解决方案

合规解决方案

设计安全且合规的基础架构。贯穿整个软件交付生命周期。

信息安全滞后
成为速度障碍

        大多数组织都了解速度的价值。但是，当您询问这些组织是否可以持续交付软件并保持合规性时，他们的回答令人大开眼界。

       在 2017 年 Chef 合规性调查中，DevOps 从业者将 InfoSec 和合规性问题置于他们优先考虑的最底层。人们仍然认为信息安全会抑制敏捷性和速度。

81%

运营专家认为合规政策会减慢他们的速度

77%

信息安全专家认为合规政策会减慢他们的速

如果没有正确的合规工具和流程，DevOps组织仍然会受苦

       行业数据显示，高绩效 DevOps 团队成功背后的秘诀在于，他们扩大了范围，将 InfoSec 纳入软件开发过程的每个阶段。但是，仍有很大的改进空间。信息安全策略实施缓慢，审核缓慢，并且牢牢地定位于以自动化和高速为导向的转变之前的实践中。因此，它们可以说是无效的。

       据估计，到 2020 年，99% 的被利用的漏洞将继续被安全和 IT 专业人员知道至少一年或更长时间。* Verizon 的数据泄露报告显示，在过去三年中，超过 88% 的观察到的漏洞只有九个已知漏洞可以解释漏洞利用。

64%

的DevOps组织必须遵循监管标准

73%

开发开始后评估合规性

59%

仅在代码投入生产后对其进行评估

运输速度和修复速度都是代价高昂的问题

    在威胁快速发展和合规框架不断发展的时代，与大多数组织修复违规或漏洞所需的时间有关的数据变得更加令人担忧。当每天将数十个甚至数百个构建部署到生产中时，响应时间简直令人无法接受。而且，请记住，这些调查受访者在实践 DevOps。

15%

需要数小时才能修复

30%

需要几天来修复

22%

需要数周才能修复

22%

需要几个月才能修复

为什么安全不能快速

       高性能 DevOps 团队通过将合规性作为日常工作的一部分纳入软件开发流程，而不是在最后改造安全性，从而提高速度和质量。通过“左移”测试（在开发生命周期的早期或项目时间线的左侧集成信息安全的测试），开发人员更有可能在进入生产之前发现错误。

       专注于管理合规性的工具，将 InfoSec 评估从由充满政策文档的活页夹驱动的手动流程转移到一个模型，在该模型中，控制被表示为可执行、可版本化和人类可读的代码。这些控件可以作为另一组测试进行分发，任何开发人员都可以将其合并到他们现有的工作流程和工具链中。这种代码驱动的方法建立在 DevOps 团队已经使用的现有协作方法之上。

使用 InSpec 和 Chef Automate 缩小合规性差距

       Chef InSpec 是基础设施的开源测试框架。它是一种人类可读的语言，用于将合规性、安全性和其他策略要求指定为测试。团队可以轻松地将这些自动化测试集成到其部署管道的任何阶段。

       将 Chef InSpec 与 Chef Automate（Chef 的持续自动化平台）集成，即使在生产中，您也可以更好地控制问题的检测和纠正。在您的整个服务器和机器群中——无论它们的环境如何——Automate 都可以根据 Chef InSpec 数据提供分析、报告和可视化。用户甚至可以下载预先打包的 CIS 基准以按原样使用，或根据其业务或行业标准进行定制。