolla on teknologialäheisyytensä vuoksi suora intressi kyberturvallisuuteen. Keskustele hänen kanssaan itse teknologiasta – hän pystyy pureutumaan keskustelun ytimeen. Seuraavat viisi vuotta ovat ratkaisevia, sillä useimmat johtoryhmän jäsenet katsovat vahvasti eteenpäin. Tietoturvassa on hienoa se, että sen kehityksen voi nähdä sen edetessä.

Kun keskustelet haavoittuvuuksista ja tietoturvasta, on tärkeää keskittyä myönteisiin näkökulmiin pelottelun sijaan. Haavoittuvuuksien torjunta kehittyy eksponentiaalisesti vuosittain, joten seuraavat viisi vuotta ovat ratkaisevia tietoturvan edistysaskelten hyödyntämisessä. Sen sijaan, että jäisit pohtimaan virheitä ja paljon huomiota saaneita tietomurtoja, kuten Lock4J-haavoittuvuutta, korosta onnistumisia ja edistymistä. Myönteinen näkökulma kannustaa ennakoiviin toimiin ja raivaa tietä tietoturvan onnistumiselle.

CISO (tietoturvajohtaja)

CISOilla on keskeinen rooli DevSecOps-kokonaisuudessa. Jos tietoturvaa ei sisällytetä DevOps-käytäntöihin eli DevSecOpsiin, tietoturva voi jäädä jälkeen – ja juuri tämä huolestuttaa CISOja. Onneksi he ovat yleensä hyvin perillä nykyisistä tietoturvahaasteista, joten ajankohtaisista huolenaiheista ja välittömistä ongelmista on helpompi keskustella. Eteenpäin katsova CISO pohtii jo tulevien vuosien tietoturvakehitystä.

Keskustelemalla tulevaisuuden tietoturvatrendeistä ja -teknologioista voit sovittaa DevSecOps-työsi heidän visioonsa ja varmistaa ennakoivan sekä vankan tietoturvalähestymistavan. Yhteistyö CISO:n kanssa varmistaa myös, että tietoturva säilyy olennaisena osana DevOps-prosessia ja vähentää riskejä, joita tietoturvan laiminlyönti kehityksen elinkaaren aikana aiheuttaa.

CMO (markkinointijohtaja)

CMO:n ottaminen mukaan voi tuntua yllättävältä, mutta hänellä voi olla merkittävä rooli kyberturvallisuusaloitteiden tukemisessa. Tietoturva on näkyvästi esillä uutisissa, se on merkittävä teknologiatrendi ja osa liiketoiminnan jatkuvuutta. Markkinointi liittyy yrityksen toimintaan liiketoimintana, joten tietoturvan yhdistäminen markkinointityöhön voi olla hyödyllistä. Se auttaa osoittamaan yrityksen sitoutumisen tietoturvaan ja voi tukea brändityötä. Vaikka se ei ole CMO:n tärkein prioriteetti, hän voi olla tehokas liittolainen, kun häntä lähestyy oikeasta näkökulmasta.

Sujuva Developer Experience

Sujuvan Developer Experiencen luominen kehittäjille on DevSecOpsissa ratkaisevan tärkeää. Kehittäjät haluavat keskittyä koodaamiseen eivätkä kantaa lisävastuuta esimerkiksi operoinnista ja tietoturvasta. Kun kehittäjät voivat keskittyä ydintehtäviinsä, heistä tulee oman alansa asiantuntijoita ja työ tuntuu merkityksellisemmältä. Ajan pirstominen useiden roolien välillä johtaa vain uupumukseen ja turhautumiseen.

Voit luoda kehittäjillesi sujuvan kokemuksen asettamalla seuraavat tavoitteet:

• Kevyt ylläpito: pyri yhden klikkauksen asennuksiin tai tietoturvaominaisuuksien käyttöönottoon yhdellä klikkauksella. Minimoi työkalujen ja prosessien monimutkaisuus, jotta kehittäjien kuormitus vähenee.

