13、DevSecOps 治理：从风险管控到自动化合规的全面指南

DevSecOps 治理：从风险管控到自动化合规的全面指南

1. 工作类型与风险管理

在开发生命周期中，工作可分为四种关键类型：特性（Feature）、缺陷（Defect）、风险（Risk）和债务（Debt）。通过对工作项进行标记，我们可以了解有多少工作致力于风险缓解活动，从修复漏洞到满足监管要求，再到实施新的安全特性。这些都应被视为产品的特性并进行优先级排序。

风险存在于多个层面，从企业风险（如市场变化）到单个风险项（如特定云实例上的漏洞）。一个良好的风险管理计划包括以下几个方面：
- 风险框架 ：如 NIST 和 COBIT 等框架为风险管理提供了结构。
- 合规标准 ：根据公司的规模和结构，可能需要遵守多种标准，如 SOX 和 PCI 等。公司必须遵守的标准取决于行业、业务规模、业务类型以及业务所涉及的活动类型。
- 政策 ：政策是帮助你遵守所需框架或标准的书面文件。
- 控制措施 ：控制措施是确保你遵守书面政策的行动。
- 证据 ：证据是证明控制措施已得到满足的证明。
- 认证 ：这是有责任方签署并注明日期的证据，表明证据满足控制措施。

不同的网络安全框架之间存在显著的重叠，隐私标准也是如此。例如，新兴的隐私标准虽有多种，但也存在大量重叠。

2. 控制措施分类

控制措施通常分为三大类：
- 检测型