【專欄】資安是整個團隊的責任！企業轉型「DevSecOps」的三大關鍵技術|數位時代 BusinessNext

【專欄】資安是整個團隊的責任！企業轉型「DevSecOps」的三大關鍵技術

為了確保領先地位、透過新技術取得優勢，許多企業的DevOps團隊開始採用一系列的IT工具，然而，多元的解決方案也讓攻擊者攻破企業防線。

小百科
DevOps：開發（Development）+ 維運（Operations），開發與營運團隊加強溝通合作，讓流程更敏捷和自動化
DevSecOps：開發（Development）+ 資安（Security）+ 維運（Operations），加入資訊安全成為整個團隊的責任，貫穿軟體開發的每一個環節

為了確保領先地位、透過新技術取得優勢，許多企業的 DevOps（開發維運）團隊開始採用一系列的IT工具、網路安全工具和基礎架構元件，然而，多元的解決方案也讓攻擊者有更多機會從入口點（entry points）攻破企業防線。

軟體攻擊通常來自於第三方軟體，或是開發人員從網路上下載的軟體程式庫和元件。這類型的攻擊越來越普遍，而攻擊者也利用這些機會入侵眾多企業和組織。

史上最大的軟體攻擊事件之一發生在2020年，當時寫入SolarWinds 軟體更新的惡意程式碼在美國聯邦政府各部門間散播；而 2021年3月更爆發超過20,000個企業因Microsoft Exchange Server中的漏洞遭到安全性威脅。軟體的安全性已成為熱門話題，更是白宮最新行政命令的重點。

然而對於許多企業來說，跨產品及供應商方案確實有其必要性，該如何同時應對這些威脅呢？關鍵在於沿用先前成功落實DevOps的思維、流程和工具，灌輸 IT 人員安全的重要性，同時將安全整合進流程和技術中；安全性因而成為應用程式和基礎架構生命週期的根本，且將會持續運行。簡而言之，這個實踐即能促成所謂的「DevSecOps」文化。

不只團隊合作方式轉型，安全性必須納入考量

企業改為採用DevOps是巨大的轉變。在自動化開發和營運團隊之間的流程中，DevOps可協助開發人員打造高品質軟體，讓營運團隊持續交付及維持一致的服務品質。在自動化流程中，雙方團隊可將彼此納入自身的工作流程，從而專注於各團隊的優勢。

這種方法也適用於「安全性措施」，也就是所謂的 DevSecOps 概念。安全性不該被視為干擾 DevOps 的工作流程，而是工作流程中不可或缺、卻幾乎不會被察覺的部分。DevSecOps 需要將安全步驟與 DevOps 之間的互動調整為自動化，以提供高品質軟體、不間斷的服務和高度安全性。

但這個概念實際上代表什麼呢？要理解 DevSecOps，首先認識落實 DevSecOps 的三個關鍵技術：自動化、開放標準和零信任架構。

關鍵技術一：自動化

和 DevOps 一樣，DevSecOps 的核心和基礎是自動化。自動化促成一致、重複的流程，可簡化開發、IT 基礎架構和安全團隊之間的互動形式。另一個考慮導入 DevSecOps 的原因在於可以提升自動化工作流程的能力，如分派任務給專案中的利益關係人、協助團隊處理日常與重複性高的任務，或是調度和整合IT工具。

此外，若採用自動化，團隊即能在應用程式完整生命週期內皆享有安全性自動化的優勢。透過打造通用的自動化的程式上版流程，將安全性工具加進程式和部署流程，團隊成員因此可在每一階段執行已授權的安全檢查，確保一開始就已將安全性和一致性納入程式之中。

針對上述的任務，以往會需要用電子郵件跨團隊溝通，也會因此造成分配任務延遲。藉由導入自動化，幾乎能即時處理一切流程。這打破了安全團隊與 DevOps 團隊之間的技術障礙，使安全性能夠無縫納入自動化上版流程，且不影響 DevOps 團隊的作業能力。

關鍵技術二：開放標準

在特定生態系中，安全專家會開發專屬的平台和語言以執行、描述流程和技術。為充分實踐DevSecOps，安全團隊和DevOps團隊的需求必須要能被輕易地相互轉換。

這就是為何要採用開放標準和開源工具的原因。不同於專有軟體，開源軟體和應用程式可協助潛在的 DevSecOps 團隊進行平台和語言標準化。透過這種方式，DevOps 和安全團隊可以使用相容的平台，並以一致且雙方易於理解的方式工作，如此一來不但可以省時，更能降低跨團隊工作流程在轉換時可能出錯的風險。

關鍵技術三：零信任架構

欲解決類似供應鏈攻擊的問題，關鍵在於確保企業的技術堆疊不會因為多個安全失誤而損害。即使在嚴重的攻擊中惡意攻擊者已取得登入憑證、資料庫位置或 IP 位址，但他們應該無法存取系統或網路的其餘部分。

企業應採用「零信任」安全基礎的原因，在理解傳統網路和隱性信任模型（implicit trust model）無法充分保護資料、資產或工作負載。零信任架構善用網路自動隔離的能力，防止網路資料外洩（breach）被利用。零信任架構預設 IT 網路中的一切皆不值得信任，並建議打造去邊界化（de-perimeterization）與採取最小權限的安全環境。

