對于有助于在團隊中建立安全知識的基本考慮因素，通常是在第一步中創建問題意識。特別是對于敏捷的工作團隊，建立控制點非常重要。DevOps的自動化原理也有助于：有許多工具可以幫助消除手動任務，例如掃描漏洞或執行代碼分析。

DevOps不僅僅是關于開發和運營團隊。對于那些希望充分利用DevOps方法的敏捷性和響應性的人來說，IT安全性必須在整個應用程序生命周期中發揮不可或缺的作用。過去，安全在發展的最后階段的作用僅限于特定的團隊。這不像開發周期持續數月甚至數年那樣有問題，但那些日子已經過去了。高效的DevOps可確保快速和頻繁的開發周期(有時可在數周或數天內完成)，但過時的安全實踐甚至可以回收最好的DevOps計劃。

持續安全

在DevOps的協作框架中，安全性是一項共同的責任，從頭到尾集成。這是一種非常重要的思維模式，有些人創造了“DevSecOps”這一術語，強調了在DevOps計劃中提供安全基礎的必要性。DevSecOps意味著從一開始就思考應用程序和基礎架構的安全性。它還意味著自動化一些安全門以防止DevOps工作流減慢。選擇持續集成安全合適的工具可以幫助實現安全目標，而是一個有效的DevOps安全需要的不僅僅是新的工具 - 它建立在DevOps的文化變化給安全小組的工作整合宜早不宜遲，

無論是“DevOps”還是“DevSecOps”，將安全性視為整個軟件生命周期不可或缺的一部分始終是理想的選擇。DevSecOps是關于內置安全性的，而不是用作軟件和數據警察的安全性。當安全性首次到達開發流程的末尾時，使用DevOps的公司可以回到他們最初想要避免的長期開發周期。

DevSecOps強調需要在DevOps計劃開始時邀請安全團隊來構建信息安全并定義安全自動化計劃。它還強調了幫助開發人員開展安全工作的必要性。此過程中，安全團隊透明地分享對已知威脅的反饋和見解

，有助于相互理解。這也可能包括針對開發人員的新安全培訓，因為他們并不總是成為傳統應用程序開發的焦點。

內置安全性是什么樣的?

一個好的DevSecOps策略首先要確定風險承受能力并執行風險 - 收益分析。給定應用程序中需要多少安全控件?各種應用程序的快速市場推出有多重要?自動執行重復任務是DevSecOps的關鍵，因為在管道中執行手動安全檢查可能非常耗時。

此外，有必要促進孤立的團隊之間更密切的合作。所有這些舉措都從人的層面開始 - 具有商業合作的特殊性。這些應該下臺并考慮整個開發和運營環境。這包括版本控制庫，集裝箱登記，持續集成和持續部署管道(CI / CD)，API管理(應用編程接口)，編排和發布自動化和運營管理和監控。新的

自動化技術幫助公司引入了更靈活的開發實踐，并幫助推動了新的安全措施。

但自動化并不是近年來IT領域中唯一發生變化的事情：容器和微服務等云技術現在是大多數DevOps計劃的重要組成部分，DevOps的安全性需要適應滿足他們的要求。云原生技術不適用于靜態安全策略和檢查表。相反，安全性必須在應用程序和基礎架構生命周期的每個階段都是連續的和集成的：

標準化和自動化(供應，部署，修補)

中央身份和訪問管理

集成安全掃描器的容器

CI管道內的自動安全測試

隔離微服務

傳輸級加密

檢查已知漏洞

工具的使用 - 與其他領域一樣 - 并不能代替背景。更重要的是，一個人處理背景并逐步進行。這個過程模型也很好地適應了變得越來越好的敏捷思維。為什么不安全?通過合理的努力，可以將Continuous Security作為Continuous Delivery的一部分來實施。在幾乎所有方面，都可以考慮安全方面。因此，可以編寫用戶故事以進行強化，或者在技術要求中也可以考慮安全相關點。通常建議，特別是在較大的項目中，填補安全冠軍的角色，并可能安排一個或多個安全沖刺。

創建安全準則

在創建用戶故事時考慮安全性

執行代碼掃描

由安全冠軍進行同行評審

安排滲透測試

在團隊中創建安全技術變得絕對必要。然而，首先，有必要創建問題意識。