DevSecOps

DevSecOps (англ. Development, Security and Operations) — DevOps со встроенной безопасностью: проверки на уязвимости идут на каждом шаге разработки и выкладки, и проблемы видны задолго до финального аудита. Американский институт стандартов NIST описывает DevSecOps через автоматическую цепочку сборки, проверки и развертывания в публикации SP 800-204C 2022 года. В CI/CD добавляют анализ кода, проверку сторонних библиотек по базе CVE и сканирование контейнеров. Пример: разработчик подключил библиотеку с известной уязвимостью, сборка останавливается и показывает, какую версию поставить. Без такого подхода проблему находят перед запуском или после взлома, когда исправление стоит дороже и сдвигает срок. Список типичных уязвимостей веб-приложений ведет OWASP. Для заказчика DevSecOps означает, что требования безопасности проверяются при каждом релизе.

девсекопс.