Почти половина (45 %) IT-специалистов в России считают важной концепцию DevSecOps (сокращённо от Development, Security и Operations), а 36 % отечественных организаций уже включили меры по обеспечению безопасности в цикл разработки программного обеспечения и наработали определённую практику. Об этом свидетельствует исследование, проведённое Positive Technologies.
Модель DevSecOps подразумевает аудит, сканирование и тестирование программного кода на предмет уязвимостей на всех этапах разработки ПО, начиная от проектирования, написания исходного кода, компиляции и отладки до интеграции, развёртывания и доставки софта заказчику. Такой подход автоматизирует процессы по обеспечению безопасности приложений и позволяет разделить ответственность за надёжность создаваемых продуктов между специалистами по разработке, безопасности и эксплуатации IT-систем.
Проведённые Positive Technologies опросы показали, что у 50 % специалистов в настоящий момент отсутствует понимание того, что DevSecOps может защитить разрабатываемый продукт от хакеров, а в 37 % компаний и вовсе не видят смысла в интеграции задач безопасности в свои производственные процессы. Всё это сдерживает и тормозит масштабный переход бизнеса к методологии DevSecOps и внедрению культуры кибербезопасности в процессы разработки ПО. Нельзя списывать со счётов и тот факт, что данная концепция подходит далеко не всем компаниям в силу специфики их бизнеса.
«Место DevSecOps в безопасности компаний сильно зависит от профиля бизнеса и особенностей её приложений. В любой организации существуют программные решения, эксплуатация уязвимостей в которых является недопустимым с точки зрения бизнеса событием. Если они становятся доступны хакеру, то в конечном итоге их взлом приведёт к опасным последствиям для жертвы. В данном случае безопасность кода — очевидный приоритет для бизнеса», — комментирует результаты исследования Алексей Жуков, эксперт отдела систем защиты приложений Positive Technologies.
