Key Takeaways
Samsvar med regelverk er nødvendig: Samsvar med regelverk er avgjørende for virksomheter, særlig for dem som opererer på nettet. Regelverk påvirker alle organisasjoner og blir stadig viktigere for å kunne drive virksomhet nesten hvor som helst.
Regelverkenes alfabetiske suppe: Virksomheter må forholde seg til en rekke regelverksstandarder, som HIPAA, PCI DSS, GDPR og SOX. Disse reglene påvirker moderne programvareutvikling og gjør samsvar med regelverk til et viktig ansvar for DevOps-team.
Flytt samsvarskontrollene til et tidligere stadium med DevOps: DevOps-samsvar har som mål å integrere regelverkskontroller tidlig i livssyklusen for programvareutvikling. Denne proaktive tilnærmingen reduserer risikoen ved å sikre samsvar på flere utviklingsstadier, ikke bare før distribusjon.
Automatisering redder samsvarsarbeidet: Automatisering i livssyklusen for programvareutvikling bør omfatte samsvar med regelverk for å minimere risiko og kostnader. Ved å sikre samsvar under utviklingen av funksjoner unngår man kostbare rettelser etter distribusjon og fremmer kontinuerlig overholdelse av regelverket.
Utfordringer knyttet til synlighet og samarbeid: Effektivt DevOps-samsvar avhenger av å bygge bro over avstanden mellom utviklings- og GRC-team gjennom synlighet, bedre kommunikasjon, samarbeid og avanserte teknologiverktøy. Begge sider må samarbeide sømløst.
Overholdelse av regelverk er kanskje et av de minst glamorøse temaene innen teknologi.
Likevel er det et helt nødvendig tema. Krav til overholdelse påvirker organisasjoner av alle størrelser og overalt imellom – særlig alle virksomheter som driver på nett, noe som på dette tidspunktet gjelder alle virksomheter.
«De fleste virksomheter opplever i dag endringer i regelverkslandskapet, med nye regler hvert år, noen ganger hvert kvartal», sier Daniel Marashlian, teknologidirektør og medgründer av Drata, et selskap for automatisering av sikkerhet og regelverksetterlevelse. «Overholdelse av regelverk blir et krav for å kunne drive virksomhet [nesten hvor som helst].»
Listen over forkortelser for regelverk ser virkelig ut som en synstest hos optikeren: HIPAA, PCI DSS, GDPR, SOX, FISMA, NIST – henger du fortsatt med? Dette er bare toppen av isfjellet når det gjelder potensielle regler og rammeverk du kan måtte overholde, særlig i den moderne programvareverdenen.
Ettersom virksomhetsprogramvare griper inn i praktisk talt alle deler av en virksomhet, følger det at programvare – for ikke å nevne dataene og infrastrukturen – i høy grad er en del av regelverkslandskapet. Dette betyr igjen at DevOps-team i stadig større grad har ansvar for organisasjonens strategi og status når det gjelder overholdelse av regelverk.
«DevOps-organisasjoner blir i økende grad bedt om å oppfylle disse nye regulatoriske kravene», sier Marashlian.
I denne artikkelen skal vi se nærmere på overholdelse av regelverk i DevOps – hva det er, hvorfor det er viktig, og hvordan team implementerer det.
Hva er overholdelse av regelverk i DevOps?
DevOps har alltid handlet om å bygge bedre prosesser, verktøy og team – med det overordnede målet å levere god programvare raskt og pålitelig. Overholdelse av regelverk i DevOps handler derfor om å sikre at livssyklusen for programvarelevering (SDLC) oppfyller alle relevante krav, enten de er fastsatt av organisasjonens retningslinjer, offentlige forskrifter, bransjestandarder eller andre regler.
Tidligere kan overholdelse av regelverk ha blitt sett på som en siste avkrysning før produksjonssetting – eller til og med som noe man ikke prioriterte med mindre det oppsto et problem i en produksjonssetting. I dag er det et ønske om å flytte overholdelse av regelverk – på samme måte som sikkerhet, kvalitetssikring og andre prosesser – så langt «til venstre» som mulig i SDLC, altså til de tidligste fasene av programvareutviklingen. Dette gjør det til en mer integrert del av SDLC og gjør det mulig for team å kontrollere kode og systemer for overholdelse av regelverk regelmessig (på flere stadier) for å redusere risiko.
Have an account? Log In
Hvorfor er overholdelse av regelverk i DevOps viktig?
DevOps har blitt en av de ledende tilnærmingene til programvareutvikling. Det er tilstrekkelig å si at mange programvareapplikasjoner – og helt sikkert alle systemer som genererer, bruker eller lagrer sensitive data – er underlagt de ulike retningslinjene, forskriftene og sikkerhetsrammeverkene som styrer hvordan virksomheter opererer.
Overholdelse av regelverk i DevOps er viktig fordi det uten dette er langt vanskeligere å minimere risiko og sikre konsekvent overholdelse når programvareteam distribuerer kode raskere og oftere – kontinuerlig, faktisk – enn noen gang. Dette gjelder i enda større grad ettersom mange deler av SDLC har blitt automatisert, inkludert kontinuerlig integrasjon/kontinuerlig levering (CI/CD)-pipelinjer, infrastrukturautomatisering, sikkerhetsautomatisering og mer. Den samme automatiseringsfokuserte tankegangen bør også omfatte overholdelse av regelverk.
