DevSec

הענן והטרנספורמציה הדיגיטלית שינו באופן קיצוני את נוף ה-IT והציגו סוגים חדשים של איומים ודרישות אבטחה. מודל האבטחה המשותפת של הענן הקל על ארגונים מהעומס של אבטחת תשתית IT פיזית, שהיא כעת באחריות ספקי שירות הענן  (CSPs) כגון Amazon Web Services, Microsoft Azure ו-Google Cloud.

אבל לקוחות ענן עדיין אחראים לשימוש מאובטח במשאבי ענן וירטואליים, מה שמצריך גישות וכלים שונים לביצוע מאשר במרכז הנתונים. תוקפים פועלים אחרת בענן מאשר במרכזי נתונים, והדרך בה ארגונים פועלים לשמור על הנתונים שלך בטוח בענן צריכה להיות שונה כיום. לפי גרטנר, עד 2023, לפחות 99% מכשלי אבטחת המידע בענן יהיו באשמת הלקוח, בעיקר בצורה של תצורה שגויה של משאבי ענן.

מהנדסי ענן ו-DevOps מתמקדים בתצורה של משאבי ענן, כולל משאבים רגישים לאבטחה כגון: רשתות, קבוצות אבטחה ומדיניות גישה עבור מסדי נתונים ואובייקטי אִחסוּן, אך מוצאים את עצמם בחוסר ידיעה לגבי חולשות הקורות בתוך הקוד עצמו.

DevSec או DevSecOps דורש תהליכים וכלים המאפשרים תפירת פתרונות אבטחה דרך תהליכי DevOps. נהוג לחשוב שחלוקת הבעלות והאחריות של המפתחים על האבטחה, והתוצרים מסודרים וברורים, הדבר אינו כך. 

מרבית המפתחים מוצאים את עצמם מתפשרים על יישום מרכיבי אבטחת מידע בקוד לטובת עמידה בלו"ז הפיתוח. קיימים פערים גדולים בידע בתחום הפיתוח המאובטח (קרי AppSec) אשר הולכים וגדלים לאור אי השקעת ארגונים במיומנויות אלו. מרבית כלי AppSec נרכשים ע"מ לסמן ווי על הצורך תוך התעלמות מצרכי ההמפתחים והתהליכים המקצועיים.