L’effet entonnoir du DevSecOps
Comme la plupart du temps, il faut d’abord essayer de passer au crible ou d’analyser un grand nombre de matières premières avant de pouvoir les utiliser efficacement. Cela reste vrai lorsqu’on essaie d’optimiser les efforts d’une équipe ou d’un projet. Me concernant, j’aime évaluer l’état de leur optimisation DevOps ou SecDevops. Ce n’est pas parce que vous ne pensiez pas à vous aligner davantage sur une culture DevOps que vos efforts n’ont pas été ou ne sont pas pertinents à mes yeux. Il existe une série d’initiatives que vous pouvez prendre et qui vous permettront d’améliorer en permanence vos processus ou d’utiliser continuellement de meilleurs outils. Mais dans tous les cas, mesurer et qualifier l’amélioration de façon objective est absolument nécessaire.
En décidant de mettre en place un processus pour devenir plus efficace et plus productif, il est bon de se repositionner par rapport à la situation dans laquelle on se trouve. Il s’agit d’utiliser une carte ou un plan. Il est très difficile de se rendre compte de la direction que l’on veut prendre, sans savoir d’abord où l’on se situe.
La courbe d’apprentissage du DevOps
L’une des choses que j’aime rappeler aux personnes qui embarquent dans une pratique DevOps, c’est que les premières étapes sont celles qui ont le plus d’impact. Si vous vous rappelez que notre travail consiste à organiser une grande quantité de matière première, cela signifie que des décisions importantes devront être prises. Des changements spectaculaires se feront sentir. C’est pourquoi j’aime exprimer les premiers pas comme une montée fulgurante des performances. Et au fur et à mesure que le temps passe, les gains de performance diminuent.
C’est à peu près comme la fonction ci-dessous:
Ou
Grosso modo, vous atteignez une asymptote à «5» mais les gains sont énormes dès le départ. (Je m’excuse si mes calculs ne sont pas parfaits, c’est seulement pour illustrer ce point).
Négociation
L’une des plus belles leçons que l’on peut tirer de la pratique DevOps n’est pas complètement différente de celle que l’on peut tirer de la méthodologie Agile. Bien que la négociation d’un contrat entre votre équipe et le client puisse sembler assez évidente, il existe des situations complexes, comme celle de créer une harmonie, au sein des membres de l’équipe. Par exemple, si vous prenez une douzaine de personnes créatives et que vous leur demandez de trouver un nom pour leur équipe, l’exercice peut prendre plus d’une heure. Non pas que l’exercice en lui-même soit difficile, mais l’élaboration d’un protocole pour décider «comment décider» peut prendre du temps. Il s’agit donc de la première étape de notre parcours.
La majorité n’a pas toujours raison
Contrairement à ce que l’on pourrait croire, ce n’est pas parce que la majorité des membres d’une équipe se met d’accord sur un principe que cela signifie que c’est la bonne solution. L’impopularité d’une opinion peut être source de frustration pour le collaborateur qui se retrouve écarté par ses considérations. Et si cette personne devient un perturbateur du projet, tous vos efforts risquent d’être vains. Vous devez donc pondérer vos décisions et vos accords au sein de l’équipe. C’est une vraie surprise pour mes clients lorsqu’ils découvrent ce phénomène au sein d’une de leurs équipes. Un expert en Sécurité peut contrecarrer tous types projets irréalistes. Croyons-nous qu’il est seul à pouvoir identifier des «non-sens»?
Où allons–nous ?
Comme je l’ai expliqué précédemment, DevOps n’est pas une méthodologie scientifique fixe, c’est une collection de bonnes pratiques. Par conséquent, il est également opportun de définir ce que cela signifie pour l’équipe avec laquelle je travaille, à n’importe quel moment donné. Et cette définition doit être suffisamment claire pour que toute nuance soit comprise et acceptée par la suite. Cet aspect de DevOps dépend entièrement de la composition de l’équipe. Et c’est l’une des choses que je préfère faire découvrir aux gens. C’est comme cela que nous obtenons des objectifs concrets, prouvant que nous allons dans la bonne direction.
Ateliers sur la feuille de route SecDevOps
Après avoir décidé de la trajectoire de notre aventure DevOps, nous devrons trouver un moyen d’affiner et de viser une destination plus précise ou plus appropriée. Comprenez bien que ceci est une métaphore. Plus concrètement, puisque nous essayons de développer une méthode pour améliorer l’efficacité, la vélocité et la qualité, nous allons devoir comprendre quelles sont les techniques qui nous aideront à y parvenir. J’établis ainsi des sessions de travail avec certains concepts clés «universels» ainsi que d’autres plus spécifiques à l’équipe, qui doivent être acquis par tous. Bref, il n’est pas utile de nantir l’équipe d’outils ou de moyens qui ne leur serviraient que théoriquement. Dans tous les sens, ceci devient une orientation requise.
Les compétence «T»
Elles sont appelées ainsi pour deux raisons. La première étant qu’elles sont transversales. Nous avons besoin de personnes conscientes des besoins et des défis qui affectent leurs coéquipiers. En cas de besoin, vous devriez même pouvoir compter sur un remplaçant, aisément disponible du fait de cette proximité. Ensuite, parce que la lettre «T» illustre la qualité de ce que l’on recherche : une personne possédant une base solide dans une compétence particulière et la capacité de couvrir «horizontalement» un large spectre d’autres compétences, si cela s’avère nécessaire. Cela peut sembler idéaliste, mais les gens se développent lorsqu’on leur donne la liberté les opportunités pour le faire. Ce qui devient complexe, c’est de trouver les bonnes opportunités, celles qui profiteront à l’équipe et au projet.
La matrice des compétences
Lorsque vous connaissez vos forces et vos faiblesses, documentez-les et essayer de combler vos lacunes. Cela paraît simple, mais savoir les documenter de façon suffisamment claire pour pouvoir les exploiter de manière adéquate est un véritable défi. N’oubliez pas que nous avons un sous-objectif qui consiste à s’assurer que toute l’équipe s’entend pour développer une solution technologique intelligente, mais également pour assumer la responsabilité de son fonctionnement, de sa disponibilité et de sa sécurité. Garantir que tout le monde soit d’accord et capable de mener à bien un tel projet est un autre défi que je dois relever et que je fais avec vigueur et plaisir.
Les prochaines étapes de notre voyage SecDevOps
La liste des ateliers disponibles est loin d’être exhaustive ici, mais il suffit de se dire qu’une fois que nous avons trouvé notre direction, cela devient beaucoup plus facile de s’en rapprocher. Jusqu’à présent, nous avons parlé de la «volonté» de l’équipe, c’est pourquoi dans notre prochain article, nous mettrons l’emphase sur les «moyens» avec lesquels nous allons nous mettre en route.
Nous apprendrons comment les travaux en cours, les travaux non planifiés et les contraintes peuvent tous être mis à profit pour améliorer nos prestations. Comment la visibilité et la transparence, certaines de nos valeurs d’entreprise favorites chez Emyode, peuvent bénéficier au voyage DevSecOps.