«Ved å bygge inn overholdelse av regelverk i funksjoner mens de utvikles, i stedet for å identifisere disse problemene etter at funksjonen er satt i produksjon, kan man unngå kostbar utbedring», sier Marashlian.
Utfordringer med overholdelse av regelverk i DevOps-implementeringer
Overholdelse av regelverk i DevOps er også viktig fordi det representerer en fortsatt endring i hvordan programvareutviklingsteam samhandler med resten av organisasjonen. DevOps hadde som mål å bryte ned tradisjonelle barrierer mellom IT-områder – særlig mellom utvikling og drift, men også mellom funksjoner som sikkerhet og kvalitetssikring. På samme måte bør overholdelse av regelverk i DevOps redusere friksjon mellom programvareteam og andre viktige interessenter, spesielt personer som arbeider med styring, risiko og overholdelse (GRC).
«Når det gjelder endringer som gjøres av utviklingsteam, mangler GRC-team innsyn i hvordan disse endringene påvirker statusen for overholdelse av regelverk, ettersom den eneste måten å få dette innsynet på er gjennom manuelle revisjoner eller automatiserte verktøy som skanner produksjonsmiljøet», sier Marashlian.
Dette peker på flere overlappende utfordringer knyttet til overholdelse av regelverk i DevOps-miljøer: manglende innsyn, manglende kommunikasjon, manglende samarbeid og mangel på effektive teknologiverktøy – særlig verktøy som kan bidra til å implementere, automatisere og administrere en «ønsket tilstand» for virksomhetens krav til overholdelse av regelverk.
Overholdelse av regelverk i DevOps «innebærer å gi utviklere innsyn i rammeverk for overholdelse og regulatoriske krav på en tilgjengelig og handlingsrettet måte, slik at de kan sikre at organisasjonens forretningsmål knyttet til overholdelse oppfylles gjennom kodeendringene deres», sier Marashlian.
Det går begge veier: GRC-team trenger også innsyn i og forståelse av hvordan organisasjonens programvare påvirker statusen for overholdelse av regelverk, men på en måte som ikke skaper friksjon med utviklere og DevOps-ingeniører eller skaper flaskehalser i SDLC.
Gode nyheter: Disse utfordringene bør høres kjent ut for erfarne DevOps-folk, fordi de ligner på konfliktene som tidligere fantes mellom utvikling og drift. DevOps-praksiser som felles insentiver og skyldfrie etterevalueringer kan også være verdifulle her.
Automatisering er også svært viktig, siden det muliggjør hyppige kontroller som starter tidlig i SDLC-en og minimerer produksjonsproblemer senere. Hvis slike problemer likevel oppstår, er en samarbeidsorientert tilnærming til å løse dem – i motsetning til å legge skylden på noen – avgjørende.
«Når kritiske samsvarsproblemer identifiseres i produksjon, bør GRC- og ingeniørteamene samarbeide om å prioritere løsninger på disse problemene, slik at organisasjonen fortsetter å oppfylle samsvarsmålene sine», sier Marashlian. «Dette bidrar til å unngå siloer og legger til rette for tettere samarbeid mellom de to teamene.»
Beste praksis for DevOps-samsvar
Uavhengig av hvilke spesifikke verktøy eller andre løsninger du velger for DevOps-samsvar, finnes det noen grunnleggende komponenter og beste praksiser som bør vurderes som fundamentet for programmet ditt. Disse omfatter:
Tydelige regler og mål: Du kan ikke oppfylle samsvarskravene hvis du ikke vet hva målet er. Derfor bør ethvert DevOps-samsvarsprogram naturligvis starte med å identifisere hvilke forskrifter og rammeverk du må eller ønsker å følge, og deretter implementere retningslinjer og verktøy i tråd med dette. Disse kan noen ganger angis som «akseptable intervaller», noe som betyr at det finnes et spekter av potensielt akseptable resultater for samsvarskontroller når de kjøres i ulike faser av SDLC-en.
Versjonskontroll: Versjonskontrollsystemer som Git finnes allerede ofte i DevOps-verktøykjeder. Det er bra, fordi versjonskontroll i stor grad anses som et nødvendig element også for DevOps-samsvar – blant annet fordi det er en muliggjørende teknologi for sikkerhets- og samsvarsrevisjoner.
Infrastruktur som kode (IaC): Verktøy for infrastruktur som kode – eller infrastrukturautomatisering – gjør det mulig for DevOps-ingeniører og andre å håndtere oppgaver innen infrastrukturadministrasjon programmatisk, for eksempel klargjøring, skalering eller konfigurasjon. Dette gjør det mulig for DevOps-team å administrere infrastruktur konsekvent og automatisk, noe som sparer betydelig med tid og arbeid på manuelt, gjentakende infrastrukturarbeid.
