重磅！GitLab 提出五大预测，洞见 2023 年 DevSecOps 发展趋势

本文来源：about.gitlab.com

作者：Sandra Gittlen

译者：极狐(GitLab) 市场部内容团队

2023 年，企业会将更多的时间和资源投入到持续的安全左移上，完成从 DevOps 到 DevSecOps 的演变。 

GitLab CMSO Ashley Kramer 表示，每一个公司都需要将安全紧密集成到 DevOps 中，以应对整个软件开发生命周期中不断增加的威胁。此外，DevSecOps 团队需要持续关注供应链安全，充分利用 AI 和 ML，并进一步使用价值流分析。

下文内容整理自 GitLab 多位部门负责人的分享，他们预测了2023年 DevSecOps 五大发展趋势。

预测一 保护供应链安全将是最高优先级

---

首席产品官 David DeSanto 表示，安全依旧是整个组织的责任，将进一步 “左移”，并从集成开发环境（IDE）扩展到生产环境。

GitLab 2022 年全球 DevSecOps 调研报告提到，57 % 的安全团队表示他们的组织已经在实施或计划在 2023 年实施安全左移；一半的安全专家表示开发者未能识别的安全漏洞高达 75%。

安全左移的原因之一是加强软件供应链安全。“随着远程开发变得越来越普遍，软件供应链安全将在软件开发生命周期中发挥更广泛的作用。” DeSanto 说道。

全球 Field CISO Francis Ofungwu 预测，软件供应链安全将朝着以下三个方向发展：

• 一线工程师将在日常运维中承担更多的威胁管理职责。为了完成这一工作，开发人员需要在软件开发生命周期的每个阶段，实时了解漏洞情况和修复策略，降低生产环境中发生严重事件的可能性。

• 安全和合规团队将把软件安全保障策略融入代码，避免因耗时的手动安全审查，拖累开发速度。

• 一些引人瞩目的安全事件进一步凸显了软件开发风险。组织将建立审计流程，更好地评估和报告 SDLC 风险。这就要求组织设计好如何交付工件，以证明其开发工具链各方面部署的控件具有不变性。

“多年来，在软件供应链安全方面，诞生了许多最佳实践。这些实践的做法和成果，正在成为监管的参考，列入监管条例和准则。” 安全合规经理 Corey Oas 说道。他指出工件证明和软件物料清单 (SBOM) 生成，很快将成为政府或行业强制执行的最佳实践示例，这两者都是开发流程中不可或缺的部分。

产品组管理经理 Sam White 重申了 SBOM 和工件证明预测，称 DevSecOps 团队需要持续关注 SBOM 和证明。“我期待看到这样一个转变：从把 SBOM 和工件证明视为一次性事件，变为将它们视为持续评估过程的一部分。” 他说，“另外，组织需要更深入了解软件依赖（如开源软件包）和集中化构建信息。”

软件供应链安全的另外一个要素就是零信任。“企业组织关注零信任已经有一段时间了，这将是未来的实施重点，” GitLab 联席 CTO Joel Krooswyk 表示，“至少在联邦机构及其供应商中，这一变革的原因之一是国防部最近发布了零信任架构战略和路线图，并将零信任原则纳入美国国家标准与技术研究院部分出版物，例如 800-207。”

扩展阅读：在中国，一系列推动零信任落地的政策也接连发布，如工信部发布《关于促进网络安全产业发展的指导意见》和《网络安全产业高质量发展三年行动计划(2021-2023 年)》，都明确提出支持发展零信任安全，并将多个零信任项目列入试点示范项目，全力打造牢固的安全防护能力。

更多关于预测内容，可以关注 webcast [ 2022 回顾 & 2023 网络安全预测 & GitLab 零信任]

预测二 安全将深入 DevOps 教育

---

为了加速 DevOps 演进到 DevSecOps ，需要将安全视为 DevOps 培训和教育课程的重要部分，White 表示，并且组织必须提供培训，让开发人员获得基本安全知识，包括识别各种漏洞的重要性与解决之道。

教育布道师 Pj Metz 认为， 2023 年将是 “安全左移原则出现在大学课堂上” 的元年。

“GitLab 教育团队已经收到了越来越多关于 DevSecOps 的教育请求，不仅仅是计算机科学和编程专业，信息系统专业的学生也希望了解 DevSecOps 更多内容，” 他说，“在 DevOps 课程中直接集成安全教育，将为未来的 DevSecOps 人才需求做好准备。”

预测三 AI/ML 将贯穿 SDLC

---

“AI 将成为提高生产力的关键。” Kramer 说到，“比如，DevOps 团队可以集成 AI/ML ，用于自动执行那些重复且困难的任务。理想情况下，可以通过消除认知负担来减轻开发人员的压力，减少上下文切换次数，最终让开发人员能够聚焦在核心业务研发上。”

根据 GitLab 2022 年 DevSecOps 调研显示，62% 的受访者表示正在实践 ModelOps，51% 的受访者正在使用 AI/ML 来检查代码。

“将数字化转型和业务分析与 AI 相结合，才能让数字化转型真正发生。” 社区项目经理 Christina Hupy 说道，“随着输入更多数据，企业可以得出真实洞察，并使用 AI 来不断改进系统。”

DeSanto 同意这个观点，并预测 AI 辅助工作流将在软件开发中普及。“AI/ML 将进一步助力研发加速、安全修复和提高自动化测试以及可观测性。”他说道。

数据科学产品经理 Taylor McCaslin 表示，随着 AI/ML 在整个 SDLC 中使用，组织需要更加关注隐私问题、保护知识产权（例如 AI 生成的代码所有权）以及训练数据集和算法相关许可许。

同时，他表示要加快开发 MLOps 和 DataOps，利用 ML 和 AI 帮助开发人员管理、维护和迭代软件系统。”（GitLab 正投入于对 ModelOps 的研究，以让 GitLab 能够更好的支持数据科学方面的软件开发。）

预测四 价值流分析将在组织中发挥更大作用

---

今年要推进数字化转型的组织，需要对价值流有更深入研究。“价值流分析将拓宽过去的开发工作流程，以更全面地了解组织向其用户（内部和外部）提供的价值。” DeSanto 说道。

管理团队在寻求一些数据指标——通过这些指标，能够深入分析数字化转型和技术投资如何创造价值，推动业务成果。相对于以往仅关注开发效率而言，这是一个重要转变。

2022 年全球 DevSecOps 调研报告指出，75% 的受访者表示他们要么已经在使用一体化 DevOps 平台，要么计划在年内迁移到一体化 DevOps 平台，驱动这一行动的原因之一就是对价值流分析和可观测性的需求。

预测五 可观测性将左移，以实现高效的DevSecOps

---

高级开发者布道师 Michael Friedrich 称，可观测性将在 SDLC 中进一步左移，“可观测性驱动的研发，将使每个人都变得更加高效和更具创新力。”

eBPF 等新的可观测性技术，将帮助开发者进行自动化代码检测，而非通过手动检测，增加额外的工作负担。而且，eBPF 将更好地支撑云原生环境中的可观测性和安全工作流的落地。

可观测性将在提高 DevSecOps 工作流效率方面发挥重大作用，包括 CI/CD、基础设施成本分析和趋势预测，以实现更好的容量规划。