文／林家瑋(Ray Lin)、鄭惠如(RuRu Cheng)、陳澤森(Sam Chan), CISSP, CCSP, CSSLP

在數位化轉型及「資安即國安」的概念框架下，資安已不再僅是附屬功能，而成為企業轉型的核心要素。資安專家Sam，擁有CISSP、CCSP和CSSLP……等資格認證，他深入分析台灣企業如何將DevOps轉變為DevSecOps，且對這一轉變過程中的實踐和觀點提供專業的見解，並分享一般台灣企業從DevOps轉化為DevSecOps當中的實踐與看法。

資安的真正工作及其包含的意義
在企業招聘中，證照常被視為衡量標準。然而，Sam強調，資安的真諦遠超過證照，更重要的是洞察問題本質並提出確實可行的解決策略。坊間很多人認為有CISSP等證照的人在企業內就可以有效地保證資安落地，可是事實往往是差強人意。Sam認為，真正的「資安專家」不應單單是下命令的角色，更應是領導團隊進行深度安全討論、整合流程評估風險，同時落實技術防禦策略與方案的核心人物。以此為前題，資安人員的工作不僅僅受限於單一部門的功能，更為重要的是實現跨部門及功能討論，以達到企業永續(Business Continuity)的目標。

DevSecOps的協同方案及其基礎
傳統的DevOps建立在敏捷(Agile)開發之上，其核心在於快速打造最小可行產品模型為基礎，講求的是以快速及最低可行性建立產品模型。然而，相關的快速迭代及越來越短的開發週期卻會使「資安」基礎視為一項拖慢整個流程的工序。Sam強調，DevSecOps的原意並不是要拖慢開發進度或導入一堆不求實際的需求，而是從工程師在速度型開發中，找出產品核心價值再加以技術保護。坊間有許多不同的方法，例如：軟體構成組合分析(Software Composition Analysis, SCA)、靜態安全測試(Static Application Security Testing, SAST)及動態安全測試(Dynamic Application Security Testing, DAST)均是希望找出工程師有做好代碼層的保護，從而使產品能進行另一層次的加值。

在推行DevSecOps的過程中，Sam強調有效溝通是推行所有事情的根本。他表示企業資安落地的落差，不一定源於資安人員的能力問題，有時候更是資安人員長時間對於技術的執行及理解，變成在企業內部不知不覺會忽略把話通俗地說出來。Sam建議如果資安人員有時間，除了技術及理論基礎外，更應學習如何通俗地表達複雜的問題。

DevSecOps的推動
DevSecOps現階段正處於百家爭鳴的狀態。現在在市面上對於DevSecOps的實踐，基本上並沒有一套特定的標準；取而代之的是不同的顧問公司，都在最大化爭取其背後的商業價值。然而，Sam分享到，導入DevSecOps在不同的場境中，要考慮的不僅僅是工具及流程，更應考慮DevSecOps對於企業的價值及對產品的優勢。在產品資安層面，DevSecOps可以快速把資安的合規(Compliance)整合到產品開發流程之內。有關的快速整合及調整，正是DevSecOps的核心價值所在。

Sam在訪談中亦分享到，DevSecOps最大的價值其實不僅是產品成熟及速度，更是對產品流程「自動化」最好的實踐場所。透過不同工具自動生成相對應的報告及報表，能有效減輕企業在資安方面的負擔，同時相關的報告經過專業資安人員的分析彙總，再調整產品生命週期及資安需求，可以循序漸進地達至"Security by Design"的理想。

對台灣資安發展的看法
Sam其實並不是本土的台灣人，而是一位從香港來台灣的資安專家，現已定居於台灣，對於資安發展的前景，他認為台灣有走在正確的路上，從政府開始由上而下努力推行資安建置，喊出「資安即國安」的口號正體現了社會對資安的重視。然而，Sam亦提到，台灣雖有在正確的方向，但步伐仍有待加速。不管在立法或技術上，台灣的資安只有在初步的階段。他強調，未來的四到五年間，台灣社會對於資安的需求將會有一波爆炸性增長。在爆炸增長的同時，Sam亦呼籲不同的社群可以努力為資安普及化進行努力。

資安的價值及重要性
資安的價值不僅是為了保護，在DevSecOps的導入及產品層面，資安可以很有效地從單純保護的角度推廣到產品的加值上。Sam指出，以他的經驗，把資安轉化為產品的特性能有效加高產品的門檻，從而提升產品的競爭力。

在產品資安層面，Sam指出其實產品資安與「錢」是息息相關的。在他的經驗中，如果跟客戶談及產品可以幫忙降低損失的風險，客戶也會樂於多付比同類產品的5％到10％去購買更安全的產品。除此以外，Sam亦分享他在香港不同SOC（Security Operation Center，資訊安全監控中心，簡稱SOC）工作時，如果跟客戶能有共同的在意點，例如：談及「錢」，那麼技術及流程問題都會變得有效及快速的解決。在整個訪談中，Sam更強調溝通和價值一致性對資安人員也是一個很好的修行方向。

對於證照的迷思：證照不是終點，是專業成長的起點
想踏入資安領域發展，首先得掌握基礎知識、考取相關證照，這不僅證明了在某個領域達到基本標準，也是個人發展的重要步驟。但對於資安證照，資安人員不應視為一個終點，更應視為「有好好向著某一方向努力而拿到的勳章」。Sam指出，以他的個人經歷，儘管考到了證照，可是在日常工作卻不能把相關的理論和方法用出來，那麼拿到的都是空談和沒有實質的意義。

同時，證照所涉及的理論和方法實踐也相當重要。他指出，很多企業對於人員在證照上的努力並沒有一些實質的肯定，同時人員對於理論實踐程度亦有所落差。他鼓勵資安人員除了把技術磨練好以外，亦思考證照內容於企業內的應用場景，同時如何使用相關的理論和技巧以降低損失，並使企業產品價值再上一層樓。

在現今科技日新月異的世代中，企業需要拋開以往「資安是一個花錢很凶，沒有實質貢獻」的印象，轉而視資安為一種策略性投資的手段，以減低企業的可能損失。同時，Sam亦寄予資安人員，認為資安人員應放下身段，參與並了解不同部門對於技術的看法。只有在多溝通及交流了解的情況下，資安才能有效落地，從而體現資安的商業價值。

希望透過這次的訪談，能夠幫助更多人了解資安的真正意義，並將其融入到日常工作中。