Sikkerhetsautomatisering / DevSecOps: Selv om sikkerhet og samsvar vanligvis betraktes som separate områder, henger de absolutt sammen, særlig når det gjelder data. For å forklare sammenhengen enkelt: Hvis du har sikkerhetssårbarheter i programvaren, infrastrukturen eller dataene dine, har du sannsynligvis også samsvarssårbarheter. En måte å se på DevOps-samsvar på er at det følger et lignende mønster som DevOps og sikkerhet – noe som noen ganger omtales som DevSecOps – ved at det krever en «skift til venstre»-tankegang og at man forlater gamle paradigmer der sikkerhet (og samsvar) ble behandlet som en avsluttende sjekkliste ved utrulling.
Samsvarsprosesser overlapper også ofte med ulike standarder og strategier for cybersikkerhet, som tilgangskontroll (tenk MFA/2FA og rollebasert tilgangskontroll) og sikkerhetsrammeverk som de som er publisert av NIST eller OWASP.
Samsvar som kode (CaC): Samsvar som kode (CaC) – noen ganger kalt samsvarsautomatisering – bruker skript og automatiseringsverktøy til å redusere risikoen knyttet til manuell konfigurasjon og sikre konsistens gjennom hele organisasjonens IT-miljø og SDLC.
CaC forbedrer sporbarheten og ansvarliggjøringen av endringer som gjøres i infrastruktur og programvare. Sammen med infrastruktur som kode (IaC) kan selskaper oppnå bærekraftige, repeterbare og reviderbare infrastrukturendringer som er i tråd med samsvarskravene – og gjøre det samme i programvarekodebasene sine.
Vi skal se nærmere på noen CaC-verktøy i neste avsnitt.
More Articles
DevOps-verktøy og -løsninger for samsvar
Som Marashlian påpeker ovenfor, er en av de overordnede utfordringene med samsvar i enhver organisasjon at det er et landskap i stadig utvikling. Nye forskrifter og lover vedtas, eksisterende rammeverk eller regler endres, og så videre.
Det er en av de grunnleggende verdiforslagene til CaC-verktøy. De gir større standardisering, konsistens og automatisering til samsvarskontroller gjennom hele SDLC-en – samtidig som de bevarer et tydelig revisjonsspor.
Jim Bird, forfatter av O’Reilly-boken DevOpsSec, skriver: «Standardisering gjør revisorer fornøyde. Revisjon gjør revisorer fornøyde (selvsagt). Samsvar som kode gir et vakkert revisjonsspor for hver endring, fra når endringen ble forespurt og hvorfor, til hvem som gjorde endringen og hva denne personen endret, hvem som gjennomgikk endringen og hva som ble funnet under gjennomgangen, hvordan og når endringen ble testet, og til når den ble rullet ut.»
Etter hvert som DevOps har blitt mer modent, ser det ut til at flere organisasjoner begynner å forstå dette: Marashlian fra Drata viser til en nyere rapport fra Gartner som forutser at «70 % av virksomhetene innen 2026 vil ha integrert samsvar som kode i DevOps-verktøykjedene sine, noe som reduserer risikoen og forbedrer leveringstiden med minst 15 %.»
Drata lanserte nylig en CaC-funksjon på plattformen sin. «DevOps- og GRC-team får tidlig innsyn i samsvarsproblemer i utviklingslivssyklusen, [kan] enkelt og raskt utbedre disse problemene i koden, og [kan] bygge sikkerhetsmekanismer for å kontrollere om kodeendringer som påvirker organisasjonens samsvarsstatus, tillates gjennomført», sier Marashlian.
Hvis du for eksempel er en helseorganisasjon som ønsker å automatisere mer av HIPAA-samsvaret, kan du konfigurere et CaC-verktøy til å gjøre det. Dette ligner på de fleste andre større regelverk, som SOC 2, GDPR og ISO 27001. CaC-verktøy kan bidra til å automatisere valideringen av ulike samsvarsstandarder gjennom hele SDLC-en, på vei mot en modell for kontinuerlig samsvar – ikke ulikt kontinuerlig levering og CD-pipeliner.
Det finnes flere andre alternativer i tillegg til Drata, blant annet Vanta, Sprinto og Scrut. Et av de grunnleggende utvalgskriteriene dine bør naturligvis være å sikre at verktøyet du bruker, støtter de spesifikke samsvarskravene dine.
Vær også oppmerksom på at det finnes en langt bredere meny av programvareverktøy som kan falle inn under paraplyen DevOps-samsvar: versjonskontrollsystemer som Git, automatiseringsplattformer som Terraform og Ansible, og til og med Kubernetes. De største skyplattformene tilbyr også egne varianter av disse og andre verktøy.
Konklusjonen
Overholdelse av regelverk er kanskje ikke den beste samtalestarteren i et middagsselskap, men det er en nødvendighet for de fleste organisasjoner. Og samsvar – spesielt når det gjelder programvareapplikasjoner, data og infrastruktur – håndteres i økende grad som kode på en svært automatisert måte.
Hvilken rolle spiller DevOps i organisasjonens samsvarsarbeid? Abonner på nyhetsbrevet til The CTO Club for flere bransjenyheter og diskusjoner!
