DevSecOps.

DevSecOps расширяет DevOps, рассматривая безопасность как общую ответственность разработки, безопасности и эксплуатации, а не как финальный контроль на выходе. Он автоматизирует контроли безопасности внутри CI/CD-конвейеров — SAST, SCA, поиск секретов, сканирование контейнеров, анализ IaC, DAST и policy-as-code, — чтобы проблемы выявлялись там, где разработчики уже работают. Автоматизация сочетается с культурными изменениями: security champions, разборы инцидентов без обвинений, KPI безопасности в дашбордах и self-service-инструменты.

Актуальность этой дисциплины возросла после атак на цепочку поставок ПО. Компрометация SolarWinds SUNBURST в 2020 году внедрила бэкдор в сам процесс сборки, а взлом Bash Uploader у Codecov в 2021 году привёл к утечке секретов из тысяч конвейеров — показав, что конвейер теперь является частью поверхности атаки. В ответ на это в США Executive Order 14028 (май 2021 года) сделал обязательными SBOM и аттестации безопасной разработки для федерального ПО, а такие фреймворки, как SLSA (Supply-chain Levels for Software Artifacts) и NIST SSDF (SP 800-218), кодифицировали происхождение (provenance), подписанные артефакты и усиленные среды сборки.

При правильной реализации DevSecOps сокращает среднее время устранения (mean-time-to-remediate), снижает долю уязвимостей, ускользающих в продакшен, и уменьшает регуляторное трение — при этом сохраняя высокую частоту развёртываний. Ключевая дисциплина — прерывать сборки при находках высокой серьёзности, не утопая при этом разработчиков в ложных срабатываниях.

flowchart LR
  A[Код / коммит] --> B[Pre-commit<br/>поиск секретов · линтинг]
  B --> C[Сборка и тесты<br/>SAST · SCA · скан IaC]
  C --> D[Упаковка<br/>скан контейнера · подпись артефакта · SBOM]
  D --> E{Политический шлюз<br/>OPA · SLSA}
  E -->|Сбой при высокой серьёзности| A
  E -->|Проходит| F[Развёртывание]
  F --> G[Рантайм<br/>DAST · мониторинг · обратная связь]
  G --> A