長春軟件開發(fā),軟件開發(fā)公司通常使用的DevOps是一種需要軟件開發(fā)人員和IT運營團隊密切協作的文化，目標是更快地推出更高質量的軟件和頻繁修改該軟件。DevOps幫助許多北京軟件開發(fā)公司徹底改變了他們的開發(fā)操作。

在軟件開發(fā)行業(yè)也開始理解作為DevOps過程一部分，解決安全需求的重要性。DevOps體系下必須平衡速度和靈活性在應用程序和服務的需求中保護企業(yè)關鍵資產。

自帶測試下的安全性顯微鏡

在軟件開發(fā)過程中特別需要更加重視的一個領域是安全測試。根據較近的一項調查，北京軟件公司報告在測試過程中使用實時客戶數據，因為他們認為這可以在“實際”中提供應用程序性能和行為的較準確表示。任何時候，實時客戶數據都是從生產中提取的環(huán)境，他們向軟件外包商提供真實的客戶數據用于測試流程，這增加了損失或誤操作的風險。這些根深蒂固的習慣，可以使測試人員面臨重大風險。

未能保護個人數據的公司所遭受的聲譽損失可直接轉化為收入損失。新的隱私規(guī)定現在提高了這個前景。歐盟（EU）較近通過的一般數據保護法規(guī)（GDPR）通常被認為主要影響歐盟公司，但這些新法律實際上適用于擁有歐盟客戶數據的任何組織。這包括一半以上的大型企業(yè) - 根據上述相同的調查。2018年5月，未能在測試過程中掩蓋其客戶數據的企業(yè)將發(fā)現自己直接違反GDPR。

長春軟件開發(fā),滿足測試數據保密任務

如同許多其他的信息安全計劃，測試數據隱私項目可能是復雜和困難，但他們可以用DevOps的舉措保持一致。入門建議包括清查敏感數據，確定理想偽裝規(guī)則和創(chuàng)建了解視圖表。

庫存敏感數據，現在可以保存。第一步是通過創(chuàng)建和識別需要偽裝的信息列來獲取所有敏感數據的庫存。與流行的信念相反，這不包括名稱，事實上，消除名稱可能會使得在測試過程中數據在事務路徑和平臺上移動時不必要地識別客戶記錄。例如，在基本加密模型中，“Marcin Grabinski”的輸入可以傳遞“KL / BCrWkXniHAdoN0zhLEw”的輸出。簡而言之，這對于測試者是不可區(qū)分的，因此是不可接受的，除非過程是自動的，手動。

測試數據隱私的目標不是偽裝數據本身，而是使得相當難以識別個人 - 一種被稱為“假名化”的概念。只要這些名稱沒有鏈接，就可以使用生產數據庫中的真實客戶名稱到家庭住址，出生日期，護照，許可證號碼或任何其他識別信息。保持真實，易于識別的名稱（例如，Jane Doe）使得測試過程對于手動測試人員更快速，高效和準確，因為它們在測試環(huán)境中跟蹤應用程序執(zhí)行。

確定理想的偽裝規(guī)則。一旦公司確定需要屏蔽哪些信息，下一步是為每種類型的敏感數據創(chuàng)建偽裝規(guī)則。有各種技術，較著名的是加密，或者對消息或信息進行編碼的過程，因此只有授權方才能讀取它們。

如上所述，使用標準加密的挑戰(zhàn)在于，它可能使得軟件開發(fā)公司測試者非常難以識別他或她正在觀看什么類型的信息。以上面提到的例子，“KL / BCrWkXniHAdoN0zhLEw” - 不只是這不容易簡單地查看和召回作為名稱，但人們甚至不能告訴它是一個名稱或地址，或電話號碼物。在測試數據隱私的上下文中，格式保留加密趨向于更好地工作。這種加密風格保留了輸入數據的原始格式，同時屏蔽了輸入數據，從而使其對于數據測試目的更有用。例如美國的電話號碼 - 這些可以反映為三位數字 - 三位數字 - 四位數字，因此測試者知道他或她正在查看電話號碼，但內容是加密的 - 給出不同的數字集合。

雖然格式保護加密可以很好地用于像電話號碼這樣的數據，但對于不遵循標準格式的數據（例如地址）并不總是很好。對于處理GDPR的組織尤其如此，因為地址在不同國家的格式不同。數據轉換，它采用存儲在組織的文件中的現有數據記錄，并且加擾并分配它們以掩蓋敏感數據值 - 對于希望掩蓋遵循統(tǒng)一格式的地址信息的組織來說是好的選擇。

創(chuàng)建查找表。如果必須使用現實的名稱或地址，則沒有魔法來簡化過程 - 必須設置數據查找表。然而，這不需要是一個時間密集或痛苦的過程。首先，不需要有大量的數據記錄。一些組織認為，為了測試是全面的，他們需要測試與生產聯系人表包含的行數一樣多。這不是真的 - 測試只有一到五個數據記錄是完全可以接受的。

相同的比例對地址有好處。不需要巨大的體積。正如我們上面討論的，由于格式的種類繁多，以及郵政編碼，城市和街道之類的項目之間的不一致，可能會使記錄無法進行測試，因此掩蔽地址可能很具挑戰(zhàn)性。有一些方法可以解決這個問題 - 一些組織選擇保留真實的地址信息 - 只要附加到其上的其他個人身份信息被正確屏蔽，有些組織甚至完全刪除這個私有地址信息，用替換地址替換它。例如，在同一個國家有多個位置的大型組織可以將這些地址換成“虛擬”，以避免在其測試環(huán)境中有任何真正的私有地址。

結論

在軟件開發(fā)公司的DevOps體系中，每個人都在快速移動，特別是測試人員，組織需要將它們與不必要的風險隔離開來。如果軟件產品不安全，或者如果客戶的數據隱私在創(chuàng)建過程中的任何地方受到損害，那么旨在及時和預算地產生優(yōu)秀軟件的大量努力將被嚴重削弱。安全解決方案正在不斷發(fā)展，并且越來越適應DevOps的速度。在這種情況下，解決軟件開發(fā)中的安全問題的一個重要方法是通過適當地屏蔽測試過程中使用的所有生產級客戶數據。