Tetra Tech 的 Branko Primetica 讨论将安全性与开发和运营相结合的重要性

技术解决方案

Branko Primetica 作为信息技术 (IT) 主管，在流程和性能改进、DevSecOps、技术现代化和人工智能方面拥有 20 多年的经验。 Branko 通过这些举措为多个美国联邦机构提供支持，由于新兴技术的集成以及冗余 IT 系统的整合和现代化，节省了超过 3 亿美元的成本。

布兰科是一位思想领袖和出版作家，因其成就和专业知识而获得多项奖项的认可，包括新星奖和美联储 100 人奖。他获得了美国技术与工业咨询委员会 (ACT/IAC) 的认可证书，并入围北弗吉尼亚州技术委员会 (CTO) 年度创新者奖决赛。布兰科还与人合着了各种以行业为中心的出版物，包括实用指南联邦面向服务的架构、联邦云计算战略、美国政府的 IPv6 过渡路线图和联邦风险授权管理 (FedRAMP) 指南。此外，他还担任国防运输协会指导计划的联合负责人、美国云计算委员会成员，并为有关当前 IT 趋势的全球论坛（包括美国国会、亚太经济合作组织 (APEC) 以及塞尔维亚和波兰政府）提供咨询。

是什么让您在 Tetra Tech 担任目前的职务？

我的职业生涯始于管理顾问，拥有政治学和历史学大学学位。我的前两个项目涉及复杂的业务流程重新设计工作，以简化和现代化美国专利商标局 (USPTO) 和国防部 (DoD) 以任务为中心的职能。我很早就意识到“现代化”部分是由技术实现的——两个一起去。我越深入咨询，就越深入地了解新兴技术、它们的整体功能以及如何构建它以使其无缝集成到客户的环境中。这也让我能够扩大我们在联邦公共部门的业务组合，甚至致力于政府范围内的转型工作。

DevSecOps 最终如何实现更安全的应用程序和更快的云部署？

DevSecOps 代表开发、安全和运营的集成，所有三个团队共同努力以敏捷的方式交付解决方案。 DevSecOps 结合了精益实践，例如持续集成和持续交付，其中包括频繁的代码签入、版本控制、测试自动化和持续反馈。这种集成的结果包括更大的资源节省、更高质量的产品和更快的部署时间。

将安全团队整合到开发中运营流程确保从项目一开始就考虑安全性。 DevSecOps 涉及通过发布工程师和安全团队之间的持续协作来创建“安全即代码”文化。这意味着安全协议被纳入开发过程中，而不是作为单独的步骤添加，并且安全测试在大多数情况下是自动化的。好处包括提高安全团队的敏捷性，使他们能够快速响应变化，以及及早识别代码中的漏洞。

当今 DevSecOps 项目面临哪些主要挑战和复杂性？

当今 DevSecOps 面临的最大挑战不是技术，而是文化。大多数组织习惯于以传统的“瀑布”方法开发 IT 系统，其中开发、安全和运营由三个各自独立的团队负责。这导致了长期存在的“开发与运维”心态，现在需要改变，因为因为它效率低下并且需要很长时间才能获得有意义的结果。

公共部门客户面临的另一个挑战是在企业级别定义标准 DevSecOps 流程和工具包。虽然整个政府都有 DevSecOps 项目，但它们大多是特定于 IT 项目的，使用不同的工具和框架，即使它们可能位于同一组织内。这使得整体 IT 采购、治理和管理变得非常困难。

最后，许多组织往往忽视测试自动化，而专注于持续集成 (CI) 和持续交付 (CD) 部署。持续测试是 DevSecOps 成功的关键。

在您的职业生涯中，您看到 DevSecOps 和网络安全发生了哪些变化？

DevSecOps 的出现以及网络安全从项目一开始就成为 IT 开发和运营流程中不可或缺的一部分，这一事实是一个巨大的积极变化。安全曾经是事后才想到的现在在桌子上有一席之地。

主动的网络安全，而不是被动的网络安全，也是一个积极的变化。在整个开发生命周期中持续进行安全测试，并在IT系统投入运行后进行持续监控，确保漏洞和风险得到及时、有效的管理。