2025/08/26

「DevSecOps 工具可以幫助團隊發現問題，但最終解決安全問題的還是人。」——《DevSecOps实战》（本書為簡體中文作者出版書籍，引用內文則經過轉譯為正體中文。）

雖然我們可以在 CI/CD Pipeline 中加入各種不同類型的測試驗證工具；

但別忘了當檢測出問題時，還是需要有一位『人』去負責解決的。

當 Pipeline 亮紅燈時，如果是某一個人的 Commit 導致程式碼編譯失敗，那當然開發團隊及該位開發者需要挺身而出，盡快解決問題。

但如果今天是在 DevSecOps 相關的 Job 亮紅燈時？那你們是如何規範由誰去負責解決呢？

問題有可能會是已知的第三方套件漏洞？CVE？或是在 SAST 或 DAST 掃出漏洞？這些都是同樣的人去解決嗎？

如果 Security 並非你開發團隊過往擅長的領域，那麼記得要找到合適的『人』一起來解決問題。並且將這些經驗傳承且 Shift Left，讓 DevSecOps 確實成為團隊共同的責任。