15、企业环境中推动 DevSecOps 转型的全面指南

企业环境中推动 DevSecOps 转型的全面指南

1. DevSecOps 需全新思维模式

DevSecOps 要求全新的思维方式。安全工程师应重新定位，构建能让他人制造更安全产品的系统，而非亲自实施安全措施；开发者则要重新调整，理解安全编码原则，并将安全工程融入日常工作。这种文化变革和思维转变需要大量工作，包括流程再造和培训。仅提供一次培训，期望所有人都接受是不够的，DevSecOps 和底层的 DevOps 原则需融入工作方式，通过流程强化，只有融入日常工作，才能真正渗透到企业文化中。

2. 衡量进展

推动 DevSecOps 转型，衡量进展至关重要。需采用多方面的衡量方法，关注转型的各个层面。有两个关键方面必须衡量：对 DevSecOps 至关重要的能力以及业务成果。衡量这两方面，能确保转型向前推进并取得预期效果。

透明度是 DevOps 文化的关键组成部分，这些衡量数据能提供透明度的绝佳机会。除了衡量进展，还应在组织内分享这些信息。信息辐射器是放置在中心位置的信息展示工具，可采用大屏幕显示器、白板或贴便签的玻璃墙等形式。利用信息辐射器分享数据，不仅能激励团队朝着衡量指标前进，还能促进学习。表现不佳的团队会受激励提升，表现好的团队可作为典范。需要帮助的团队可向在相关领域表现出色的团队寻求帮助。但要注意，分享信息不应成为滋生恐惧或报复文化的工具，而应是协作和学习文化的一部分，让团队共同努力，发挥最佳水平。

下面是衡量进展的关键要点表格：
|衡量方面|具体内容|
| ---- | ---- |
|衡量对象|DevSecOps 关键能力、业务成果|
|衡量方式|多方面衡量，关注转型各层面|
|信息