DevOps-tietoturva: täydellinen DevSecOps-opas vuodelle 2026

DevOpsin nopeus voi olla kaksiteräinen miekka. Vaikka se nopeuttaa kehitystä ja käyttöönottoa, tietoturva-aukot voivat helposti jäädä huomaamatta.

Verizonin vuoden 2023 tietomurtojen tutkintaraportin mukaan huikeat 70 % tietoturvaloukkauksista voidaan jäljittää sovellusten haavoittuvuuksiin. Tämä hälyttävä tilasto korostaa DevSecOpsin kriittistä tarvetta. DevSecOps on tietoturvatietoinen lähestymistapa IT:n elinkaareen, jossa huomioidaan kulttuuri, automatisoidut prosessit ja alustarakenteet.

DevOps yksin ei riitä, koska tietoturvaongelmia voi ilmetä. Tunnettu tapaus liittyy Uberin tietomurtoon vuonna 2016, jolloin hakkerit pääsivät käsiksi miljoonien käyttäjien tietoihin kehitystiimin ladattua koodia GitHub-tietovarastoon. Koodi sisälsi myös tunnistetietoja, joiden avulla olisi voitu kirjautua Amazonin verkkopalvelimille (AWS), jotka sisälsivät arkaluonteisia tietoja.

Tässä artikkelissa opit, miten DevSecOps yhdistää kehityksen, operoinnin ja tietoturvan. Tutustumme DevSecOpsin parhaisiin käytäntöihin, yleisiin haasteisiin, onnistuneeseen käyttöönottoon ja tärkeimpiin työkaluihin, joiden avulla pääset tavoitteeseen. Artikkelin lopussa sinulla on valmiudet vahvistaa kehitysprosessiasi ja rakentaa turvallisia, suorituskykyisiä sovelluksia.

DevOpsin ja tietoturvan risteys – DevSecOps

Kehitys ja operointi ovat vain yksi DevOpsin osa-alue. IT-tietoturva on sisällytettävä sovellustesi koko elinkaareen, jos haluat hyötyä täysimääräisesti DevOps-strategian ketteryydestä ja reagointikyvystä.

Miksi? Aiemmin tietoturva annettiin yhden tiimin vastuulle kehityksen viimeisissä vaiheissa. Kun kehityssyklit kestivät kuukausia tai jopa vuosia, se ei ollut yhtä haastavaa, mutta nuo ajat ovat ohi. Vaikka DevOpsilla on monia hyötyjä, vanhentuneet tietoturvakäytännöt voivat heikentää jopa onnistuneimpia DevOps-hankkeita, vaikka tehokas DevOps takaa nopeat ja tiheät kehityssyklit, jotka kestävät usein viikkoja tai päiviä.

DevSecOpsissa tiimit huomioivat sovellustietoturvan alusta lähtien. Siihen kuuluu myös tietoturvaporttien automatisointi, jotta DevOps-työnkulut eivät hidasta prosesseja. Riittävä DevOps-tietoturva edellyttää oikeiden työkalujen lisäksi myös DevOpsin kulttuuristen muutosten laajentamista siten, että tietoturvatiimien työ integroidaan mukaan mahdollisimman varhain.

Tietoturvan siirtäminen vasemmalle ja oikealle tarkoittaa tietoturvan priorisointia suunnittelun ja kehityksen alusta aina suoritusajan loppuun asti. DevSecOpsin siirtäminen vasemmalle sekä automaatio tarjoavat kehittäjäystävällisiä rajoitteita, jotka vähentävät inhimillisiä virheitä koonti- ja käyttöönottovaiheissa sekä suojaavat työkuormia suorituksen aikana.

Siirtäminen oikealle tarkoittaa tuotannon jälkeisessä ympäristössä tapahtuvaa testausta, laadunvarmistusta ja suorituskyvyn arviointia.

DevSecOpsin uhkamallinnustekniikat

Uhkamallinnus on ennakoiva tietoturvalähestymistapa, joka auttaa tiimejä tunnistamaan ja lieventämään mahdollisia haavoittuvuuksia ennen niiden hyödyntämistä. Analysoimalla uhkia järjestelmällisesti organisaatiot voivat priorisoida tietoturvatoimet riskitasojen perusteella ja vahvistaa puolustustaan.

DevSecOps-tiimien on integroitava uhkamallinnus kehitystyönkulkuihinsa, jotta sovellukset ovat turvallisia alusta alkaen.