• Joukon kärjessä: Pysy tietoturvassa kehityksen kärjessä äläkä jää jälkeen. Vanhentuneet tietoturvatyökalut eivät suojaa organisaatiotasi tehokkaasti.

• Ohjelmistokomponenttiluettelo: Riippuvuuksien listaamisen lisäksi varmista, että työkalut tuovat arvoa ja selkeyttä tietoturvaprosessiin.

• Näkymätön hälytykseen asti: Tietoturvatyökalujen tulee toimia sujuvasti taustalla ja tulla näkyviin vasta, kun tietoturvaongelmia ilmenee.

• Seuraa kaikkialle: Ole mukautuva ja joustava, jotta voit tukea uusia trendejä ja teknologioita, kuten pilvilaskentaa.

Siirry vasemmalle – ja tuo kulttuuri mukanasi

Jos haluat onnistua left shiftissä ja rakentaa tietoturvaan keskittyvän kulttuurin, suosittelen ottamaan nämä kolme keskeistä askelta:

1. Tiedon jakaminen: Vältä tietoturvan siiloutumista ja edistä aktiivisesti tiedon jakamista koko organisaatiossa. Tiedonjakotilaisuuksiin tulisi osallistua sekä tietoturva-asiantuntijoita että henkilöitä, jotka eivät työskentele tietoturvan parissa. Kehittäjien ja operatiivisten tiimien näkökulmien ja tietoturvan käyttöönottoon liittyvien vaiheiden ymmärtäminen on olennaista tehokkaan toteutuksen kannalta.

2. Toimi mentorina: Ole tietoturva-ammattilaisena avoin ja helposti lähestyttävä sekä tarjoa ohjausta ja tukea kehittäjille ja tiimeille. Vältä perinteistä tapaa antaa tietoturvapalautetta vasta myöhäisessä vaiheessa, sillä se voi aiheuttaa vastarintaa ja vastakkainasettelua. Kun olet läsnä koko prosessin ajan, kehittäjien on helppo pyytää apua ja neuvoja, mikä edistää myönteisempää tietoturvakulttuuria.

3. Löydä tietoturvamestarit: Tunnista organisaatiosta henkilöt, jotka ovat aidosti kiinnostuneita tietoturvasta, ja tee heistä tietoturvamestareita. Näitä henkilöitä voi olla eri tiimeissä, kuten kehityksessä, operatiivisissa tiimeissä ja HR:ssä. Vahvista heidän intoaan tietoturvaa kohtaan, hyödynnä heidän vaikutusvaltaansa ja anna heille valmiudet edistää tietoturvan parhaita käytäntöjä.

DevSecOpsissa on tärkeää ymmärtää tietoturvamestareiden merkitys tiimissäsi. He voivat auttaa pienemmissä tietoturvatehtävissä ja työskentelemään tehokkaasti pienten ryhmien kanssa. Heitä on erilaisia: jotkut tukevat sinua ja pyytävät näkemyksiäsi ja ohjaustasi, kun taas toiset kyseenalaistavat kaiken ja saattavat häiritä sinua pitkin päivää. Nämä tietoturvamestarit on kuitenkin tärkeää saada puolellesi, sillä heistä tulee arvokas tietoturvatiedon lähde ja he voivat auttaa ohjaamaan kysymyksiä sekä ratkaisemaan ongelmia.

Lopuksi

Yhteisvastuullisen kulttuurin vahvistaminen on DevSecOpsissa olennaista. Tietoturva ei ole vain tietoturva-asiantuntijoiden vastuulla, vaan jokaisen tulee osallistua siihen. Kannusta tietoturvakoulutukseen, rakenna sisäisiä yhteisöjä tiedon jakamista varten ja ole saatavilla vastaamaan kysymyksiin sekä tarjoamaan ohjausta. Avoimuutta edistämällä ja kysymyksiin kannustamalla voit vähentää epäröintiä ja luoda kulttuurin, jossa tietoturva ja kehitys kulkevat käsi kädessä.