电子发烧友网 > 物联网 > 正文

在云计算架构中按设计构建法规遵从性的技巧有哪一些

2020年01月09日 14:12 次阅读

在日前召开的互联网安全大会上,帮助星巴克公司构建一个主要云计算项目的两位安全和合规负责人发表了演讲。几年前,星巴克公司曾要求合规性自动化初创厂商Shujinko公司的创始人Matt Wells和Scott Schwan为其构建必要的团队和流程,以支持星巴克公司开发的移动应用程序,采用完全符合支付卡行业 (PCI) 的安全云架构,并根据互联网安全中心(CIS)制定的标准进行衡量。

Shujinko公司首席技术官Matt Wells解释说,“我们公司的20名工程师在大约9到12个月的时间里构建了一个高度自动化、可扩展、可重复的环境,星巴克公司可以用来支持他们想要推出的所有产品,他们以此为基础然后开始将其他应用程序移至公共云。”

Shujinko公司首席技术官Matt Wells和首席执行官Scott Schwan深入研究了他们为星巴克的工作细节,并分享了有关如何将合规性纳入企业的云计算架构以及在此过程中扩展DevSecOps的技巧。在此采用了他们自己的语言提出一些见解。

1.将合规要求放入“完成”的定义中

Matt Wells说,“对于一个工程团队来说,将合规性要求纳入‘完成’的定义中是非常重要的。很多时候,团队没有及早地开始对话和进行讨论。因此,‘完成’的定义没有包括与法规遵从性或安全性相关的内容。因此,为团队建立这种联系极为重要。”

2.让工程师直接负责保护环境

Matt Wells说,“在特殊情况下,我们正在构建一个完整的云平台,并且我们负责该平台的安全性。能够尽早设定期望,也就是说,‘这很重要:如果想加入这个团队,将会使用一些非常好的技术,但是要对安全负责,要对合规性负责。如果没有通过审核,那将是我们的团队责任,而不是安全团队或合规性团队的责任。‘”

3.在云计算工程团队和安全团队之间建立紧密的联系

Scott Schwan说,“我们确保从一开始就真正与安全领导保持一致。我确实相信DevSecOps的基本原则,因此,如果工程团队了解他们正在建立的要求,他们可以对自己的职责负责这样做,不再是安全团队在项目的最后阶段突然涌入,并试图更改或阻止它们,因此,文化转变的一部分是确保我们在团队之间建立信任。”

在云计算架构中按设计构建法规遵从性的技巧有哪一些

4.在构建之前定义安全性程序和要求

Matt Wells 表示,“我们从安全团队那里收集了要求,并且从业务组那里收集了必须支持的地理区域的合规性要求。我们拥有了必须遵守的所有合规性标准,这些标准有不同的要求。从那里我们定义了程序,那么我们要如何给服务器打补丁呢?我们将如何采用容器并部署代码?

我们认为在扩建之前设置这些程序很重要,因为随着工程师扩建基础设施,有时这些程序会影响他们构建某些技术的方式。对我们来说,这就是设计阶段。”

5.将安全专业知识嵌入并培训工程团队

Matt Wells 表示,“在设计之后,我们大量招聘工作人员,需要获得一些短缺的技能,因此我们雇佣了一批安全人员、开发人员和运营人员,结果发现需要的开发人员比安全人员和运营人员多得多。我们非常专注于自动化和规模化,因此发现让开发人员参与进来更容易,让安全人员和运营人员与他们一起工作,定义开发人员将如何构建许多这些功能。我们并不是直接聘用专业安全人员,而是通过培训开发人员使他们成为安全人员。”

6.遵照法规自动加固环境

Matt Wells 表示,“对我们来说,一个主要原则是自动强化我们构建的所有内容。我们要做的第一件事是我们使用Terraform自动化配置和强化AWS账户。我们花了一周的时间使用Terraform来构建AWS账户,而不是花一天或几个小时来构建AWS账户、设置日志记录、密码策略等。但是从长远来看,每次我们在AWS账户中设置新内容时,不必对工程师说,‘是否设置了密码策略?’或者,“日志要去哪里?”我只想说,‘运行Terraform脚本进行加固了吗?现在我们可以继续工作。’”

