लिखित DevOps प्रशिक्षण

DevOps में सूचना सुरक्षा कैसे सुनिश्चित करें?

ज़्यादातर संगठनों में सूचना सुरक्षा की चिंता DevOps अपनाने पर सबसे आम आपत्तियों में है। फिर भी दुनिया के सबसे सुरक्षित सिस्टम देने के लिए DevOps सबसे अच्छे तरीकों में से एक है।

कई संगठनों में, शायद आपके यहाँ भी, सॉफ़्टवेयर इंजीनियरिंग टीम में सूचना सुरक्षा विशेषज्ञों का अनुपात 1/100 है। यानी 100 लोगों की टीम में आम तौर पर सिर्फ़ एक सुरक्षा विशेषज्ञ मिलता है। इससे सुरक्षा समस्याएँ हल करने में देर, सॉफ़्टवेयर डिलीवरी में देरी और ग्राहकों के लिए कमज़ोर सूचना सुरक्षा होती है।

सॉफ़्टवेयर डिलीवरी के अनुभव से आप जानते हैं कि परियोजना के अंत में काम रोक देने वाली समस्या खराब है और सुरक्षा की समस्या उससे भी खराब। सूचना सुरक्षा हर सदस्य के रोज़ के इंजीनियरिंग काम का हिस्सा होनी चाहिए। परियोजना के अंत में चेकलिस्ट पर टिक लगाने भर से काम नहीं चलता।

सूचना सुरक्षा विशेषज्ञों को इंजीनियरिंग के शुरुआती चरणों में शामिल करें

सुरक्षा समस्या डिप्लॉयमेंट से ठीक पहले रुकावट न बने, इसलिए विशेषज्ञों को शुरुआत में जोड़ें। उन्हें डेमो, शुरुआती योजना और समीक्षा सत्रों में बुलाएँ, ताकि वे सॉफ़्टवेयर से जुड़े व्यवसाय को समझें। इस तरह वे जोखिम और समस्याएँ बेहतर आँककर टीम को ऐसे सुरक्षा और अनुपालन लक्ष्य तय करने में मदद कर सकते हैं जिन्हें पूरे डेवलपमेंट के दौरान सँभालना है।

सूचना सुरक्षा रोज़ के काम का हिस्सा है

सुरक्षा फ़ीचर और घटनाओं को सामान्य कार्य योजना और घटना प्रबंधन टूल में ट्रैक करें। उन्हें ऐसे अनुपालन टूल में न डालें जिन्हें टीम कम देखती है। आर्किटेक्चर, डिज़ाइन या चल रहे सिस्टम में सुरक्षा समस्या हो, तो टीम को उसके बारे में सिखाएँ। मूल कारण समझाएँ और बताएं कि आगे ऐसी स्थिति कैसे सँभालें ताकि वही समस्या फिर न पैदा हो।

सूचना सुरक्षा के लिए आपकी टीम के व्यावहारिक उपाय हैं:

• सुरक्षा त्रुटियाँ दोहराए जाने से रोकना।
• सुरक्षा उद्देश्यों को परियोजना के लक्ष्यों, योजना और ट्रैकिंग टूल में शामिल करना।
• सुरक्षा टेस्ट को डिप्लॉयमेंट पाइपलाइन के ऑटोमेटेड टेस्ट में शामिल करना।
• उत्पाद और सेवा के कुछ फ़ीचर का हर पहलू से विश्लेषण करके पुनः उपयोग योग्य सेल्फ़-सर्विस टूल और लाइब्रेरी बनाना, जिनमें संगठन की सर्वोत्तम सुरक्षा प्रथाएँ शामिल हों।
• DevOps डेवलपरों और ऑपरेशंस इंजीनियरों को प्रशिक्षित करना और उन पर भरोसा करना, भले सूचना सुरक्षा उनकी मुख्य विशेषज्ञता न हो।

अपने सॉफ़्टवेयर के लिए सुरक्षित लाइब्रेरी, प्रक्रियाएँ, ब्लूप्रिंट, आर्किटेक्चर और डिज़ाइन बनाएँ

