36、实现持续安全：三年战略规划

实现持续安全：三年战略规划

在当今数字化时代，保障DevOps的安全性是一项长期而复杂的任务。要在组织中建立全面的安全计划，需要投入大量的时间和精力。本文将为你介绍一个三年的持续安全战略规划，帮助你逐步提升组织的安全水平。

1. 实践与重复：10000小时的安全投入

实现全面的安全计划并非一蹴而就，需要多年的努力。假设从无到有建立一个完整的安全计划需要10000小时的工作。如果只有一人负责安全工作，在美国大约需要五年时间（美国一年工作时长约2000小时），在法国则更久（法国一年工作时长接近1500小时）；若有两人全职投入，大约需要三年时间。

如果要从头开始构建安全计划，可以参考以下三年规划：
- 第一年 ：专注于保障DevOps管道安全，实施测试驱动的安全策略。
- 第二年 ：加强欺诈检测和事件响应能力。
- 第三年 ：整合风险管理和外部安全测试。

随着每年职责范围的扩大，应逐渐合理分配时间，目标是将资源平均分配到这三个方面。

2. 第一年：将安全融入DevOps

在第一年，要专注于技术层面，深入了解组织的Web应用结构、部署工具、CI/CD管道和基础设施。通过实践使用这些工具，与开发和运维团队建立良好沟通，确保能够自主导航DevOps管道，提出准确的安全建议，并从系统核心层面解决问题。

2.1 避免过早评判

在开展工作时，要避免像一些安全顾问那样，在未了解组织文化的情况下就进行评判。应认识到安全现状可能并不理想，存在需要改进的地方