7.自动化护栏

Scott Schwan说,“我们使用了可以扫描新环境的支付卡行业 (PCI)要求的供应商。因此,在运行脚本后,我们立即运行并向他们提供了报告。如果他们仍然遇到支付卡行业 (PCI)方面的问题,我们将确保返回进入sprint,然后将它们添加到Terraform中的基础设施代码中,然后下次进行设置时,他们将不会遇到类似问题。

这是在AWS拥有他们现在拥有的一些工具和服务之前。在此之前,我们必须构建它,因为那不是他们所拥有的东西。我们确保将其纳入团队的精神之中。当时是,使用CIS基准测试,获得良好的反馈,迅速进行补救,将其重新添加到其代码中。”

8.将基于合规性的测试构建到单元测试中

Scott Schwan说,“我们总是必须验证是否在运行合规代码,其中一部分是通过基于合规性的测试。我们始终确保不会因为尽快行动而破坏合规性。

我们开始为代码编写单元测试,不仅是针对功能的单元测试,还涉及安全性和合规性。我们希望确保团队每次部署新服务时都在测试合规性标准。他们是否设置了密码策略,是否启用了日志记录?它是跨功能的。编写这些单元测试的不仅仅是安全工程师。团队队员对此也需要负责。”

9.尽可能使用云原生控件

Matt Wells 表示,“我们在这里所做的一件事是尽可能使用云原生控件。云原生并不是说在云中提供控件。而是使用了构建于云中的控件,有时这意味着来自云计算提供商,有时则意味着来自供应商。这完全取决于情况。”

10.让工程师在差距评估中扮演重要角色

Matt Wells 表示,“在构建阶段结束时,我们专注于完成程序,以确保认为可以正常工作的东西有效。在大多数情况下可以实现,但是在某些情况下,我们必须更改程序。最重要的是,我们实际上已经完成并验证了程序。

这需要进行差距评估工作,我们把它交给构建它的工程师,并在团队中分散了评估责任。他们比其他人更了解环境,因为他们拥有它的所有权,并且会说,‘是的,我们确实存在差距,我们必须解决这个问题。’”

责任编辑:ct

下载发烧友APP

打造属于您的人脉电子圈

关注电子发烧友微信

有趣有料的资讯及技术干货

关注发烧友课堂

锁定最新课程活动及技术直播

电子发烧友观察

一线报道 · 深度观察 · 最新资讯
收藏 人收藏
分享:

评论

相关推荐

Linux运维工程师入门第一课

本课程包含许多工作中会遇到的问题及解决方案,解决大家工作当中遇到的问题。非常适合刚刚入门的同学来学习linux基础入门。
发烧友学院发表于 2018-09-03 00:00 24053次阅读
Linux运维工程师入门第一课

区块链在时尚艺术及鞋服行业的运用案例

MakersPlace的主要创始人Dannie Chu和Yash Nelapati此前均为Pinte....
发表于 2020-01-09 15:26 20次阅读
区块链在时尚艺术及鞋服行业的运用案例

首款全产业链区块链保险产品成功运营一周年引领行业...

近年来百万医疗保险的低保费、高保障的性价比优势受到投保人的追捧,投保人数高速增长,但还是有不少用户对....
发表于 2020-01-09 15:22 30次阅读
首款全产业链区块链保险产品成功运营一周年引领行业...