Tärkeimmät uhkamallinnustekniikat

1. STRIDE-kehys – Microsoftin alun perin kehittämä STRIDE luokittelee tietoturvauhat kuuteen luokkaan: toisena esiintyminen, peukalointi, kiistäminen, tietojen paljastuminen, palvelunestohyökkäys (DoS) ja käyttöoikeuksien laajentaminen. Tämä malli auttaa tiimejä tunnistamaan ja lieventämään riskejä järjestelmällisesti koko sovelluksen elinkaaren ajan.
2. DREAD-riskinarviointi – DREAD (vahinko, toistettavuus, hyödynnettävyys, vaikutuksen kohteena olevat käyttäjät, havaittavuus) on pisteytysjärjestelmä, joka määrittää tietoturvauhkien vaikutuksen määrällisesti ja auttaa tiimejä priorisoimaan riskit niiden vakavuuden perusteella. Tämä menetelmä soveltuu tietoturvatiimeille, jotka työskentelevät CI/CD-putkien kanssa ja joiden on arvioitava haavoittuvuudet nopeasti.
3. Hyökkäyspuut – Tässä lähestymistavassa mahdolliset hyökkäysreitit esitetään visuaalisesti kartoittamalla eri tavat, joilla hyökkääjä voisi hyödyntää järjestelmää. Hyökkäyspuut auttavat DevSecOps-tiimejä ymmärtämään uhkien kehittymistä ja sitä, mihin tietoturvatoimet kannattaa kohdistaa.
4. PASTA (hyökkäyksen simuloinnin ja uhka-analyysin prosessi) – PASTA on riskeihin keskittyvä viitekehys, joka yhdistää tietoturvauhat liiketoimintatavoitteisiin. Se noudattaa seitsemänvaiheista prosessia tavoitteiden määrittelystä uhkien tunnistamiseen ja lieventämiseen, joten se soveltuu erinomaisesti organisaatioille, jotka käsittelevät monimutkaisia arkkitehtuureja.
5. VAST (visuaalinen, ketterä ja yksinkertainen uhkamallinnus) – Suurille DevSecOps-tiimeille suunniteltu VAST hyödyntää automaatio- ja visualisointityökaluja uhkamallinnusprosessin tehostamiseen. Se integroituu hyvin CI/CD-putkiin ja varmistaa, että tietoturva säilyy jatkuvana prosessina kertaluonteisen arvioinnin sijaan.

Uhkamallinnuksen integrointi DevSecOpsiin

Uhkamallinnuksen on oltava jatkuva käytäntö eikä kertaluonteinen harjoitus, jotta se olisi tehokasta. Tiimien tulisi sisällyttää se ohjelmistokehityksen elinkaaren (SDLC) eri vaiheisiin:

• Suunnittelun aikana – Tunnista mahdolliset tietoturvariskit ennen koodin kirjoittamista.
• Kehityksen aikana – Käytä staattisen ja dynaamisen analyysin työkaluja haavoittuvuuksien havaitsemiseen.
• Käyttöönoton aikana – Simuloi hyökkäysskenaarioita tietoturvakontrollien testaamiseksi.
• Käyttöönoton jälkeen – Valvo jatkuvasti uusia uhkia ja päivitä tietoturvastrategioita niiden mukaisesti.

Upottamalla uhkamallinnustekniikat DevSecOps-työnkulkuihin tiimit voivat ennakoivasti vähentää tietoturvariskejä, karsia haavoittuvuuksia ja parantaa sovellustensa yleistä häiriönsietokykyä.

Miksi tarvitset tietoturvaa DevOpsissa?

Tietoturvaa ei yleensä oteta huomioon, kun kehittäjät kirjoittavat koodia. Kehittäjät voivat välttää koodausvirheitä ja vähentää haavoittuvuuksia käyttämällä parempaa automaatiota ohjelmistojen ja sovellusten toimitusketjussa, kun he omaksuvat DevSecOps-ajattelutavan.

Tiimit voivat ottaa turvalliset ohjelmistot käyttöön nopeammin, jos ne käyttävät DevSecOps-työkaluja ja -menettelyjä sisällyttääkseen tietoturvan DevOps-arkkitehtuuriinsa. Koodin luonnin aikana kehittäjät voivat suorittaa tietoturvatestausta ja löytää haavoittuvuuksia.

Koodin sisäänkirjautumisen koontiversiot, julkaisut ja muut CI/CD-putken osat voivat kaikki käynnistää automaattisia tarkistuksia. Kehitystiimit voivat parantaa verkkosovellusten kehityksen tietoturvaosuutta helpommin integroimalla siihen ratkaisuja, joita ne jo käyttävät.

