内容简介:合规性(Compliance)是指确保人们正确地做事,并能够证明做事的正确性。在实施敏捷和频繁交付的情况下,人们需要为交付过程建立合规性。融入了合规性义务(Compliance Obligation)的DevOps团队将更有可能取得成功。在Herbert指出,每个组织都受到某种形式监管义务的约束。有针对产品销售的相关规则,有针对持有客户信息并约束相关交易的规则。Herbert表示,合规性就是确保人们做出正确的事情、知道自己正在正确地做事,并在他人质疑时可以证明自己的所作所为是正确的。
合规性(Compliance)是指确保人们正确地做事,并能够证明做事的正确性。在实施敏捷和频繁交付的情况下,人们需要为交付过程建立合规性。融入了合规性义务(Compliance Obligation)的DevOps团队将更有可能取得成功。
在 Atlassian 2018欧洲峰会(Summit Europe 2018) 上,Atlassian的风险未来学家(Risk Futurist) Guy Herbert 介绍了人们应该如何在敏捷中保持合规性。InfoQ以问答、总结和文章报道覆盖了本次大会。
Herbert指出,每个组织都受到某种形式监管义务的约束。有针对产品销售的相关规则,有针对持有客户信息并约束相关交易的规则。Herbert表示,合规性就是确保人们做出正确的事情、知道自己正在正确地做事,并在他人质疑时可以证明自己的所作所为是正确的。
Herbert认为,在交付过程中必须要建立合规性。过去每六个月才交付一次,这时人们可以尝试在交付前“上锁保险”。 但是现在每天都要做多次的交付,合规性无法在最后一刻才添加到过程中。
InfoQ采访了Herbert,采访内容包括:如何在频繁和快速交付时确保合规性;Devops如何有助于解决合规性需求,并使现有的合规系统更加灵活。
InfoQ:当人们想要频繁快速地交付时,如何确保合规性?
Guy Herbert:我们在Atlassian的做法是,让团队了解风险和合规性是交付的一部分。我们向团队介绍我们当前正在做事的背景,团队承担自身工作的风险和合规性方面内容。我们使用同行评审作为关键变更控制,确保工作在构建之前通过测试。
大多数敏捷开发团队都使用了同行评审和测试,这是一种获得高质量代码的好方法。我们做法的与众不同之处在于,我们使用Bitbucket(译者注:Atlassian公司提供的一个基于web的版本库托管服务)强制执行同行评审和绿色构建。
我们赋予团队做出更改的能力,但我们也告知团队必须要由他们去做的事情。如果团队想要更改最低要求,他们需要与我们交谈。如果团队可以达到最低要求,那么可能并没有必要让我们参与进来。之后,我们要求团队每六个月就确认一次相关控制的进展情况(例如,关于用户管理或变更控制的流程),这些控制是团队正在执行我们曾与他们讨论过的情况。我们也做一些检查,为确保团队确实执行了相关的控制。对于一些可自动化的控件(例如,自动用户配置和删除),我们只需确认它们是以正确的方式配置的,并不需要做经常性检查。
InfoQ:DevOps如何有助于人们解决合规性需求?
Herbert:一个DevOps团队通常具有多种合规性义务。而风险和合规性团队所需要做的就是将这些义务做分解,以便从事开发和运营工作的人员可以在完成工作的同时履行这些义务。一个例子就是变更管理。几乎所有的合规性义务都依赖于受控的变更管理环境。一旦变更实施过一次,那么该变更就可用于履行每项义务。这意味着,人们不必为每项义务实施不同的变更管理控制。当然这是一个简单的例子,还有更多的实例。风险和合规性可能非常容易做到,也可能真的很难以达成,这取决于人们是如何为团队设置这些义务的。
我们还看到,DevOps团队具有更高的参与度和所有权。这使得合规性义务融入到DevOps团队中,进而增加了合规性成功交付的可能性。
InfoQ:如何使现有的合规系统更加敏捷?
Herbert:我们应该更好地了解每个团队所支持的合规性义务。团队将不再专注于义务本身,而是专注于支持这些义务的控制性活动,这样团队能够在有需要时做出更改。由此,团队就知道需要开展的控制活动。一旦控制活动发生更改,团队可以将这些控制活动转交给新的团队,或是与风险和合规团队讨论控制活动的潜在变化。
我们在Atlassian的做法是,通过对我们控制目标的讨论,在团队执行的控制活动和组织必须履行的合规义务之间形成一个抽象层。这使得交付团队能够专注于自身的工作,而不是每个合规性义务。
我认为风险和合规团队应该找到一些方法,为团队更好地履行合规性义务提供帮助。哪些是团队已做的事情是用于合规性的,而非基于现有基础的?对此,同行评审和绿色构建就是很好的例子。
查看英文原文: Compliance in an Agile World
以上就是本文的全部内容,希望对大家的学习有所帮助,也希望大家多多支持 码农网
猜你喜欢:- 合规性损害安全性的5种方式
- 生产环境中的合规检查
- DevSecOps:打造安全合规的 DevOps 平台
- Android App 个人信息收集合规自查
- 移动 App 隐私合规检测解决方案初探
- 合规就代表安全了吗?那可以不一定
本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们。
区块链技术驱动金融
阿尔文德·纳拉亚南、约什·贝努、爱德华·费尔顿、安德鲁·米勒、史蒂文·戈德费德 / 林华、王勇 / 中信出版社,中信出版集团 / 2016-8-25 / CNY 79.00
从数字货币及智能合约技术层面,解读了区块链技术在金融领域的运用。“如果你正在寻找一本在技术层面解释比特币是如何运作的,并且你有一定计算机科学和编程的基本知识,这本书应该很适合你。” 《区块链:技术驱动金融》回答了一系列关于比特币如何运用区块链技术运作的问题,并且着重讲述了各种技术功能,以及未来会形成的网络。比特币是如何运作的?它因何而与众不同?你的比特币安全吗?比特币用户如何匿名?区块链如何......一起来看看 《区块链技术驱动金融》 这本书的介绍吧!