区块链新风口怎样才可以把握住

当区块链被正名,一场全新的发展正在拉开序幕。毫无疑问,一场脱胎换骨的新进化将会在区块链行业开启。
发表于 2020-01-09 15:17 10次阅读
区块链新风口怎样才可以把握住

互联网金融与金融产业化之间有什么联系

尽管互联网金融的融资效率得到了提升,但是,这种提升是以降低风控门槛的方式来实现的。
发表于 2020-01-09 15:03 10次阅读
互联网金融与金融产业化之间有什么联系

深圳金融学界积极探索“负责任”的金融创新

邢毓静指出,过去三年来,学会在学术研究工作的组织和开展上探索了新办法,推出了新机制,开始进入成果期。....
发表于 2020-01-09 14:59 46次阅读
深圳金融学界积极探索“负责任”的金融创新

区块链的底色是怎样的

既然区块链是一种比其他技术都要底层的技术,我们在看待和思考区块链的时候就需要站在这个角度来思考和看待....
发表于 2020-01-09 14:26 75次阅读
区块链的底色是怎样的

正本清源的区块链有什么意义

互联网时代对于资本作用的盲目夸大及依赖,让人们想当然地认为资本输血才是确保区块链行业发展的关键。
发表于 2020-01-09 14:22 45次阅读
正本清源的区块链有什么意义

产业互联网的浪潮里淘金

产业互联网的说法是基于改造对象的不同延伸出来的,同消费互联网时代的改造对象是C端用户不同,这个时代的....
发表于 2020-01-09 14:17 15次阅读
产业互联网的浪潮里淘金

企业如何选择合适的云平台

在云计算技术蓬勃发展的同时,众多可供选择的技术可能使IT经理在寻找能够满足其特定组织需求的云平台时成....
发表于 2020-01-09 14:03 11次阅读
企业如何选择合适的云平台

多云管理平台的评估是怎样的

人们需要了解云计算工具和服务的优点和缺点,可以帮助其管理混合云和多云环境。
发表于 2020-01-09 13:59 14次阅读
多云管理平台的评估是怎样的

云计算事件响应策略的步骤是怎样的

云计算事件响应策略对于在云中运行负载的企业来说是必要,企业需要了解这些最佳实践,以确保其团队做好充分....
发表于 2020-01-09 13:54 8次阅读
云计算事件响应策略的步骤是怎样的

混合云策略为什么选择托管

随着企业加大对云计算解决方案的投资,对IT团队来说,重要的是要考虑哪种云计算配置最能满足企业的需求。
发表于 2020-01-09 13:50 12次阅读
混合云策略为什么选择托管

提高IT和运营效率有哪一些方法

尽管云计算简化了IT管理的某些方面,但它也带来了新的挑战。对于受访者而言,最大的挑战是云计算成本管理....
发表于 2020-01-09 13:46 17次阅读
提高IT和运营效率有哪一些方法

人工智能的教育形态需要作出什么改变

“互联网+教育”将在两个方面深刻改变教育:一是从教育手段和工具的意义上,学校教育的技术形态将发生重大....
发表于 2020-01-09 11:41 25次阅读
人工智能的教育形态需要作出什么改变

UL宣布GE Appliances成为首个测试联...

作为持续参与的一部分,UL 正在测试和评估 GE 家电物联网安全平台上的所有联网产品,包括洗碗机、洗....
发表于 2020-01-09 10:51 74次阅读
UL宣布GE Appliances成为首个测试联...

如何选择更合适的工业物联网应用

世界各地各种规模的组织都在构建其工业物联网架构,并选择工业物联网平台来管理其不断扩展的数字生态系统。....
发表于 2020-01-09 10:46 89次阅读
如何选择更合适的工业物联网应用

5G与区块链之间的关系详细介绍

二十年前,互联网的出现和普及实现了网络互联全面进入互联网时代;十年前,云计算的发展和广泛应用实现了数....
发表于 2020-01-09 09:59 26次阅读
5G与区块链之间的关系详细介绍

如何解决自动驾驶汽车的技术安全性

安全是自动驾驶最核心的问题,也是当前各自动驾驶企业面临的最大挑战。自动驾驶系统是借助互联网及人工智能....
发表于 2020-01-09 09:18 97次阅读
如何解决自动驾驶汽车的技术安全性

区块链是如何脱虚向实

区块链是产业互联网时代最有价值的领域, 2020年将是区块链脱虚向实、与产业深度融合的一年。
发表于 2020-01-09 08:45 70次阅读
区块链是如何脱虚向实

基于电力线载波芯片ST7538实现TTU通信模块...

