DevSecOps енгізу құны қанша: бюджет неден құралады

DevSecOps енгізудің бірыңғай бағасы жоқ: түпкілікті сома әзірлеушілер мен қолданбалар санына, құралдар жиынтығына және жұмыстың қаншасын өз күшіңізбен орындайтыныңызға байланысты. Бюджет әдетте бес бөліктен тұрады: лицензиялар, енгізу және интеграция, мамандар, оқыту және қолдау. Төменде әр бөліктің қалай қалыптасатыны және коммерциялық ұсыныстарды сұратпас бұрын соманы қалай бағалауға болатыны сипатталған.

Неге «орташа баға» атауға болмайды

Корпоративтік AppSec-вендорлардың көпшілігінде жария прайс-парақ жоқ: құн сұраныс бойынша анықталады және лицензия көлеміне, мерзіміне, қолдау шарттарына байланысты. Сіздің жағдайыңызға байланыстырылмаған кез келген «нарықтық сандар» адастырады, сондықтан бұл мақалада нақты сомалар келтірілмейді. Оның орнына құн драйверлерін талдаймыз: ұсыныстарды дұрыс салыстыру үшін дәл солар керек.

DevSecOps бюджеті неден құралады

1. Құралдарға арналған лицензиялар

Бұл ең көзге түсетін, бірақ әрдайым ең ірі емес шығын бабы. Құралдар жиынтығы үдерістердің жетілгендігіне байланысты (толығырақ — «DevSecOps: неден бастау керек» мақаласында). Әдеттегі кластар:

• SAST — өз кодыңызды талдау;
• SCA — open-source тәуелділіктерін және SBOM-ды бақылау (SBOM деген не);
• DAST — веб-қолданбалар мен API-ді динамикалық сканерлеу;
• құпияларды басқару — мысалы, HashiCorp Vault (толығырақ);
• артефакттар репозиторийі — құрастыруларды бақылаудың бірыңғай нүктесі.

Құрал кластарының арасындағы айырмашылықтар «SAST, DAST, SCA және MAST» мақаласында талданған. Барлық кластардан бірден бастау міндетті емес — бұл бастапқы бюджетті тікелей азайтады.

2. Енгізу және интеграция

Лицензия сатып алу — тек бастамасы. Сервер орнату немесе бұлттық сервисті қосу, нұсқаларды басқару жүйесімен және CI/CD-мен интеграцияны баптау, құрастыруды бұғаттау ережелері мен шектерін белгілеу, тапсырмалар трекерін және есептілік жүйесін қосу қажет. Уақыт пайплайндар санына, тілдер мен технологиялардың алуан түрлілігіне, сондай-ақ инфрақұрылымға қойылатын талаптарға — on-premise немесе бұлт — байланысты (орналастыру модельдерін салыстыруды қараңыз).

3. Мамандар

Ең жиі бағаланбайтын бап. Иесі жоқ құрал мыңдаған талданбаған іске қосылуды тудыратын көзге айналады. Мыналарды жоспарлаңыз:

• табылған олқылықтарды талдауға, ережелерді баптауға және жалған іске қосылулармен жұмысқа жұмсалатын AppSec-маманның немесе «AppSec-инженер» рөлінің уақыты;
• интеграцияларды қолдауға жұмсалатын DevOps-инженерлердің уақыты;
• осалдықтарды түзетуге жұмсалатын әзірлеушілердің уақыты — бұл бэклогқа түсетін нақты жүктеме, оны өнім командаларымен келісу қажет;
• «Security Champions» — командалардағы қауіпсіздік мәселелерінің бір бөлігін өз мойнына алатын әзірлеушілер.

Өз мамандарыңыз болмаса немесе жетпесе, іске қосу кезеңінде кейбір функцияларды интеграторға беруге болады — бұл тұрақты емес, уақытша шығын бабы.

4. Оқыту

Әзірлеушілер сканер табылғысының нені білдіретінін және оны қалай түзету керектігін түсінуі тиіс, ал басшылар есептерді қалай оқу керектігін білуі қажет. Оқытуға қауіпсіз әзірлеу курстары, нақты құралдармен жұмыс және ішкі регламенттер кіреді. Бюджет оқытылатындар санына және форматқа (күндізгі, онлайн, сіздің кодыңыздың мысалдарындағы практикумдар) байланысты. AST Cyber Lab-та оқыту бағыты бар.

5. Қолдау және дамыту

Іске қосылғаннан кейін шығындар жоғалмайды: лицензиялар мен техникалық қолдауды ұзарту, нұсқаларды жаңарту, ережелерді қайта қарау, қамтуды жаңа жобаларға кеңейту, тиімділікті мерзімдік тексеру. Оларды бюджетке бірден қосыңыз, екінші жылы тосын жағдай ретінде байқамаңыз.

Лицензиялау модельдері

Әртүрлі вендорлардың шарттары бір-бірінен өзгеше, сондықтан салыстырғанда ұсыныстарды бір өлшем бірлігіне келтіру керек. Көбіне мына модельдер кездеседі:

• Әзірлеушілер (пайдаланушылар) саны бойынша. Шағын командалар үшін болжамды; құн команда өскен сайын артады, бірақ код көлеміне тәуелді емес.
• Код көлемі немесе қолданбалар саны бойынша. Әзірлеушілер көп, жобалар аз болғанда ыңғайлы; код базасы өскенде құн артады.
• Сканерленетін нысандар саны бойынша (DAST үшін — сайттар, қолданбалар, API). Периметрге сай келеді.
• Жазылым және қолдауы бар мерзімсіз лицензия. Жазылым бастапқы шығындарды азайтады, мерзімсіз модель жаңартулар мен қолдау үшін бөлек төлемді көздейді.
• Бұлт немесе өз инфрақұрылымына орнату. Бұлтта инфрақұрылымға шығын аз, өзіңізде орнатқанда серверлер мен әкімшілендіру сіздің еншіңізде.