這表示權限是以非常細微的方式進行分配，換句話說，在網路特定位置發生的資料外洩將不會擴散。與此同時，零信任架構的自動化技術也會提供合法使用者足夠的存取權限，以確保資料外洩不會影響日常工作流程。

綜上所述，融合自動化、開放標準和零信任架構所打造的 DevSecOps，指的是從一開始就將安全性納入應用程式和基礎架構生命週期的文化。藉由落實 DevSecOps，可以打造健全的流程、應用程式及相關供應鏈，同時賦予團隊靈活性，確保企業提供創新且可靠的應用程式和服務。

《數位時代》長期徵稿，針對時事科技議題，需要您的獨特觀點，歡迎各類專業人士來稿一起交流。投稿請寄edit@bnext.com.tw，文長至少800字，請附上個人100字內簡介，文章若採用將經編輯潤飾，如需改標會與您討論。

（觀點文章呈現多元意見，不代表《數位時代》的立場）

責任編輯：傅珮晴、侯品如

好友缺你一個，加入數位時代LINE，科技產業趨勢新聞一次掌握！

傳送門點這裡

當GPU不再是唯一主角，記憶體為何躍上AI舞台中央？

過去，半導體的焦點多圍繞在晶片，例如CPU、GPU跟AI加速器等，市場普遍認為，晶片運算能力是左右科技產業發展速度的關鍵，但在進入生成式AI世代後，產業逐漸發現另一個事實：真正限制AI效能的瓶頸不是運算，而是資料能否快速被存取與傳輸。

從大型語言模型訓練，到AI推論、代理式工作流程（Agentic Workflow），甚至未來的機器人與自駕車，龐大的資料流量正持續推升對高頻寬、低延遲、高容量記憶體的需求，讓記憶體產業從過去相對標準化、以價格競爭為主的市場，逐漸轉變為AI基礎建設的重要核心。

「仔細觀察AI應用服務會發現，大多數工作負載都被頻寬限制。」美光科技全球業務執行副總裁Mike Cordano認為，記憶體是突破（頻寬）瓶頸的關鍵，也讓AI競賽從晶片算力升級到記憶體與儲存架構的系統級競爭。這樣的產業洞察，也正是Mike在歷經二十餘年的儲存產業資歷，加上四年半的創投生涯後，選擇加入美光的核心原因之一：在AI重塑產業結構的浪潮下，記憶體將成為這波成長最直接的動能所在。

從零組件供應商到策略夥伴，記憶體共創時代來臨

AI的崛起，正在改變記憶體廠商與客戶的關係。

過去，記憶體產品多是標準化元件，客戶關注的是價格、供貨與規格；合作模式也偏向短期採購與交易導向。然而隨著AI系統規模愈來愈大，從資料中心、雲端平台到終端裝置，記憶體已經成為決定系統效能的重要關鍵，也因如此，越來越多企業將記憶體視為「策略性資產」，而非單純零組件。

Mike表示：「現在，我們跟客戶合作的時間跨度改變了，在產品正式上市前三到四年便開始合作，從系統架構階段就共同規劃未來需求。」例如，美光科技與NVIDIA共同研發的資料中心所使用的低功耗記憶體，便是雙方提前多年展開深度合作（co-design）的成果。

值得特別注意的是，美光科技除從技術層面與晶片製造商等夥伴共創產品，也在需求層面與客戶進行密切合作，例如，將過去較無約束力、期限僅一年的長期協議（LTA）轉變成為期五年、條款更具約束力的策略性客戶協議（SCA），藉此掌握客戶的未來需求，進而在技術層面做更深度的合作。Mike坦言，深度協同設計是高成本的投入，美光的做法是先廣泛進行市場感知，理解不同場域的需求方向，再與生態系統中的夥伴們展開客製化合作。

從裝置導向轉為Token導向，AI浪潮重寫記憶體成長模式

除了合作模式改變，更大的典範轉移是需求的改變。

Mike解釋，過去記憶體需求跟PC、手機跟伺服器出貨量息息相關，但在AI新世代，推動記憶體需求成長的核心不再是設備數量，而是AI模型所產生的運算與資料消耗量。「AI產業逐漸走向以『Consumption』或『Token』為主的新經濟模式，每一次的模型運算都需要消耗大量的記憶體跟儲存資源，這意味著，即使設備銷量成長趨緩，記憶體需求仍可能持續上升。」

更重要的是，AI應用正從資料中心外擴至手機、PC、自駕車與機器人等場域，儘管不同場域對記憶體的需求不盡相同，但是，Mike認為：所有AI裝置都存在三項共同需求：更快的速度、更大的容量，以及更高的能源效率。

正如Mike在受訪時提到的：「我們最大的挑戰，是如何與客戶和整個生態系保持高度一致，一方面創造供給與產能，另一方面持續推動技術創新。」可以預期，在接下來的五年，記憶體產業面臨的挑戰不僅僅是擴展產能，而是如何與客戶共同規劃需求、同步投入技術創新，而這也是美光科技積極經營AI生態體系的原因。

總的來說，AI帶來的改變，不只是算力提升，而是重新定義整個運算架構：過去，記憶體被視為支援運算的基礎元件；現在，則是決定AI效能、能源效率與創新速度的關鍵資源；當產業競爭從晶片性能延伸到資料流動效率，從裝置數量轉向Token消耗量，記憶體的重要性也將隨之水漲船高，對美光科技來說，這將是其從供應商走向AI生態系核心夥伴的關鍵角色轉變。