电力线载波通信技术出现于20世纪20年代初期,它以电力线路为传输通道,具有可靠性高、投资少、见效快、....
发表于 2020-01-08 16:52 334次阅读
基于电力线载波芯片ST7538实现TTU通信模块...

农民承担得起农业物联网造价吗

对于物联网技术在农业中的应用,基础技术是传感器网络的完善。传感系统的完善与否直接影响着整个农业物联网....
发表于 2020-01-08 16:41 40次阅读
农民承担得起农业物联网造价吗

物联网应用在农业上有什么厉害的地方

物联网技术在农业运营中的好处包括但不限于减少浪费、改善病虫害和牲畜管理以及提高生产效率。
发表于 2020-01-08 16:22 42次阅读
物联网应用在农业上有什么厉害的地方

实体商家会受到5G时代的冲击吗

5G时代将全面推动产业互联网的发展,与消费互联网不同,产业互联网将全面整合产业领域的各种资源
发表于 2020-01-08 15:44 34次阅读
实体商家会受到5G时代的冲击吗

现在的Python语言有什么优势存在

得益于大数据和人工智能技术的发展,目前Python语言的上升趋势非常明显,而且随着产业互联网时代的到....
发表于 2020-01-08 15:37 67次阅读
现在的Python语言有什么优势存在

互联网企业该如何防御与日俱增的网络攻击

如今,互联网给企业生活带来了各种各样便利的同时,也给企业带来了各种网络风险。
发表于 2020-01-08 15:11 177次阅读
互联网企业该如何防御与日俱增的网络攻击

不是只有BAT,移动互联网有很多新力量

2009年,3G网络(第三代移动通信)开始大规模使用,手机可以上网,开启了移动互联网时代。
发表于 2020-01-08 14:31 247次阅读
不是只有BAT,移动互联网有很多新力量

亚马逊云计算将与电信运营商合作推出5G边缘云计算

据国外媒体报道,在全球云计算领域拥有较大市场份额的亚马逊,宣布将与电信运营商合作推出 5G 边缘云计....
发表于 2020-01-08 14:23 196次阅读
亚马逊云计算将与电信运营商合作推出5G边缘云计算

造艺技术加快发展人工智能,逐渐从“追赶”到“跟跑...

中国作为人工智能高速发展的国家,在当前新一代人工智能阶段,我国高度重视人工智能、加快发展人工智能,逐....
发表于 2020-01-08 13:58 132次阅读
造艺技术加快发展人工智能,逐渐从“追赶”到“跟跑...

国内外对制造型企业RFID有什么不一样的

随着物联网、大数据、云计算、人工智能等新一代高新技术的快速发展,RFID技术也得到了很大的发展。
发表于 2020-01-08 13:57 22次阅读
国内外对制造型企业RFID有什么不一样的

互联网大数据有什么不一样的地方

在产业互联网的推动下,大数据的发展趋势将逐渐向智能化领域发展,由于人工智能是大数据应用的重要出口,所....
发表于 2020-01-08 13:48 102次阅读
互联网大数据有什么不一样的地方

评估大数据安全分析平台的因素有哪一些

在考核大数据安全分析平台时,要确保对以下五个要素进行评估,这对实现大数据分析的效果非常关键。
发表于 2020-01-08 11:51 38次阅读
评估大数据安全分析平台的因素有哪一些

大数据分析平台哪一些方面值得去关注

在大数据应用技术中,前端的数据清洗功能远比我们想象的更重要。没有好的清洗自然也不可能有后续的数据建模....
发表于 2020-01-08 11:48 41次阅读
大数据分析平台哪一些方面值得去关注

