【專欄】資安是整個團隊的責任！企業轉型「DevSecOps」的三大關鍵技術|數位時代 BusinessNext

小百科
DevOps：開發（Development）+ 維運（Operations），開發與營運團隊加強溝通合作，讓流程更敏捷和自動化
DevSecOps：開發（Development）+ 資安（Security）+ 維運（Operations），加入資訊安全成為整個團隊的責任，貫穿軟體開發的每一個環節

為了確保領先地位、透過新技術取得優勢，許多企業的 DevOps（開發維運）團隊開始採用一系列的IT工具、網路安全工具和基礎架構元件，然而，多元的解決方案也讓攻擊者有更多機會從入口點（entry points）攻破企業防線。

軟體攻擊通常來自於第三方軟體，或是開發人員從網路上下載的軟體程式庫和元件。這類型的攻擊越來越普遍，而攻擊者也利用這些機會入侵眾多企業和組織。

史上最大的軟體攻擊事件之一發生在2020年，當時寫入SolarWinds 軟體更新的惡意程式碼在美國聯邦政府各部門間散播；而 2021年3月更爆發超過20,000個企業因Microsoft Exchange Server中的漏洞遭到安全性威脅。軟體的安全性已成為熱門話題，更是白宮最新行政命令的重點。

然而對於許多企業來說，跨產品及供應商方案確實有其必要性，該如何同時應對這些威脅呢？關鍵在於沿用先前成功落實DevOps的思維、流程和工具，灌輸 IT 人員安全的重要性，同時將安全整合進流程和技術中；安全性因而成為應用程式和基礎架構生命週期的根本，且將會持續運行。簡而言之，這個實踐即能促成所謂的「DevSecOps」文化。

不只團隊合作方式轉型，安全性必須納入考量

企業改為採用DevOps是巨大的轉變。在自動化開發和營運團隊之間的流程中，DevOps可協助開發人員打造高品質軟體，讓營運團隊持續交付及維持一致的服務品質。在自動化流程中，雙方團隊可將彼此納入自身的工作流程，從而專注於各團隊的優勢。

這種方法也適用於「安全性措施」，也就是所謂的 DevSecOps 概念。安全性不該被視為干擾 DevOps 的工作流程，而是工作流程中不可或缺、卻幾乎不會被察覺的部分。DevSecOps 需要將安全步驟與 DevOps 之間的互動調整為自動化，以提供高品質軟體、不間斷的服務和高度安全性。

但這個概念實際上代表什麼呢？要理解 DevSecOps，首先認識落實 DevSecOps 的三個關鍵技術：自動化、開放標準和零信任架構。

關鍵技術一：自動化

和 DevOps 一樣，DevSecOps 的核心和基礎是自動化。自動化促成一致、重複的流程，可簡化開發、IT 基礎架構和安全團隊之間的互動形式。另一個考慮導入 DevSecOps 的原因在於可以提升自動化工作流程的能力，如分派任務給專案中的利益關係人、協助團隊處理日常與重複性高的任務，或是調度和整合IT工具。

此外，若採用自動化，團隊即能在應用程式完整生命週期內皆享有安全性自動化的優勢。透過打造通用的自動化的程式上版流程，將安全性工具加進程式和部署流程，團隊成員因此可在每一階段執行已授權的安全檢查，確保一開始就已將安全性和一致性納入程式之中。

針對上述的任務，以往會需要用電子郵件跨團隊溝通，也會因此造成分配任務延遲。藉由導入自動化，幾乎能即時處理一切流程。這打破了安全團隊與 DevOps 團隊之間的技術障礙，使安全性能夠無縫納入自動化上版流程，且不影響 DevOps 團隊的作業能力。

關鍵技術二：開放標準

在特定生態系中，安全專家會開發專屬的平台和語言以執行、描述流程和技術。為充分實踐DevSecOps，安全團隊和DevOps團隊的需求必須要能被輕易地相互轉換。

這就是為何要採用開放標準和開源工具的原因。不同於專有軟體，開源軟體和應用程式可協助潛在的 DevSecOps 團隊進行平台和語言標準化。透過這種方式，DevOps 和安全團隊可以使用相容的平台，並以一致且雙方易於理解的方式工作，如此一來不但可以省時，更能降低跨團隊工作流程在轉換時可能出錯的風險。

