Warum DevOps-Implementierungen oft scheitern (und wie Sie es besser machen)

Dieser Artikel wurde ursprünglich auf DevOps.com veröffentlicht. Er wurde aktualisiert und überarbeitet.

Ähnlich wie „Blockchain“, „Big Data“ und „digitale Disruption“ ist auch der Begriff „DevOps“ ein Schlagwort, das derzeit durch die IT-Abteilungen großer Unternehmen geistert.

Viele haben (zu Recht) die Notwendigkeit für schnellere Softwareentwicklungszyklen erkannt; ein präziserer Prozess, der eng an den Geschäftszielen ausgerichtet ist und einen klareren Workflow sowie eine bessere Zusammenarbeit zwischen Entwicklungs- und Betriebsteams ermöglicht. DevOps ist im Grunde „Agile“ Entwicklung, die erwachsen geworden ist und bereit ist, sich den Anforderungen moderner Unternehmen an ständige Innovation und schnelle Bereitstellung zu stellen. Für Sicherheitsexperten ist das eine fantastische Initiative: Wir können Sicherheit viel früher in den Prozess einbringen, was die Kosten für die Fehlerbehebung senkt und potenzielle Katastrophen im weiteren Verlauf vermeidet.

Das Problem ist, dass nur wenige Unternehmen bei der Implementierung von DevOps wirklich erfolgreich sind. Ohne die richtige Unterstützung, Förderung und ein unternehmensweites Verständnis kann es schnell zu einem kostspieligen, aber nutzlosen Projekt werden – Sie wissen schon, eines dieser Projekte, über die man besser nicht spricht.

Was ist also das Problem? Es ist eine interessante Diskussion, und es gibt einige Ansätze für DevOps, die meiner Meinung nach für einen reibungsloseren Ablauf sorgen. Ein effektives Programm geht über ein paar schicke neue Tools, Jobtitel und Team-Meetings hinaus. Es wird nicht immer einfach sein, aber sich die Zeit zu nehmen, eine fehlerhafte Strategie zu korrigieren (oder sie von Anfang an richtig umzusetzen), ist auf lange Sicht weitaus weniger schmerzhaft. Und letztendlich führt es zu qualitativ hochwertigerer und sicherere Software.

Schlüsseln wir es auf:

Lösen Sie sich vom „Agile“-Gängelband.

Es herrscht das Missverständnis, dass sich ein Unternehmen zwischen Agile oder DevOps entscheiden müsse, einen Weg einschlage und nie wieder zurückblicke.

Die Sache ist die: Der Entwicklungsprozess funktioniert am besten, wenn beides als Einheit betrachtet und umgesetzt wird. DevOps ist keine Neuerfindung der agilen Entwicklung, sondern eine Erweiterung. Die Probleme beginnen meist dann, wenn erwartet wird, dass der Prozess genau wie Agile oder völlig anders als Agile sein soll.

Agile unterstützt das Prinzip funktionsübergreifender Teams, bringt Designer, Tester und Entwickler von Anfang an zusammen und setzt auf offene Kommunikationswege während des gesamten Projekts. Ziel ist es, isolierte Arbeitsweisen zu beenden und Doppelarbeit zu reduzieren – beides Vorteile, die auch der DevOps-Prozess bietet. DevOps geht jedoch einen Schritt weiter und integriert System-, Sicherheits- und Betriebsaspekte, um ein robustes, durchgängiges Kompetenzspektrum zu bieten, dessen oberstes Ziel die vollständige, funktionale Softwarebereitstellung für den Kunden ist.

Während der unvermeidlichen Schwierigkeiten bei der Umstellung auf einen stärker DevOps-zentrierten Prozess kann das Risiko isolierter Entwicklung wieder auftreten. Oft arbeiten die ursprünglichen agilen Teams zusammen, während die Sicherheits- und Betriebsexperten noch ihren Platz im System suchen; niemand weiß so recht, wie man sie einbinden soll, was ihre Aufgaben sind und was ihre übergeordneten Ziele sein sollten.

DevOps funktioniert nicht ohne klar definierte Ziele, funktionsübergreifendes Onboarding und direkte Kommunikation mit allen Beteiligten. Es wird eine Anpassungsphase geben, die ein sorgfältiges Change Management erfordert, sicher, aber alle Beteiligten auf den gleichen Stand zu bringen, was die Verbesserungen durch DevOps angeht, ist bereits die halbe Miete.

Erfreulicherweise legt DevOps zunehmend Wert auf Best Practices im Bereich Sicherheit als Teil des Prozesses. Dies entmystifiziert diesen Schritt und schließt die Lücke zwischen dem Sicherheitsteam und dem Rest des Unternehmens. Wie ich bereits sagte, haben wir noch einen langen Weg vor uns, um Entwickler zu befähigen, von Anfang an sicher zu programmieren, aber die erfolgreiche Implementierung von DevOps-Methoden ist eine hervorragende Grundlage, auf der Sicherheitskompetenzen innerhalb des Entwicklungsteams aufgebaut werden können.