互联网大数据如何更深层次的去理解

随着大数据的快速发展,就像计算机和互联网一样,大数据很有可能是新一轮的技术革命。
发表于 2020-01-08 11:44 40次阅读
互联网大数据如何更深层次的去理解

大数据的地位如何凸显出来

随着大数据的快速发展,就像计算机和互联网一样,大数据很有可能是新一轮的技术革命。
发表于 2020-01-08 11:41 43次阅读
大数据的地位如何凸显出来

北京邮电大学人工智能学院揭牌成立

北邮人工智能学院院长苏森介绍,多学科交叉的鲜明特色为学院开展以学生为中心的个性化人才培养提供了重要支....
发表于 2020-01-08 11:40 238次阅读
北京邮电大学人工智能学院揭牌成立

美国在大数据时代有什么难题

大数据技术的战略意义不在于掌握庞大的数据信息,而在于对这些含有意义的数据进行专业化处理。
发表于 2020-01-08 11:36 28次阅读
美国在大数据时代有什么难题

互联网大数据存在多大的价值

大数据(big data),IT行业术语,是指无法在一定时间范围内用常规软件工具进行捕捉、管理和处理....
发表于 2020-01-08 11:33 183次阅读
互联网大数据存在多大的价值

互联网大数据带给了电商怎样的新机会

大数据已经出现出爆发态势,在互联网时代起到了很重要的桥梁作用。
发表于 2020-01-08 11:30 28次阅读
互联网大数据带给了电商怎样的新机会

大数据和人工智能怎样去改变B2B平台的商业模式

在人工智能的赋能下,供需管理方式将从劳动密集转为技术驱动,以大数据和人工智能为基础,越来越智能化、标....
发表于 2020-01-08 11:19 53次阅读
大数据和人工智能怎样去改变B2B平台的商业模式

大数据之结构化数据是怎么一回事

结构化数据体系在强化中心,存在一个数据中心,所有数据都汇总到中心,并从中心发出,哪怕数据可以映射到各....
发表于 2020-01-08 11:17 39次阅读
大数据之结构化数据是怎么一回事

大数据时代的新闻媒体有什么不一样的

随着“大数据”的普及,新闻传媒业的产业层次和传播方式也发生了非常明显的转变。
发表于 2020-01-08 11:14 291次阅读
大数据时代的新闻媒体有什么不一样的

互联网+物流将会给智慧物流带来什么改革

随着互联网技术的快速发展,企业上云成为热门话题。物流创新模式的升级,物流的地位与作用也会进一步的显现....
发表于 2020-01-08 11:05 37次阅读
互联网+物流将会给智慧物流带来什么改革

智慧城市对于城市可持续发展有什么帮助

在此设想中,城市作为一个生态系统,城市中的各子系统通过云计算、互联网等信息技术联系,使得整个生态系统....
发表于 2020-01-08 10:32 22次阅读
智慧城市对于城市可持续发展有什么帮助

智慧城市建设热潮对以后有什么影响

如今在信息技术革命的推动下,以互联网、物联网、云计算等新-一代信息技术为代表的信息化浪潮席卷全球,并....
发表于 2020-01-08 10:28 38次阅读
智慧城市建设热潮对以后有什么影响

互联网++政务服务给拉萨的智慧城市提供了什么帮助

随着信息技术的不断发展,城市信息化应用水平不断提升,智慧城市建设应运而生。
发表于 2020-01-08 10:23 32次阅读
互联网++政务服务给拉萨的智慧城市提供了什么帮助

变频器中常用的控制方式

步电动机的实际转速对应的电源频率,并根据希望得到的转矩来调节变频器的输出频率,就可以使电动机具有对应....
发表于 2020-01-08 09:15 59次阅读
变频器中常用的控制方式