DevSecOpsin kulttuurinen ajattelutavan muutos

DevSecOpsin käyttöönotto ei tarkoita vain tietoturvatyökalujen integrointia – se edellyttää perustavanlaatuista kulttuurista muutosta. Perinteiset tietoturvamallit keskittyvät tietomurtojen estämiseen, mutta nykyaikaiset DevSecOps-käytännöt lähtevät siitä, että tietomurtoja tapahtuu. Tämä ennakoiva ajattelutapa on välttämätön tietoturvauhkien tehokkaalle ennakoinnille ja torjumiselle.

Estämisestä ennakointiin

DevSecOps-kulttuuriin kuuluvat jatkuva tietoturvan valvonta, nopea reagointi tietoturvapoikkeamiin ja kehitys-, käyttö-, tietoturvatiimien sekä nykyisten DevOps-trendien välinen monialainen yhteistyö. Sen sijaan, että tietoturvaa käsiteltäisiin jälkikäteen, tiimit sisällyttävät sen jokaiseen kehityksen elinkaaren vaiheeseen.

Tämä kulttuurinen muutos edellyttää seuraavaa:

• Tietoturva on yhteinen vastuu – Tietoturvaa ei voi eristää omaksi alueekseen. Kehittäjien, IT-käytön ja tietoturvatiimien on työskenneltävä yhdessä sovellusten suojaamiseksi alusta alkaen.
• Syyttelemätön tietoturvakulttuuri – Kun haavoittuvuuksia löydetään, huomion pitäisi olla oppimisessa ja parantamisessa, ei syyllisten etsimisessä. Avoin ja syyttelemätön toimintatapa kannustaa tiimejä ilmoittamaan tietoturvariskeistä ja korjaamaan ne varhaisessa vaiheessa.
• Kehittäjien tietoturvakoulutus – Kehittäjät tarvitsevat käytännönläheistä tietoturvakoulutusta ymmärtääkseen haavoittuvuuksia ja oppiakseen kirjoittamaan turvallista koodia alusta alkaen.
• Tietomurron olettaminen – Sen sijaan, että oletettaisiin tietoturvakontrollien estävän kaikki hyökkäykset, tiimien on toimittava ”oleta tietomurto” -ajattelutavan mukaisesti ja suunniteltava järjestelmät uhkien nopeaa havaitsemista ja niihin reagointia varten.

Organisaatioilla, jotka onnistuvat tässä kulttuurisessa muutoksessa, on häiriönsietokykyisempi tietoturva, nopeampi tietoturvapoikkeamien ratkaisu ja suurempi luottamus ohjelmistokehityksen toimitusketjuihin.