Automatisierung ist nicht alles (und auch nicht am sichersten).

Ein weiteres Merkmal der DevOps-Methodik ist bis zu einem gewissen Grad die Automatisierung des Softwareentwicklungsprozesses. Prinzipien der kontinuierlichen Integration und Bereitstellung (CI/CD) sind die Eckpfeiler dieses Konzepts und, wie Sie sich wahrscheinlich denken können, sehr stark von Tools abhängig.

Tools sind großartig, wirklich. Sie können die Softwarebereitstellung enorm beschleunigen, indem sie Code-Repositories, Tests, Wartung und Speicherverwaltung relativ nahtlos handhaben.

Doch auch wenn Roboter uns eines Tages vielleicht alle unsere Jobs wegnehmen und uns einsperren, sind sie noch lange nicht so weit. Eine zu starke Abhängigkeit von Tools und Automatisierung öffnet Tür und Tor für Fehler. Scans und Tests erfassen möglicherweise nicht alles, Code bleibt ungeprüft, und das führt zu massiven Qualitäts- (ganz zu schweigen von Sicherheits-) Problemen. Ein Angreifer braucht nur eine Hintertür, um Daten zu stehlen, und den menschlichen Faktor bei der Qualitäts- und Sicherheitskontrolle zu vernachlässigen, kann katastrophale Folgen haben.

Der „goldene Mittelweg“ besteht darin, ein Gleichgewicht zwischen Menschen und Tools zu finden. Tools sollten als Assistenten für ein Team dienen, dem Sie vertrauen, die Projektziele zu erreichen. Sie sollten:

• Genügend Zeit einplanen, damit sich die Mitarbeiter mit der gewählten DevOps-Toolchain vertraut machen können
• Sich auf eine effektive Zusammenarbeit konzentrieren (und darauf, wie Tools diese unterstützen können)
• Lücken im Prozess schließen, egal ob diese auf fehlenden Fähigkeiten/Wissen oder auf den Tools basieren.

Kurz gesagt: Rüsten Sie sich nicht einfach nur mit Tools aus und hoffen Sie auf das Beste.

DevOps ist kein Modewort, sondern eine Kultur. Fördern Sie Ihre?

Change Management ist selbst unter besten Bedingungen schwierig. Die Angst vor dem Unbekannten kann selbst die brillantesten Teammitglieder daran hindern, ihre Fähigkeiten zu erweitern und ihren Horizont zu vergrößern.

Denn einfach nur zu sagen „Wir machen jetzt DevOps“ und das Betriebsteam an andere Schreibtische zu setzen, führt nicht auf magische Weise zu einem erfolgreichen Prozess. Viele werden verwirrt sein, und langjährige Teammitglieder werden sich übergangen fühlen. Die klare Kommunikation von Erwartungen ist ebenso entscheidend wie das Vorleben dieser Werte. DevOps ist ebenso eine kulturelle Bewegung wie eine Entwicklungsmethodik; ein Team sollte eine funktionsübergreifende, kollaborative Denkweise verinnerlichen.

Wie sieht eine großartige DevOps-Kultur aus?

• Einzelpersonen werden befähigt, ihr Fachwissen in einen Prozess einzubringen, nicht nur Führungskräfte
• Offene, ehrliche und respektvolle Kommunikation zwischen den Teams
• Jeder übernimmt Verantwortung für das gemeinsame Ziel, Qualität und Sicherheit fest in den Entwicklungsprozess zu integrieren
• Alle haben ein einheitliches Verständnis davon, was DevOps für das Unternehmen bedeutet, wie die Roadmap aussieht und was die Rolle des Einzelnen umfasst.

Seit Jahren betone ich, wie wichtig es ist, eine positive Sicherheitskultur in Entwicklungsteams aufzubauen – bei DevOps ist das nicht anders.

Die richtigen Tools, das nötige Wissen und die passende Unterstützung sind unerlässlich, um Best Practices in der Sicherheit zu etablieren, die Anzahl entdeckter Schwachstellen zu senken und das Team für den Schutz unserer Daten zu sensibilisieren. Bei DevOps müssen Sie das kulturelle Fundament für einen positiven Wandel legen: Stellen Sie sicher, dass jeder seine Rolle, seinen Wert, die Erwartungen, die Projektziele und die Prozessschritte versteht.

Haben Sie das gemeistert? Großartig. Dann lassen Sie uns jetzt den nächsten Schritt gehen, die Sicherheit in den Fokus rücken und DevSecOps zum ultimativen Standard für Software-Exzellenz machen.