4. Überwachen mit automatisierten Audit-Protokollen

Entgegen vieler Befürchtungen von Sicherheitsspezialisten bedeuten DevOps nicht zwangsläufig, dass damit eine Wild-West-Mentalität Einzug hält. Es gibt Möglichkeiten, eine Aufgabentrennung (Separation of Duties) einzuführen und so den Überblick zu behalten, wer was anfasst. Die Beteiligten müssen dafür nur die Möglichkeiten der automatisierten Systeme nutzen, mit deren Hilfe sich die kontinuierliche Delivery Pipeline steuern lässt.

Auch wenn in vielen Fällen die alten Methoden zur Einführung von Sicherheitsfreigaben leider auf der Strecke geblieben sind, darf man einen Vorteil all dieser neueren Tools nicht übersehen: Sie generieren Audit-Trails. Solche Trails können automatisierte Sicherheitswarnungen innerhalb der produktiven Umgebung enthalten. Mit ihnen erkennt man, wenn es zu Einbrüchen und Sicherheitsvorfällen kommt. Außerdem könnten die Teams beispielsweise sensible Systeme für Sicherheitsfreigaben priorisieren. Darüber hinaus wird es dem System überlassen, den Code automatisch auszurollen. Das bedeutet, dass nur die Tools die exakten IT-Ressourcen zuweisen können.

Diese Trails können vom IT-Sicherheitsteam genutzt werden, um Anomalien zu erkennen oder um zu verstehen, wo möglicherweise etwas schief läuft. Die Anomalie-Erkennung kann aussagekräftige Informationen darüber liefern, ob Außenstehende oder Mitarbeiter an Systeme Hand anlegen, die sie besser unberührt lassen sollten.

5. Den Entwicklern die IT-Sicherheit schmackhaft machen

Security-Spezialisten sollten weniger nach sanften Wegen suchen, Entwicklern mitzuteilen, wie sie sicherer entwickeln sollten, und mehr nach effizienten Wegen, Entwickler bei ihrer komplizierten Arbeit mit hohem Zeitdruck zu unterstützen.

Für einen Sicherheitsexperten ist es einfach, eine schlechte Sicherheitspraxis zu erkennen. Die Versuchung ist groß, Mankos sofort auf eine Art und Weise zu benennen, die Egos verletzt. Das bringt ein Unternehmen aber nicht weiter. Als Security-Verantwortlicher sollte man sich stattdessen ganz bewusst für den Zuckerbrotansatz entscheiden, bei dem sicherer Code und robustes Design Lob und Anerkennung finden. Auch hier kann Technologie helfen, indem man sicherstellt, dass die Sicherheits-Tools so abgestimmt sind, dass sie gesicherte Komponenten zur Wiederverwendung bereitstellen und alles automatisieren, was für sie automatisiert werden kann.

Fazit: DevOpsSec sind erreichbar

Das DevOps-Konzept für eine schlagkräftige und leistungsfähige Unternehmens-IT verdient volle Unterstützung von Seiten der IT-Sicherheit. Sie wird diese jedoch kaum von heute auf morgen erhalten. Es hilft, sich den Ansatz, dass die verschiedenen IT-Organisationen produktiv zusammenarbeiten, als eine Art Migrationsprojekt vorzustellen: Von DevOps zu DevOpsSec - eine organisatorische Weiterentwicklung für eine sichere und agile IT.