Parhaat käytännöt DevOpsin tietoturvan parantamiseen

• Suorita riskinarviointi: Riskinarviointi on suoritettava varhaisessa vaiheessa, jotta projektin suunnittelun tietoturva voidaan varmistaa. Arviointi tarjoaa kattavan näkymän projektin riskeihin, mukaan lukien liiketoimintaan ja teknisiin ongelmiin liittyvät riskit.
• Haavoittuvuuksien arviointi ja hallinta: Monet yritykset suorittavat haavoittuvuuksien arviointeja vain yksittäistapauksissa sen sijaan, että ne sisällyttäisivät ne koko DevOps-elinkaareen. DevSecOps-tiimien on otettava käyttöön järjestelmiä, jotka voivat skannata, tunnistaa ja korjata haavoittuvuuksia ohjelmistokehityksen elinkaaren (SDLC) aikana. Penetraatiotestaus ja muut hyökkäysmekanismit auttavat tiimin jäseniä tunnistamaan ja käsittelemään tietoturvariskejä omilla työalueillaan. Automaattiset tietoturvatyökalut ovat välttämättömiä jatkuvassa testauksessa ja valvonnassa, mikä helpottaa DevOps-tietoturvan varmistamista.  
• Käytä versionhallintaa: Versionhallintajärjestelmät ovat välttämättömiä koodimuutosten seurantaan, yhteistyön mahdollistamiseen ja palautusominaisuuksien tarjoamiseen. GitHubin tai Bitbucketin kaltaiset alustat tarjoavat tehokkaat versionhallintajärjestelmät muutosten tehokkaaseen hallintaan. Commit-historian säännöllinen tarkastaminen auttaa tunnistamaan ja korjaamaan arkaluonteisten tietojen paljastumisen. .gitignore-tiedoston käyttäminen arkaluonteisten tiedostojen poissulkemiseen estää arkaluonteisten tietojen tahattoman lataamisen.
• Käyttöoikeuksien hallinta: Tämä järjestelmä varmistaa, että vain valtuutetuilla henkilöillä on oikeus käyttää kriittisiä resursseja. Tiukat toimenpiteet, kuten roolipohjainen käyttöoikeuksien hallinta (RBAC), vähentävät mahdollisia tietoturvaloukkauksia rajoittamalla tarpeetonta käyttöä. Käyttöoikeuksien säännöllinen tarkistaminen ja päivittäminen on olennaista tietoturvariskien vähentämiseksi organisaatioiden kasvaessa ja kehittyessä.
• Salaisuuksien hallinta: DevOpsissa tiimit luottavat erilaisiin työkaluihin ohjelmistotehtävien automatisoimiseksi, ja salaisuuksien hallinta on tärkeä osa tätä. Tilitietojen, API-tunnusten ja avainten suojaaminen on ratkaisevan tärkeää IT-infrastruktuurin turvallisuuden ylläpitämiseksi. Ilman asianmukaista salaisuuksien hallintaa nämä arkaluonteiset tiedot voivat joutua vääriin käsiin ja aiheuttaa vakavia ongelmia.
• Sisällytä testiautomaatio: Automaattinen testaus on ratkaisevan tärkeää haavoittuvuuksien tunnistamiseksi varhaisessa vaiheessa ohjelmistokehitystä sekä laadun ja luotettavuuden parantamiseksi. Se nopeuttaa palautesyklejä, varmistaa koodin yhdenmukaisen validoinnin ja on välttämätöntä jatkuvan integroinnin ja käyttöönoton (CI/CD) käytännöissä. Automaattisten koonti- ja käyttöönottoprosessien yhdistäminen mahdollistaa nopeammat julkaisusyklit ja nopeamman markkinoillepääsyn.

DevOps-tietoturvan käyttöönoton yleiset haasteet

DevOps-tietoturvan tärkeimmät haasteet ovat:

Kulttuurinen vastarinta

• DevOps-tiimit vastustavat usein tietoturvaa ja testausta, koska ne pitävät niitä pullonkaulana.

• Automaatio voi vähentää näitä riskejä ja tietoturvaprosesseihin käytettyä aikaa.

Pilvitietoturva

• Pilvipalveluiden käyttöönotto tarjoaa hyötyjä, mutta aiheuttaa myös tietoturvahaasteita laajemman hyökkäyspinta-alan ja tarkasti määritellyn verkon rajapinnan puuttumisen vuoksi.

• Pilvipalveluiden virheellinen määritys tai manuaalinen virhe voi altistaa kriittiset resurssit julkisille verkoille.

Konttiteknologia

• Työkuormien kontittaminen parantaa tuottavuutta, mutta lisää taustalla olevan moottorin, orkestroinnin ja verkkoympäristön monimutkaisuutta.

• Mahdollisia hyökkäysvektoreita, joita on valvottava ja suojattava, on enemmän.

Yhteistyön haasteet

• DevOps- ja tietoturvatiimit työskentelevät usein erillään, mikä vaikeuttaa skaalautumista DevOps-ensisijaisen kulttuurin mukaisesti.

• Perinteisiä tietoturvatyökaluja ja -teknologioita ei ole suunniteltu näihin käyttötapauksiin.

Salaisuuksien hallinta

• DevOps-ympäristö edistää erittäin yhteistyöhakuista kulttuuria, mikä edellyttää monimutkaista tietoturvastrategiaa valvottua käyttöoikeutettua pääsyä ja salaisuuksien hallintaa varten.

DevOps-tietoturvan onnistunut käyttöönotto

Suojattu DevOps voidaan ottaa onnistuneesti käyttöön noudattamalla muutamaa vaihetta:

• Toteuta tietoturvakäytännöt koodina: DevOpsissa ”infrastruktuuri koodina” korvaa palvelinten ja ohjelmistojen manuaalisen hallinnan. Laajentamalla tätä käsitettä tietoturvaan organisaatiot voivat tehostaa ja parantaa tietoturvakäytäntöjen hallintaa sekä vähentää manuaalisia virheitä ja raskaita määritysprosesseja.
• Erota vastuualueet: DevOps-tiimissä on olennaista määrittää tehtävien eriyttäminen. Tämä tarkoittaa erillisten roolien ja vastuiden määrittämistä kullekin ryhmälle:
  • Kehittäjät keskittyvät liiketoimintatuloksia tuottavien sovellusten luomiseen.
  • Operatiiviset tiimit keskittyvät luotettavan ja skaalautuvan infrastruktuurin toimittamiseen.
  • Tietoturva vastaa resurssien ja tietojen suojaamisesta sekä riskien vähentämisestä.

