DevSecOps
Die Praxis, Sicherheitsprüfungen fest in den Entwicklungs- und Auslieferungsprozess einzubauen statt sie nachzulagern.
Sicherheit als eigener Schritt am Ende der Entwicklung hat ein Zeitproblem: Je später ein Befund auftaucht, desto teurer ist er - und desto größer der Druck, ihn zu vertagen. Ein Architekturfehler, der drei Wochen vor dem Launch entdeckt wird, wird selten noch behoben. DevSecOps verschiebt die Prüfung deshalb nach vorn, in die Pipeline, in der ohnehin jede Änderung landet.
Praktisch heißt das: Abhängigkeiten werden bei jedem Pull Request auf bekannte Schwachstellen geprüft, Container-Images ebenso, und Zugangsdaten im Code werden abgefangen, bevor sie überhaupt in die Historie kommen. Diese Prüfungen sind schnell und laufen automatisch - sie kosten keine Termine, sondern verhindern welche.
Der Teil, der sich nicht automatisieren lässt, ist der Entwurf. Bevor die ersten API-Routen entstehen, wird festgelegt, welche Vertrauensgrenzen es gibt, wer welche Daten sehen darf und was passiert, wenn eine Komponente kompromittiert ist. Diese Fragen später zu stellen bedeutet, sie gegen bestehenden Code zu stellen - und dann gewinnt meistens der Code.
Der Nebeneffekt ist Prüfbarkeit. Wenn Sicherheitsschritte Teil der Pipeline sind, existiert für jede Auslieferung ein Nachweis, dass sie durchlaufen wurden. Für ein Audit nach ISO 27001 oder NIS2 ist das genau die Art von Beleg, die sonst mühsam nachträglich zusammengetragen wird.
Die Leistung dahinter
Security & Infrastruktur