让安全控制在发布代码的路径中真正落地
安全与 DevSecOps，是把安全检查放进软件交付路径的工作，从设计到发布，让交付代码的人来运行检查，安全团队来审查结果。SEYA Group 评估您的应用、基础设施和数据目前如何受到保护，然后设计并在商定范围内构建让这些控制在流水线中真正落地的检查。
适用对象
控制措施存在于政策文件和审计表格中、却不存在于交付代码的系统里的 CIO 和 CISO。工程师把安全评审当作末尾那道拖慢每次发布的关卡的 CTO。负责一套访问权限、密钥和镜像卫生状况在没有规划的情况下野蛮生长的云资产的 IT 经理。正在设计平台、希望从一开始就把控制设计进去的架构师。
我们解决的问题
- 交付团队与安全团队之间的职责划分不清。
- 容器镜像在构建时未经扫描就运行在生产环境中。
- 在代码写完几个月后，才在渗透测试或审计中冒出来的问题。
- 密钥放在配置文件、聊天消息或共享电子表格里。
- 云账户控制靠手工施加，每个环境各不相同。
您将获得
- 云安全评估。审视范围内的应用、基础设施和数据如何受到保护、这些控制是否体现在您已有的生命周期中，并给出按优先级排序的建议改动清单。
- DevSecOps 评审。对照一组简短的有效实践，直白地描述当前的交付和安全实践，写成您的团队可以共享的基线。
- 流水线检查。在交付流水线中设计并在商定范围内实现静态分析、依赖、镜像和运行时扫描，并附上规定哪些发现项会阻止发布的规则。
- 容器与密钥实践。镜像如何构建、扫描并准入各个环境，以及密钥如何存储、轮换并供应用访问。
- 控制即代码。把基础设施和安全策略写成代码的方案，并在商定范围内构建，使同一套评审在每次变更时运行。
项目如何开展
- 范围确认会。您描述系统、您需要对其负责的控制，以及目前安全与交付之间的摩擦出在哪里。
- 评估。我们与安全和工程团队一起审视环境、流水线和当前实践，写出发现和建议。
- 设计。检查、准入规则和职责归属由双方共同商定，包括什么会阻止发布、谁来决定例外。
- 与您的团队一起构建。检查逐个阶段进入流水线，与您的工程师一起调优，确保发现项真实可信，流水线依然可用。
- 交接。您的团队拥有检查、规则和策略代码；如果您想要第二条基线，评审可以在之后重复进行。
技术范围
工作涵盖 AWS、Microsoft Azure 和 Google Cloud 的账户与身份控制，在您的团队使用 Terraform 的情况下，基础设施和策略以 Terraform 编写。SEYA 曾用 HashiCorp Vault 和 AWS Secrets Manager 实施密钥管理，用 HashiCorp Consul 实施服务发现，并在 Jenkins 和 GitHub Actions 中实施流水线控制。容器扫描和准入规则针对 Kubernetes 平台设计，包括 Amazon EKS、Google Kubernetes Engine 和 OpenShift。如果您正在为 PCI DSS 或 SOC 2 等标准准备环境，评估会把您需要的控制映射到流水线可运行的检查；认证本身是您与评估机构之间的事。
您需要具备的条件
一位安全负责人和一位工程负责人，两人都要参与；对范围内流水线和云账户的访问权限；以及对发现项将被如实记录的共识。如果流水线本身尚不存在，它会在 企业转型 或云原生开发下构建， 检查随之设计。如果云基础环境仍在构建中，着陆区控制属于 云平台与迁移， 本项工作在其基础上扩展。
本页不在范围内的内容：安全运营中心或监控服务、针对某项具体法规的认证，以及系统安全的保证。发现项即检查所报告的内容，结果干净意味着这些检查通过了。
相关安全服务
- AI 安全：面向生产环境中的模型、数据和智能体。
- LLM 安全评估：在语言模型功能上线之前。
- 云安全态势：针对 AWS、Azure 和 Google Cloud 中的错误配置。
- 零信任：面向身份和工作负载访问。
- SOC 2 就绪：为审计师将要抽样的证据做准备。SEYA 不出具报告。
- AI 治理：与技术控制相匹配的政策。
相关案例
常见问题
这会拖慢我们的发布吗？
设计目标恰恰相反。检查尽早运行，此时修复成本最低；阻断规则与工程团队共同商定，因此流水线变红意味着真实的问题。在检查成为关卡之前，我们会与您的团队一起调优。
谁来决定什么会阻止发布？
您的安全负责人和工程负责人，在设计阶段共同决定。SEYA 提出建议；规则是您的，例外流程也是您的。
你们能帮我们准备审计吗？
可以，具体是指把您需要的控制映射到流水线可运行的检查，并指出证据将来自哪里。审计和任何证书仍是您与评估机构之间的事。
你们如何与我们的安全团队协作？
作为同事。安全团队仍是结果的审查者和策略的所有者；这项工作把检查的运行转移给交付代码的团队。
如果您的控制写在文档里，而发布却发生在别处，请 预约安全评估沟通会， 我们会告诉您第一次评审将覆盖哪些内容。
联系我们
发送有关云、平台、数据或可靠性项目的咨询。营销邮件在表单中为单独选项。