關鍵技術三：零信任架構

欲解決類似供應鏈攻擊的問題，關鍵在於確保企業的技術堆疊不會因為多個安全失誤而損害。即使在嚴重的攻擊中惡意攻擊者已取得登入憑證、資料庫位置或 IP 位址，但他們應該無法存取系統或網路的其餘部分。

企業應採用「零信任」安全基礎的原因，在理解傳統網路和隱性信任模型（implicit trust model）無法充分保護資料、資產或工作負載。零信任架構善用網路自動隔離的能力，防止網路資料外洩（breach）被利用。零信任架構預設 IT 網路中的一切皆不值得信任，並建議打造去邊界化（de-perimeterization）與採取最小權限的安全環境。

這表示權限是以非常細微的方式進行分配，換句話說，在網路特定位置發生的資料外洩將不會擴散。與此同時，零信任架構的自動化技術也會提供合法使用者足夠的存取權限，以確保資料外洩不會影響日常工作流程。

綜上所述，融合自動化、開放標準和零信任架構所打造的 DevSecOps，指的是從一開始就將安全性納入應用程式和基礎架構生命週期的文化。藉由落實 DevSecOps，可以打造健全的流程、應用程式及相關供應鏈，同時賦予團隊靈活性，確保企業提供創新且可靠的應用程式和服務。

《數位時代》長期徵稿，針對時事科技議題，需要您的獨特觀點，歡迎各類專業人士來稿一起交流。投稿請寄edit@bnext.com.tw，文長至少800字，請附上個人100字內簡介，文章若採用將經編輯潤飾，如需改標會與您討論。

（觀點文章呈現多元意見，不代表《數位時代》的立場）

責任編輯：傅珮晴、侯品如

好友缺你一個，加入數位時代LINE，科技產業趨勢新聞一次掌握！

傳送門點這裡

員工自行墊付差旅、採購、雲端訂閱或廣告費，月底再拿著單據報帳；不同部門各自綁定信用卡，企業難以即時掌握支出；員工離職後，若原有付款設定沒有同步移轉，也可能影響後續業務運作。這些看似零碎的支付問題，背後都涉及一個關鍵議題：中小企業能否更有效率的管控資金。

對資源有限的中小企業而言，支付管理不只是財務部門的行政工作，當支出分散、現金流難以預測，甚至連跨境匯款都存在時間與到帳金額的不確定性，企業的營運效率與成長速度都可能受到影響。

為協助中小企業解決上述挑戰，萬事達卡（Mastercard）提供端到端商務解決方案–虛擬卡、車隊卡、跨境匯款服務到Virtual C-Suite，讓支付從單純的交易工具，轉化為企業管理資金與做決策的基礎。

以商務卡結合虛擬卡，讓每一筆支出更可控

Mastercard台灣區董事總經理陳懿文指出，中小企業目前常見的支付方式主要是信用卡與轉帳，若大量依賴員工代墊，不僅增加報帳與核銷成本，也讓企業難以即時掌握整體支出。「導入商務卡後，企業可以將原先分散在員工身上的支出收回企業管理，同時，進一步設定使用規則，例如限定交易商家、金額、消費類別、使用期間或國家，讓企業對資金使用建立更細緻的控管機制。」

除了支付管理，商務卡也能進一步降低企業日常營運成本。陳懿文表示，商務卡持卡人可透過商務優惠計畫Easy Saving Specials，取得Google Workspace、Shopify、LinkedIn、Notion、Sixt、 Agoda等品牌優惠，涵蓋雲端服務、電商營運與數位行銷等企業常見支出。

虛擬卡的In Control平台則讓支付管理變得更精準。例如，企業可以針對特定通路建立虛擬卡號，讓員工綁定手機支付差旅費；也可以針對單筆訂單產生一次性虛擬卡號，直接將付款與訂單串聯，後續再透過虛擬卡號進行核銷與對帳，降低人工處理成本。

透過Commercial Connect API，企業可以把虛擬卡功能整合進既有的企業資源規劃（ERP）系統、採購或費用管理系統，從發卡、付款到後續管理，都能在原本熟悉的平台上完成。目前相關方案已整合SAP Concur、SAP Taulia、Pay4You、Grasp Technologies與Kresus等平台，也支援企業自行建置的客製化ERP系統。

Mastercard台灣區董事總經理陳懿文：「我們以每年1,750億筆交易的資料為基礎，將中小企業每一個進出與支付節點問題，逐步設計出不同的解方，一步步實踐『支付至簡，商業致遠』的願景。」

