8、DevSecOps 流程全面解析：从基础到实践

DevSecOps 流程全面解析：从基础到实践

1. DevSecOps 流程概述

DevSecOps 作为一套原则，本身并没有固有的流程。这些原则为 DevSecOps 中的工具和实践提供了基础指导，但并未给出具体的工作步骤。DevOps 研究所首席执行官 Jayne Groll 强调：“DevOps 本身没有固有的流程”。实际上，许多 DevOps 从业者依赖的流程都基于 ITIL。在将 DevOps 原则应用到工作中时，需要寻找自动化、赋予团队权力和注重协作的机会。

DevSecOps 流程具有以下基本特点：
- 轻量级
- 自动化
- 可信赖
- 可衡量
- 推动责任归属
- 透明化
- 赋予权力
- 营造心理安全氛围
- 注重培养学习文化

将这些原则融入现有流程，并找到支持这些原则的流程，就能将 DevSecOps 融入到各项工作中。

2. 不同规模组织的流程考量

在考虑组织的流程时，组织的规模和成熟度是关键决定因素。随着组织规模的扩大，需要更先进的流程来协调各个组成部分，但这并不意味着流程要繁琐或拖慢进度。实际上，企业发展越快，越需要有合适的流程框架来确保执行的顺畅和一致。

在小型公司（如只有五到十人）中，每个人很容易随时了解其他人的工作，对详细跟踪各项事务的需求较低。而随着公司的发展，拥有跟踪活动和应对问题的流程就变得至关重要。当公司每天进行数十甚至数百次发布时，需要有发布记录，以便在出现问题时能快速找到并理解发生了哪些变化。对于大中型公司，需要清楚了解正在发生的变化、相关流程以及需要哪些人员参与，以便在重大事件发