文档章节

谈 DevOps 自动化时,也应该考虑到 SOX 等法案

OneAPM蓝海讯通
 OneAPM蓝海讯通
发布于 2015/10/26 14:11
字数 1099
阅读 24
收藏 1

【编者按】作者 Aaron Volkmann 是 CERT Division 高级研究员,在本文中,他对 DevOps 自动化违反 SOX 法案进行了阐述。同时,也简单的提出了如何通过 CI 来避免这个问题,本文系OneAPM工程师翻译。

为了解决类似 Enron、Worldcom 以及 Tyco 等公司暴露出的财务欺诈丑闻,21世纪初期美国国会颁布了萨班斯-奥克斯利法案(SOX Act)。SOX 法案要求上市公司通过一系列内部控制手段,确保向投资者披露正确的财务信息。在一家 IT 公司中,遵守 SOX 方案的主要准则之一就在于:确保没有任何员工可以单方面地在生产环境中变更软件代码。DevOps 的自动化技术,如持续集成(CI)持续交付(CD)、基础设施即代码(IaC)从表面上看,似乎已经不再遵守 SOX 法案了。本文将会探讨 DevOps 自动化如何能够让公司在保持兼容性的同时,还能从实际上提高其合规程度。

当软件控制进程从传统的手动方式转换为更加自动化的过程时,很多公司都担心检查会被忽略,平衡被打破的同时也造成公司违反 SOX 法案。在图一中所展示的传统场景中,一名开发者对某个软件进行变更后,先将代码提交进入评审流程,然后通过手工或系统进行打包准备部署。新版本被提交到变更控制流程中,准备部署到生产环境中。在管理者批准将变更实施到生产环境之后,由生产服务工程师进行部署。尽管管理该过程有很多办法,但仍无法确保评审的代码版本就是部署到生产环境的那个版本。

谈 DevOps 自动化时,也应该考虑到 SOX 等法案

通过使用 CI 服务器(如图二所示),software shop 可以记录与追踪每个源代码文件的哪个版本构成了软件的相应版本。在持续部署的过程中会有停顿,人们在此时对变更进行检查,准备投入生产环境;任何未经授权的变更都不能通过该环节。

谈 DevOps 自动化时,也应该考虑到 SOX 等法案

CI 使得对打包软件所使用源代码文件的确切版本进行记录与审核成为可能。software shop 同样可以具备集中自动化测试的能力,这样就能一一扫描每个软件 build,寻找安全缺陷。

另一个可能抵制自动化的领域是服务器基础设施配置。在 SEI,由于需要管理员手动查看服务器build,经常会有人反对使用 IaC 作为服务器配置。在使用 IaC 工具(Chef,Docker 或者Puppet)时,可以将基础设施配置脚本作为可验证、可测试、可信赖的软件构件,相信它能够产生可靠且能够复制的结果。IaC 让开发者有机会集中精力开发和测试配置脚本,同时允许自动化抄送测试服务器镜像,减少人为错误的风险。

每家公司甚至各公司内的每个科技/商业领域都可能会有独特的需求和限制。在特定领域,达标的自动化水平可能也会不同。通过仔细将机器布置到位,让自动化进程按部就班,这样一来控制、审核和保护公司资源的能力,还有确保遵守如 SOX 法案这样联邦法规的可能性只会增加。

原文链接:A DevOps a Day Keeps the Auditors Away (and Helps Organizations Stay in Compliance with Federal Regulations such as Sarbanes-Oxley)

OneAPM 是应用性能管理领域的新兴领军企业,能帮助运维人员进行故障预警和定位,减少业务系统维护的工作量,同时还能提供可追溯的性能数据,量化运维部门的业务价值。想告别加班熬夜,欢迎免费注册使用!

© 著作权归作者所有

OneAPM蓝海讯通
粉丝 93
博文 631
码字总数 1266889
作品 0
海淀
私信 提问
迫在眉睫的企业内控与跃跃欲试的IT

听到消息说中国财政部、证监会等部门已联合开班,开始对中国A+H上市公司总裁、财务总监等高管进行企业内控知识培训。从4月底发布内控指引到7月开展培训,很高兴中国的企业内控得到高效地推进...

tsuneo_kato
2018/07/02
0
0
ubuntu下 微信amr语音转换成mp3格式

安装如下软件 1、sudo apt-get install lame 2、sudo apt-get install sox 3、sudo apt-get install libsox-fmt-mp3 使用如下命令: sox test.amr test.mp3...

dthwj
2015/06/22
0
0
Ubuntu Linux下怎样同时对麦克风及系统声音进行录音

我花了一天时间来研究这个解决方案,和大家分享一下,原理是分别启动两个进程对设备进行录制,然后再合成: First, install sox and get my scirpt brecord: sudo apt-get install -y sox su...

黄冠能
2015/08/19
1K
1
用树莓派2架设微型FM电台程序(同时支持Pi1、Pi2)

用树莓派2架设微型FM电台程序(同时支持Pi1、Pi2) 目录 - 原理简述- 安装fm_transmitter- 使用方法- 相关参考 原理简述 树莓派支持,1代板上有26个引出的管脚,2代板上有40个引出的管脚,其中...

FreeBlues
2015/08/26
0
0
R128GAIN 1.0.3 发布,音量扫描器

R128GAIN 1.0.3 增加了命令行参数预设应用获得支持的视频文件,移除在原生 Windows GUI 下编辑命令的限制等。 R128GAIN 是一个基于 FFmpeg 和 SoX 开发的 EBU R128 兼容的音量扫描器,用于音...

oschina
2013/12/02
536
0

没有更多内容

加载失败,请刷新页面

加载更多

告诉大家写简历和面试的技巧(面向高级开发和架构师)

之前我也写过不少介绍面试相关的博文,有些文章的点击量还不低,这些面试相关的经验大多都是从我面试别人的过程中提炼出来了。 在18年底到19年3月,陆续面试了几家公司,有成有不成的,最终进...

java菜分享
21分钟前
0
0
SpringMVC教程3【文件上传下载,静态资源处理及数据校验】

一,文件上传 web.xml配置通用 <?xml version="1.0" encoding="UTF-8"?><web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns="http://xmlns.jcp.org/xml/ns/javaee" xsi......

薛小二
29分钟前
4
0
【跟着我们学Golang】基础结构

鉴于上篇文章我们已经讲过Go语言环境的安装,现在我们已经有了一个可以运行Go程序的环境,而且,我们还运行了'Hello World'跑出了我们的第一个Go程序。 这节我们就以'Hello World为例,讲解G...

搜云库技术团队
33分钟前
1
0
谈谈ConcurrentHashMap1.7和1.8的不同实现

ConcurrentHashMap 在多线程环境下,使用HashMap进行put操作时存在丢失数据的情况,为了避免这种bug的隐患,强烈建议使用ConcurrentHashMap代替HashMap,为了对更深入的了解,本文将对JDK1....

群星纪元
34分钟前
0
0
JBDC更新计数行以及调用存储过程返回多个结果集

在学习该知识点之前,需要了解sqlserver的一个存储过程语句:SET NOCOUNT ON; 执行该命令 表示不返回计数行,什么是计数行了,比如我们执行 DELETE ,UPDATE,INSERT的时候,对多少条数据进行了...

小v来上课
36分钟前
0
0

没有更多内容

加载失败,请刷新页面

加载更多

返回顶部
顶部