圖／數位時代

從車隊卡到跨境匯款，助中小企業降低營運不確定性

對物流、運輸等擁有大量車輛的企業來說，加油、維修是每天都會發生的固定支出，過去，不同加油站可能需要不同儲值卡，管理不易，也可能因支付問題影響車輛調度與運輸，導入Mastercard的車隊卡後，問題不復存在。

企業可以限定卡片只能用於加油、維修、停車等特定商用項目，並進一步將卡片與車號或駕駛人建立關聯，例如一張卡對應一台車或一位駕駛，或讓駕駛人以虛擬卡支付車輛所需費用。對企業來說，這不只是換一張卡，而是把原本分散的車隊支出納入同一套管理架構，在維持車輛正常運作的同時，也提高資金使用的透明度。

同樣的邏輯，也延伸到日益增加的跨境匯款需求。隨著中小企業將業務版圖擴展到海外市場，對跨境匯款的需求將隨之攀升，若仍以傳統的方式進行跨境匯款，不僅得等候長達1到3天的匯款時間、也常因為中轉銀行收取費用導致到帳金額有落差，更不用說即時追蹤匯款進度，一旦款項延遲或金額出現落差，就可能進一步影響對帳與供應鏈運作。

為解決上述挑戰，Mastercard推出Mastercard Move，讓中小企業可以輕鬆掌握每一筆匯款的狀態，以更有效率的方式完成跨境匯款，全球60%的市場可於1小時內到帳、95%的市場1天內可到帳，同時，以全額到帳降低到帳金額不確定帶來的營運風險。

從掌握現在到預見未來，Mastercard用Virtual C-Suite把數據變成經營洞察

協助中小企業以商務支付方案優化支付與資金管理後，Mastercard接下來思考的是，知道錢花在哪裡後，若能進一步知道未來會發生什麼，創造的商業價值更高。如果支付數據不只是用來對帳，而能進一步回答「未來現金流會怎麼變化」、「現在適不適合擴張」、「企業的成長速度是否落後同業」，支付的價值就會從管理工具進一步提升為決策工具。

而這也是Mastercard會推出Virtual C-Suite的原因，目標是讓資源相對有限的中小企業也可以透過數據分析洞悉未來局勢。

陳懿文表示：「我們以每年1,750億筆交易的資料為基礎，再結合企業自身的財務數據推出Virtual C-Suite服務，其中預計Virtual CFO功能將在今年底於特定市場試點營運。中小企業只要將銀行與交易等數據上傳到平台、或者是透過API串聯財務系統或發卡行的網路銀行，即可協助企業掌握財務健康、預測現金流，以及進行同業比較。」

Virtual CFO就像中小企業虛擬財務長，透過對話式問答，不僅能從支付數據中找出企業忽略的議題，還會提供可執行的專業建議，讓企業看見下一步，進而提升營運韌性與績效。

舉例來說，一家餐廳營收持續成長，卻可能因為平台款項較晚入帳、食材需要即時付款，造成現金流壓力；對餐廳營運者來說，問題倒不是「有沒有賺錢」，而是「錢什麼時候進來」的現金流管理，Virtual CFO在協助其挖掘出這個議題後，將進一步從收付款週期找出落差，再協助企業評估付款條件、付款時間等調整方式。

同樣的情況也可能發生在企業擴張時。接到新客戶或大訂單，看起來是成長機會，但如果資金準備不足，反而可能增加營運壓力，透過Virtual CFO，企業可以預測未來現金流，再決定是否擴張據點，以及確切的時間。同業比較則提供另一個分析角度，舉例一家自行車店的年營收成長15%，單看數字會覺得營收數據亮眼；但若Virtual CFO進一步比較同業數據後發現平均成長率是30%，將重新思考成長速度，建議主推商品、調整客單價，以及進行相應的行銷投入。

從商務卡到虛擬財務長，Mastercard提供的不是單一產品，而是一套隨企業成長逐步疊加的支付管理層次——先把分散的支出收回可控範圍，再透過數據預見現金流與擴張時機。對於還在用員工代墊、多張信用卡管理支出的中小企業來說，第一步不必等到導入Virtual CFO，從申請一張商務卡、設定使用規則開始，就能踏出第一步。從商務支付方案到Virtual CFO服務，Mastercard致力實踐「支付至簡，商業致遠」的願景：當支付流程更簡單、資金流向更透明，數據便能成為企業決策的依據，協助中小企業從掌握當下，進一步預見未來。