23、信息安全：融入日常工作的全方位实践

信息安全：融入日常工作的全方位实践

1. 信息安全融入日常工作的重要性

在当今的技术环境中，信息安全和合规性常常被视为实施某些原则和模式的阻碍。然而，将信息安全融入技术价值流中每个人的日常工作，可能是更好的解决方案。传统上，信息安全部门独立于开发和运营团队，这导致了许多问题。例如，在典型的技术组织中，开发、运营和信息安全工程师的比例为 100:10:1，信息安全人员严重不足。如果不进行自动化和整合，信息安全团队只能进行合规性检查，这与安全工程背道而驰，还会引起其他团队的反感。

2. 信息安全融入日常工作的具体实践

2.1 融入开发迭代演示

邀请信息安全人员参加每个开发间隔结束时的产品演示，让他们在项目早期了解团队目标和组织目标的背景，观察功能的实现过程，并提供指导和反馈。这样可以将复杂的安全和合规性问题提前解决，减少项目后期的阻塞和成本。例如，GE Capital 通过“演示合规性”仪式，让信息安全人员参与新功能的创建过程，减少了静态检查表的使用，提高了组织的目标达成率。

2.2 融入缺陷跟踪和事后分析

将所有开放的安全问题跟踪在开发和运营团队使用的同一工作跟踪系统中，确保工作可见并能与其他工作一起进行优先级排序。例如，Etsy 的信息安全团队将所有安全问题放入 JIRA 中，工程师可以根据问题的优先级及时修复。同时，每次出现安全问题时进行事后分析，教育工程师如何防止问题再次发生，并传递安全知识。

2.3 融入共享源代码库和共享服务

在共享源代码库中添加确保应用程序和环境安全的机制和工具，如预批准的认证和加密库及服务。如果有集中的共享服务组织，可以与之合作创建和运营