इन पुनः उपयोग योग्य संसाधनों से टीम सॉफ़्टवेयर की सूचना सुरक्षा के अहम पहलुओं के लिए साझा मानक बना सकती है, जैसे:

• क्लाइंट और सॉफ़्टवेयर के बीच संवाद और डेटा ट्रांसफ़र।
• डेटा स्टोरेज।
• सुरक्षित परिवेश।
• कमज़ोरियों से बचने के लिए ऑपरेटिंग सिस्टम, डेटाबेस और तीसरे पक्ष के टूल, कंपोनेंट और अन्य इंटरफ़ेस की कॉन्फ़िगरेशन।
• पासवर्ड स्टोरेज।
• भूले हुए पासवर्ड का प्रबंधन।
• ग्राहकों की संवेदनशील जानकारी की लॉगिंग का प्रबंधन।
• क्रॉस-साइट स्क्रिप्टिंग (XSS) से बचाव।
• SQL इंजेक्शन।
• व्यवसाय और उस पर लागू कानूनों से जुड़ी अन्य सूचना सुरक्षा कमज़ोरियाँ।

DevOps में सूचना सुरक्षा के लिए सुझाई गई तकनीकें

• स्टैटिक विश्लेषण: बैकडोर और सुरक्षा कमज़ोरियाँ पहचानने के लिए कोड का विश्लेषण।
• डायनैमिक विश्लेषण: चलते सिस्टम में बैकडोर और कमज़ोरियों का विश्लेषण। प्रोडक्शन और अन्य परिवेशों में CPU, RAM, नेटवर्क I/O और डिस्क I/O ऑपरेशन की लगातार निगरानी और विश्लेषण।
• निर्भरताओं का विश्लेषण: बाहरी टूल और निर्भरताओं का स्टैटिक और डायनैमिक विश्लेषण, जिनके सोर्स कोड पर आपका नियंत्रण नहीं है। तीसरे पक्ष के टूल, लाइब्रेरी या सेवाएँ लेने पर उनकी सुरक्षा समस्याएँ भी आपके पास आती हैं। उनकी खुली सुरक्षा घटनाएँ और ऐसे मुद्दों को ठीक करने की प्रदाता की पिछली गति देखें।
• सोर्स कोड तक पहुँच सुरक्षित करें: DevOps टीम ऐसी पब्लिक की इन्फ़्रास्ट्रक्चर इस्तेमाल करे जिसमें हर किसी के पास एक पब्लिक और एक प्राइवेट की हो। इससे रिपॉज़िटरी के सभी चेक-इन, चेक-आउट और रीड अधिकृत होते हैं और उनकी निगरानी होती है। हर बदलाव पर उसे करने वाले के हस्ताक्षर होते हैं।
• अपने परिवेशों में सुरक्षा निगरानी (टेलीमेट्री) जोड़ें: सुरक्षा उल्लंघन पहचानने के लिए सिस्टम के इस्तेमाल का विवरण देखें। इनके संकेत अक्सर असामान्य रूप से ज़्यादा विफल लॉग-इन, पासवर्ड बहाली के अनुरोध या एक उपयोगकर्ता के अलग-अलग क्रेडिट कार्ड से किए गए खरीद लेनदेन हैं।

निष्कर्ष

इस अध्याय में DevOps में सूचना सुरक्षा की कुछ सिफ़ारिशें दी गईं। सूचना सुरक्षा अपने आप में कला और विज्ञान है। उद्देश्य आपको विशेषज्ञ बनाना नहीं, यह समझाना है कि DevOps पद्धति डेवलपमेंट और डिलीवरी में सुरक्षा कैसे सँभालती है।

DevOps संगठन के सुरक्षा और अनुपालन लक्ष्यों को रोज़ के इंजीनियरिंग काम में जोड़ता है, क्योंकि सूचना सुरक्षा सभी की ज़िम्मेदारी बनती है। दुनिया की सबसे गतिशील कंपनियों ने साबित किया है कि इससे ग्राहकों को सुरक्षित सेवा दी जा सकती है।