我国互联网产业的总体发展情况分析

随着网络提速降费的推进和智能手机终端的推广,我国网民(尤其是移动网民)数量迅速攀升,据CNNIC统计....
发表于 2020-01-08 09:14 42次阅读
我国互联网产业的总体发展情况分析

天津普天创新园智慧园区项目已成功验收

天津普天创新园是天津市高新区的“智慧园区”高地,于2019年1月8日开始设计,3月4日项目启动,到1....
发表于 2020-01-08 09:09 152次阅读
天津普天创新园智慧园区项目已成功验收

如何让治理成为赋能商业创新的新动能

在数字经济时代,以技术和共治为内核的数字经济治理模式和经验,不仅在解决商业问题上发挥作用,创造新的商....
发表于 2020-01-08 09:06 228次阅读
如何让治理成为赋能商业创新的新动能

数字货币的元年会是什么时候

这有点像互联网,有参与者一致认同的统一协议。未来,全球数字货币也要通过各国央行、一流的科研机构和相关....
发表于 2020-01-08 08:49 46次阅读
数字货币的元年会是什么时候

云计算的总体拥有成本怎样算出来

要了解组织的云计算财务模型,第一步是分配一个公共资源单元以标准化总体拥有成本(TCO)比较中的数据。
发表于 2020-01-07 14:42 90次阅读
云计算的总体拥有成本怎样算出来

动力电池如何实现自动化测试?——第一弹

那是一个晴朗的午后,我坐上了开往深圳的火车,去面对我人生中的第一份正式工作。刚毕业的我和许多年轻人一样,心中充...
发表于 2019-11-27 10:33 324次阅读
动力电池如何实现自动化测试?——第一弹

求教大神,关于自动分拣传送带的原理

求教大神,请问识别条码后,如何控制传送带上物品的运动? ...
发表于 2019-11-26 09:20 356次阅读
求教大神,关于自动分拣传送带的原理

IETF有什么历史?

1990年代以前,IETF曾为计算机出版界所宠爱。它宣称自己与迟钝、嘈杂的ISO和 ITU-T的官僚作风比较,将是更...
发表于 2019-11-11 09:00 307次阅读
IETF有什么历史?

未来数字医疗是什么样的?

在不远的未来,借助传感器、3G无线和云计算技术,实现无时不在的人体健康监控。 位于北京海淀区知春路希格玛大厦五层...
发表于 2019-10-29 07:33 234次阅读
未来数字医疗是什么样的?

基于型号的自动化调试程序

基于型号的自动化调试程序
发表于 2019-10-18 17:39 122次阅读
基于型号的自动化调试程序

嵌入式系统在物联网应用中有哪些优势?

随着IT技术飞速发展,互联网已经进入了“物联网”时代。物联网中需要的大量设备不在依赖人与人之间的交互产生联系,...
发表于 2019-10-17 07:48 230次阅读
嵌入式系统在物联网应用中有哪些优势?

全自动铆压机有什么优点?

全自动铆压机对板件表面无任何要求,连接点处板件表面原有的镀层、漆层不受损伤。连接过程自动化程度高,可单点或多点...
发表于 2019-10-16 09:10 137次阅读
全自动铆压机有什么优点?

8510自动化软件

This Product Note provides information on measurement automation software for the 8510 network analyzer. T...
发表于 2019-10-14 07:24 171次阅读
8510自动化软件

Windows 7对测试测量有什么影响?

相对于在Windows中单纯地添加全新特性与功能,微软最新推出的Windows 7系统则改进了之前Windows Vista系统中的众多...
发表于 2019-10-11 07:30 150次阅读
Windows 7对测试测量有什么影响?

带测试自动化数据表的T&M Toolkit 2.1

Detailed technical description of the features and capabilities of T&M Toolkit 2.1 and its Test Automati...
发表于 2019-10-09 10:21 109次阅读
带测试自动化数据表的T&M Toolkit 2.1