Näiden ryhmien välinen yhteistyö voidaan formalisoida kirjallisessa tietoturvakäytännössä. Kehittäjät esimerkiksi laativat tietoturvakäytännön, jossa määritellään sovelluksen tai palvelun tarvitsemat käyttöoikeudet. Tietoturvahenkilöstö tarkistaa ja hyväksyy tämän käytännön, kun taas operaattorit varmistavat, että sovelluksen käyttöönotto sujuu ongelmitta.

• Integroi tietoturvaprosessit CI/CD-putkeen: Monet organisaatiot kamppailevat sen kanssa, että kybertietoturvaa pidetään jälkikäteen huomioitavana asiana, mikä voi johtaa viime hetken muutoksiin ja julkaisujen viivästymiseen. Tämän ratkaisemiseksi Kanbanin kaltaisia työnkulun ajoitusmenetelmiä voidaan käyttää kehityksen tehostamiseen ja tehottomuuksien poistamiseen. Tietoturvatiimien tulisi ottaa käyttöön mikropalveluita tietoturvatarkastusten ja muutosten yksinkertaistamiseksi. Tämä ennakoiva lähestymistapa tietoturvan integrointiin varmistaa sujuvammat ja turvallisemmat kehitysprosessit. 
• Ota käyttöön vahvat tietoturvakäytännöt koko sovelluksen elinkaaren ajan: Näihin kuuluvat tietoturvavaatimusten käsittely, käyttöoikeuksien keskittymisen minimointi koontiautomaatio­työkaluissa, salaisten tietojen pitäminen suojattuina, vähimpien oikeuksien periaatteen soveltaminen, vakiomuotoisten käyttötapojen määrittäminen, tunnistetietojen käytön kirjaaminen, yksilöllisten identiteettien tarjoaminen koneille, haavoittuvuuksien skannausten ja penetraatiotestien suorittaminen, kehittäjien kouluttaminen tietoturvauhista sekä tietoturva- ja kehitystiimien välisen yhteistyön edistäminen.
• Automatisoi tietoturvaprosessit: DevOps-automaatio voi parantaa tietoturvaa automatisoimalla sovelluksen elinkaaren hallintaa ja minimoimalla ihmisten osallistumisen. Vaihtamalla salaisia tietoja, kuten tunnistetietoja, säännöllisesti organisaatiot voivat estää hyökkääjiä käyttämästä työkaluja tai järjestelmiä pitkiä ajanjaksoja. Automatisoituja tietoturvatoimintoja voidaan käyttää myös reaktiivisesti tietoturvaloukkauksen yhteydessä, esimerkiksi lopettamalla etuoikeutetut istunnot ja vaihtamalla tunnistetiedot.

DevSecOpsin sotaharjoitukset

Sotaharjoitukset ovat jäsenneltyjä simulaatioita, joiden tarkoituksena on testata ja parantaa organisaation tietoturvan tilaa DevSecOps-kehyksessä. Harjoituksissa tiimit simuloivat tosielämän hyökkäys- ja puolustusskenaarioita tunnistaakseen haavoittuvuuksia, parantaakseen reagointiaikoja ja tehostaakseen tietoturvavalmiutta.

Integroimalla sotaharjoitukset DevSecOpsiin organisaatiot voivat vahvistaa tietoturvapuolustustaan ennakoivasti ennen hyökkäyksen tapahtumista.

Punainen ja sininen tiimi: kyberuhkien simulointi

Sotaharjoituksiin osallistuu yleensä kaksi pääryhmää:

• Punainen tiimi (hyökkääjät): Tämä tiimi jäljittelee tosielämän kyberhyökkääjiä ja käyttää penetraatiotestauksen tekniikoita järjestelmien, sovellusten ja infrastruktuurin haavoittuvuuksien tunnistamiseen ja hyödyntämiseen. Sen tavoitteena on haastaa nykyiset tietoturvakontrollit ja paljastaa heikkoudet.
• Sininen tiimi (puolustajat): Tämä tiimi edustaa DevOps- ja tietoturvatiimejä, jotka vastaavat hyökkäysten reaaliaikaisesta valvonnasta, havaitsemisesta ja torjunnasta. Ne analysoivat punaisen tiimin taktiikoita ja mukauttavat tietoturvakontrolleja parantaakseen poikkeamien käsittelyvalmiuksia.

