DevSecOps is een manier van werken waarbij security vanaf dag één onderdeel is van het softwareproces, en geen aparte controle aan het eind. Het neemt de snelheid van DevOps en plakt er bij elke stap automatische security-checks aan vast, zodat je problemen vroeg ziet in plaats van pas na de lancering.
Zie het als een huis bouwen. Vroeger maakte je eerst alles af en kwam daarna de keurder, die ontdekte dat de bedrading onveilig is, waarna je de muren weer moet openbreken. Met DevSecOps kijkt die keurder bij elke muur die je optrekt even mee. Kleine fouten los je meteen op, en niets duurs verdwijnt achter het stucwerk. De naam zegt het eigenlijk al: development, security en operations werken als één team in plaats van drie afdelingen die het werk over een schutting gooien.
De term die je het vaakst hoort is ‘shift left’. Die betekent dat je security eerder in de tijdlijn zet, dichter bij het moment dat de code wordt geschreven. Een bug die een developer dinsdagmiddag vindt, is een fix van vijf minuten. Diezelfde bug die een aanvaller een half jaar later vindt, is een datalek, een opruimactie en een lastig gesprek met klanten.
In de praktijk draaien de security-tools binnen de CI/CD-pijplijn. Elke keer dat een developer code pusht, controleren scanners op bekende zwakheden, verouderde libraries en per ongeluk gelekte wachtwoorden. Zwakke authenticatie of een riskante dependency wordt binnen een paar minuten gemarkeerd, terwijl de developer de code nog vers in zijn hoofd heeft. Op dat moment herstellen kost een fractie van wat het kost na een datalek.
Bij TopDevs bouwen we deze checks vanaf de eerste commit in de pijplijn, zodat security gewoon hoort bij hoe we uitrollen en geen paniek aan het eind wordt.
