Jak začít s DevSecOps
Komplexní průvodce pro začátečníky - co je DevSecOps, proč je důležité a jak začít implementovat security do vašeho DevOps procesu.
Co je DevSecOps?
DevSecOps je přístup k vývoji software, kde je bezpečnost integrována do každé fáze DevOps procesu. Místo toho, aby bezpečnost byla "přidána" na konci projektu, je součástí od samotného začátku. DevSecOps automatizuje bezpečnostní kontroly a dělá každého v týmu zodpovědného za bezpečnost.
Proč se učit DevSecOps?
- Rostoucí poptávka po dovednostech: V ISC2 Cybersecurity Workforce Study 2025 uvedlo 59 % respondentů kritický nebo významný nedostatek dovedností ve svém týmu a 95 % alespoň jeden. Nejčastěji chybí znalosti AI (41 %) a cloud security (36 %).
- Méně zranitelností v produkci: NIST SSDF (SP 800-218) doporučuje začlenit bezpečnostní praktiky do každé fáze vývoje, aby vydaný software obsahoval méně zranitelností a dopad těch neodhalených byl menší
- Rychlejší release: Automatizované security testy nebrzdí vývoj
- Compliance: Snadnější plnění regulatorních požadavků. NIS2 v Česku provádí zákon č. 264/2025 Sb., o kybernetické bezpečnosti, účinný od 1. 11. 2025. Platí také GDPR a pro platební data PCI DSS v4.0.1.
Zajímavost
Aktuální OWASP Top 10:2025 přinesl dvě nové kategorie: A03 Software Supply Chain Failures (rozšiřuje dřívější A06:2021 Vulnerable and Outdated Components) a A10 Mishandling of Exceptional Conditions. Na prvním místě zůstává Broken Access Control, do které nově spadá i SSRF.
Předpoklady pro DevSecOps
Co byste měli vědět před tím než začnete:
- Základy DevOps: CI/CD pipeline, Git, Docker, cloud basics
- Linux command line: Základní práce s terminálem
- Programování: Alespoň jeden jazyk (Python, JavaScript, Go)
- Networking basics: TCP/IP, DNS, HTTP/HTTPS
Security předpoklady - netřeba!
Pokud nemáte security background, nevadí. DevSecOps kurzy obvykle začínají security fundamentals, takže se naučíte všechno potřebné od základů.
DevSecOps Learning Path
Doporučená cesta učení
1. Security Essentials
Základy bezpečnosti
- Typy bezpečnostních útoků
- OWASP Top 10:2025
- Security in Layers (Defense in Depth)
- Common vulnerabilities (SQL injection, XSS, etc.)
2. DevSecOps Fundamentals
Úvod do DevSecOps
- Co je DevSecOps a proč
- Shift Left Security
- Security automation
- Role DevSecOps engineera
3. Application Security
Zabezpečení aplikací
- SAST - statická analýza kódu
- SCA - analýza závislostí
- DAST - dynamické testování
- Container security
4. Infrastructure Security
Zabezpečení infrastruktury
- Cloud security (AWS/Azure/GCP)
- IAM a access management
- IaC security (Terraform)
- Network security
5. Platform Security
Zabezpečení platforem
- Kubernetes security
- Service mesh (Istio)
- Secrets management
- Policy as Code
Klíčové DevSecOps nástroje
Semgrep / SonarQube
Statická analýza zdrojového kódu pro detekci zranitelností. Open source jádro je Semgrep Community Edition.
- Detekce bezpečnostních chyb v kódu
- Custom pravidla
- CI/CD integrace
Snyk / Dependabot
Analýza third-party závislostí a jejich zranitelností.
- CVE detection
- Automatické fix PR
- License compliance
Trivy
Skenování container images, souborových systémů, Git repozitářů a Kubernetes.
- Image vulnerability scanning
- IaC scanning
- Secret detection
Gitleaks / TruffleHog
Detekce secrets a credentials v kódu. Gitleaks je podle autora funkčně uzavřený a dostává už jen bezpečnostní opravy.
- Pre-commit hooks
- CI/CD scanning
- Git history scan
Jak implementovat DevSecOps - krok za krokem
- Začněte s jednoduchým: Přidejte secret detection do CI/CD (Gitleaks nebo TruffleHog)
- Přidejte SAST: Semgrep nebo podobný nástroj
- Přidejte SCA: Dependabot nebo Snyk pro dependency scanning
- Container scanning: Trivy pro Docker images
- Centralizujte findings: DefectDojo nebo podobná platforma
- Definujte policy: Co blokuje pipeline, co je jen warning
- Měřte a zlepšujte: Sledujte metriky, snižujte počet findings
Tip pro začátek
Nezačínejte všechno najednou. Přidejte jeden nástroj, nechte tým zvyknout, pak přidejte další. Postupná implementace je úspěšnější než big bang.
Pinujte akce na commit SHA
Bezpečnostní nástroje jsou také součástí dodavatelského řetězce. V březnu 2026 útočníci přepsali verzní tagy akce aquasecurity/trivy-action a vydali škodlivé Trivy v0.69.4 (GHSA-69fq-xp46-6x23). GitHub doporučuje odkazovat na akce plným commit SHA místo měnitelného tagu.
Další kroky
Po přečtení tohoto průvodce doporučujeme:
- Naučte se OWASP Top 10: Náš článek o OWASP Top 10
- Pochopte Defense in Depth: Security Best Practices
- Nastavte první scanning: SAST - Statická Analýza
- Zabezpečte pipeline: CI/CD Security
- Potřebujete pomoc s implementací? Konzultace pro firmy - nový projekt, existující infrastruktura i startupy
Zdroje
- ISC2: ISC2 Study Finds Cybersecurity Budget Constraints Remain, But Do Not Worsen, While Skill Needs Grow (2025 Cybersecurity Workforce Study) (prosinec 2025)
- NIST: SP 800-218, Secure Software Development Framework (SSDF) Version 1.1 (únor 2022)
- NÚKIB: Regulace a kontrola (zákon č. 264/2025 Sb., o kybernetické bezpečnosti) (říjen 2026)
- PCI Security Standards Council: Request for Comments: PCI Data Security Standard (PCI DSS) v4.0.1 (červen 2026)
- OWASP: Introduction - OWASP Top 10:2025 (říjen 2026)
- Aqua Security / GitHub: GHSA-69fq-xp46-6x23, Trivy ecosystem supply chain temporarily compromised (CVE-2026-33634) (březen 2026)
- GitHub Docs: Secure use reference (GitHub Actions) (říjen 2026)
- Aqua Security: Trivy (GitHub repository) (říjen 2026)
- Gitleaks (GitHub repository) (říjen 2026)
- Semgrep: Semgrep Community Edition (GitHub repository) (říjen 2026)
- DefectDojo (GitHub repository) (říjen 2026)