SecOpsとは？

最初にSecOpsという言葉を聞いたとき、DevOpsが開発者と運用チームを統合するのとほぼ同じ方法で、セキュリティと運用チームを接続することを目的とする管理アプローチと考えました。

しかし、セキュリティはDevOpsパズルの一部ではありませんか？
DevOpsには、コンポーネントの監視、バージョン管理、ベンチマーク、コードレビュー、継続的な監視などのプロセスが既に含まれています。

SecOpsはDevOpsチームに他に何を追加できますか？

これはDevOpsができる限り流行語であることに同意します。

通常の運用エンジニアのタスクに追加されるSecOpsの主なタスクは、CVEパブリケーションフィードのフォロー、修復の処理、通常はセキュリティまたはネットワーク管理チーム（ファイアウォールルール、Webアプリケーションファイアウォールの例外）によって過去に処理されたものの処理の負担を取ることです

DevOps組織のシステム管理者が、アプリケーションコードを読み取り、その一部になることができるシステム管理者として表示される場合、SecOpsは、サーバー自体の周りのインフラストラクチャのセキュリティルールの一部になることができるシステム管理者になります。

責任のサイロ（販売、ビジネス、開発、運用、セキュリティ、監視）を維持する構造では、セキュリティエンジニアと運用エンジニアは、開発者と運用エンジニアと同じように分離されますが、完全なDevOps組織を受け入れず、SecOpsモデルへの移行はサイロベースの組織で歴史的に緊密で敵対性の低い2つの分離したチームを再統合するための最初のステップ。また、一部の人々は、現在の仕事に操作またはセキュリティファセットのいずれかを追加する方が、コードスキルを向上させるよりも快適です。

要約すると、SecOpsをDevOps組織への最初のステップとして定義し、既存の部門の別々のチームであるセキュリティ/ネットワーク/オペレーティングシステムエンジニアの周りにマルチスキルチームを獲得することを目指します。

私はSecOpsがDevOps自体と同じくらい流行語であり、SecOpsはサイロ化された組織と凝集組織の間の足がかりであるという点でTensibaiの回答に同意します。

つまり、DevOpsモデルを使用して運用し、DevOpsの作業方法とDevOpsプラクティスに従う組織を運営している場合、SecOpsの役割を持つ誰かを任命してITセキュリティプラクティスを統合することができます。モデルに。

非常に一般的に、これはDevSecOpsまたはDevOpsSecとしてブランド化され、3つの分野すべてを橋渡しします。

参考文献：

• ジムバードによるDevOpsSec
• DevSecCon：DevSecOpsカンファレンス
• Velocity EU：継続的なセキュリティ

上記のうち、私は現在、ジム・バードの本を読んでおり、以前の役割でDevSecCon の主催者と仕事をすることができ、昨年アムステルダムで開催されたVelocity Sessionに出席する特権を持ちました。