Қай модельді таңдау әзірлеуіңіздің құрылымына байланысты. Нақты өнімдердің (DerScanner, Sonatype) лицензиялау шарттары сұраныс бойынша нақтыланады.

Бюджетті қалай бағалау керек: кезең-кезеңімен тәсіл

1. Түгендеу. Қанша әзірлеушіңіз, қолданбаңыз, репозиторийіңіз, пайплайныңыз бар; қандай тілдер мен фреймворктер қолданылады; сыртқы контурда не жұмыс істейді.
2. Тәуекел басымдығы. Қандай жүйелер маңызды екенін (төлемдер, жеке кабинеттер, дербес деректері бар ішкі АЖ) анықтаңыз — бастауды солардан жөн.
3. Ең аз жиынтық. Көпшілік командалар үшін бұл ең маңызды жобалардағы SCA және SAST; DAST және қалғаны келесі кезеңдерде қосылады.
4. Еңбек шығындары. Адам-сағатпен бағалаңыз: енгізу, табылғыларды тұрақты талдау, түзету, оқыту. Мамандарыңыздың немесе мердігердің мөлшерлемесіне көбейтіңіз.
5. Ұсыныстарды сұрау. Бірнеше вендордан немесе интегратордан бірдей бастапқы деректерді көрсетіп баға сұраңыз және бірыңғай модель бойынша салыстырыңыз.
6. Пилот. Ірі сатып алу алдында шектеулі пилот өткізіңіз — оны қалай ұйымдастыру open-source және коммерциялық құралдар туралы материалда және SAST/SCA пилот жоспарында сипатталған.

Қайда үнемдеуге болады, қайда болмайды

• Болады: шектеулі қамтудан бастау, жекелеген міндеттер үшін open-source қолдану (оларды қолдау шығындарын ескере отырып), үдерісті кезең-кезеңімен құру, сыртқы мамандарды үнемі тартудың орнына ішкі champions-ты оқыту.
• Болмайды: табылғыларды талдауға және түзетуге нөлдік бюджет қою; үдеріс иесі жоқ құрал сатып алу; ұсыныстарды енгізу мен қолдауды ескермей, тек лицензия бағасы бойынша салыстыру.

Шығындарды ықтимал шығынмен салыстырған пайдалы — басшылыққа мұндай негіздемені қалай дайындау керектігі «AppSec-ке бюджетті қалай негіздеу керек» мақаласында талданған.

Бағалау бойынша қалай жұмыс істейміз

AST Cyber Lab Қазақстанда және Орталық Азия елдерінде DevSecOps енгізумен айналысады. Біз DevSecOps картасынан бастаймыз: ағымдағы жетілгендікті, жүйелер тізімін және қалаған нәтижені тіркейміз — содан кейін бюджет бағасы орташаланған сандарға емес, сіздің деректеріңізге құрылады.

Мысал: екі компания неге әртүрлі бюджет алады

Бағаға байланыстырмай екі шартты жағдайды алайық. Бірінші компания — ондаған қолданбасы, бірнеше тілі бар және барлығын өз контурында орналастыру талабы бар банк. Мұнда енгізу мен инфрақұрылым басым: серверлерді орналастыру, бірнеше CI-жүйесімен интеграция, ережелерді ішкі саясаттарға бейімдеу, жүздеген әзірлеушіні оқыту. Екіншісі — бір стегі және бұлттық инфрақұрылымы бар өнімдік IT-компания. Оның лицензиялары мен интеграциясы қарапайымырақ, бірақ үдеріске кететін шығын үлесі көбірек: бұғаттау шектері туралы командалармен келісу және түзетулерді спринттерге енгізу.

Қорытынды: «нарықтағы орташа құнды» емес, өз жағдайыңыздағы шығындар құрылымын салыстыру керек. Дәл сондықтан адал бағалау прайс-парақтан емес, түгендеуден басталады. Басшылық алдында санды қорғау қажет болса, бюджетті негіздеу туралы мақаладағы тәсілді қолданыңыз.

Алдын ала сұрау керек жасырын шығындар

• Өсу құны. Әзірлеушілер немесе қолданбалар саны екі есе өссе, баға қалай өзгереді және шартта ұзартудың бекітілген талаптары бар ма.
• Қосымша модульдер. Есептілік, трекерлер мен IDE-мен интеграциялар, API, қажетті тілдерді қолдау базалық лицензияға кіре ме.
• Инфрақұрылым. Өз контурыңызға орнатқанда серверлер, дерекқорлар, резервтік көшірме және мониторинг.
• Қолдау шарттары. Жұмыс сағаттары, қарым-қатынас тілдері, әрекет ету мерзімдері және еліңізде мамандардың болуы.

Бұл сұрақтарды ұсыныс сұрауының бірыңғай үлгісіне жазыңыз, сонда барлық жеткізушілер бір нәрсеге жауап береді.

Жиі қойылатын сұрақтар

Дереккөздер

• GitLab Docs: Static Application Security Testing (SAST) — тарифтер бойынша функциялардың айырмашылығы
• Sonatype: Nexus Repository — орналастыру нұсқалары
• IBM: Cost of a Data Breach Report