Osallistumalla näihin harjoituksiin organisaatiot saavat arvokasta tietoa mahdollisista tietoturvavirheistä ja kehittävät vahvempia puolustusstrategioita.

Tehokkaiden sotaharjoitusten toimintasäännöt

Sotaharjoituksissa on noudatettava jäsenneltyä lähestymistapaa eettisen testauksen varmistamiseksi ja tietoturvan parantamisen maksimoimiseksi:

1. Määritä tavoitteet: Kuvaa harjoituksen tavoitteet selkeästi, kuten poikkeamien käsittelyn testaaminen, käyttöoikeuksien hallintatoimien arviointi tai tietoturvan virheellisten määritysten tunnistaminen.
2. Aseta rajat: Varmista, ettei testaus vaikuta kriittiseen liiketoimintaan tai vaaranna arkaluonteisia tietoja.
3. Käytä realistisia hyökkäysskenaarioita: Simuloi tunnettujen uhkien mukaisia hyökkäystekniikoita, kuten tietojenkalasteluyrityksiä, sisäpiirin uhkia tai pilvipalveluiden virheellisiä määrityksiä.
4. Analysoi ja dokumentoi havainnot: Järjestä harjoituksen jälkeen yksityiskohtainen jälkiarviointi suorituskyvyn arvioimiseksi, haavoittuvuuksien dokumentoimiseksi ja korjaussuunnitelmien laatimiseksi.
5. Jatkuva parantaminen: Hyödynnä tuloksia tietoturvakäytäntöjen hienosäätämiseen, automaation parantamiseen ja DevSecOps-käytäntöjen tehostamiseen.

Järjestämällä säännöllisesti sotapeliharjoituksia organisaatiot voivat vahvistaa tietoturva-asemaansa, kouluttaa tiimejä vastaamaan uhkiin tehokkaasti ja varmistaa, että tietoturva säilyy ennakoivana ja jatkuvana osana DevSecOps-elinkaarta.

Avuksi olevat työkalut

DevSecOpsissa käytetyillä työkaluilla on kolme päätavoitetta:

• Pienentää riskejä ja maksimoida nopeus jatkuvan tietoturvatestauksen avulla.

• Automatisoida tietoturvatiimien tuki, jotta projektien tietoturva voidaan varmistaa ilman manuaalisia tarkistuksia.

• Mahdollistaa automatisoidut tietoturvatehtävät SDLC:n varhaisessa vaiheessa, jotta ongelmien paheneminen voidaan estää.

DevSecOpsissa käytetyistä merkittävimmistä työkaluista ovat:

• OWASP Dependency-Check: Avoimen lähdekoodin työkalu, joka analysoi projektin riippuvuuksia ja etsii niistä haavoittuvuuksia.
• SonarQube: Avoimen lähdekoodin staattinen sovellusten tietoturvatestaustyökalu (SAST), joka tunnistaa tietoturvahaavoittuvuuksia staattisen koodianalyysin avulla. 
• Wapiti: Avoimen lähdekoodin verkkopohjainen haavoittuvuusskanneri, joka käyttää mustan laatikon testausta verkkosovellusten tietoturvan tarkastamiseen.
• OpenSCAP: SCAP-alusta (Security Content Automation Protocol) haavoittuvuuksien hallintaan, vaatimustenmukaisuuden mittaamiseen ja vaatimustenmukaisuustarkistusten suorittamiseen.
• Grafana: Analytiikka- ja valvontatyökalu, jonka avulla käyttötiimit luovat mukautettuja koontinäyttöjä eri mittareille ja tietolähteille.

Keskeiset opit

DevOps-prosessi ilman tietoturvaa voi aiheuttaa liian monia riskejä, joten kehityksen, IT-toimintojen ja tietoturvan yhdistelmä on turvallisin menetelmä. Tietoturvan kannalta hyvä käytäntö on aloittaa projekti tietoturva huomioiden ja sisällyttää se automatisoituihin prosesseihin ja DevOps-putkiin. 

Tilaa The CTO Clubin uutiskirje ja saat lisää DevSecOps-näkemyksiä!