Информационные технологии. DevOps. Создание надёжных и безопасных систем

Зачем вам этот стандарт

Про DevOps написаны горы, а документа-первоисточника у него нет: ни владельца, ни свода, который кто-то развивает и за который отвечает. ISO/IEC/IEEE 32675 — единственный нормативный документ, у которого DevOps стоит прямо в названии1.

Дальше начинается место, где ошибаются чаще всего. Стандарт не объявляет себя определением DevOps и не владеет понятием. Он нормирует внедрение: дословно — «requirements and guidance on the implementation of DevOps to define, control, and improve software life cycle processes»2. Внедрение того, что и без него сложилось, — а не сам подход.

Нужен, если DevOps у вас должен кому-то доказываться: аудитору, заказчику с требованиями к безопасности поставки, службе внутреннего контроля. Стандарт переводит культурный лозунг в требования жизненного цикла, на которые можно сослаться.

Не нужен, если вы ищете, с чего начать. Восемьдесят одна страница нормативного текста за 227 франков1 — не то, что читают на старте. Для этого берут книги и отраслевые отчёты, а стандарт достают, когда доходит до проверки.

Что внутри

Восемьдесят одна страница1. Верхний уровень по формулировке владельца — процессы, виды деятельности и задачи полного жизненного цикла ПО: «conception, development, production, utilization, support, and retirement»2. Сюда же входят приобретение и поставка ПО, «whether performed internally or externally to an organization»2.

Предмет, одним предложением, вынесен в название: сборка, упаковка и развёртывание, выполняемые надёжно и безопасно. Со стороны IEEE сказано жёстче и, пожалуй, честнее: «Establishing effective compliance and information technology (IT) controls is the focus»4. Внимание — соответствию и средствам контроля. Не на скорости поставки, за которой DevOps обычно и приходят.

Отдельно заявлены практикиПрактикаНабор ресурсов организации для выполнения работы определённого типа.ITIL 4 совместной работы: «practices to collaborate and communicate effectively in groups including development, operations, and other key stakeholders»2. То есть организационная стыковка разработки и эксплуатации из предмета стандарта не выброшена.

Состав по оглавлению из бесплатного предпросмотра владельца7. Шесть разделов и приложение:

• Overview — область применения, назначение, как читать слова «должен» и «следует»;
• Normative references — на что стандарт опирается;
• Definitions, acronyms, and abbreviations — словарь;
• Conformance — что считается соответствием, о нём ниже отдельно;
• DevOps concepts — ценностьЦенностьПольза и выгода, которые сторона получает от услуги; величина субъективная.ITIL 4, книга ITIL Foundation DevOps, принципы, культура организации, связь с процессами жизненного цикла;
• Relation of software life cycle processes to DevOps — самый практический раздел: как DevOps ложится на группы процессов;
• Annex A — библиография, справочное.

Формулировки самих требований остаются за оплатой: предпросмотр показывает оглавление и образец, а не текст7.

Ключевые понятия

Внедрение, а не определение. Ключевое слово в описании стандарта — implementation2. Спор «что такое настоящий DevOps» этот документ не решает и не пытается.

Сборка, упаковка, развёртывание. Три операции, вокруг которых построен весь текст. Не разработка целиком и не эксплуатация целиком — именно путь от собранного артефакта до работающей системы.

Соответствие и средства контроля в ИТ. То, ради чего стандарт вообще понадобился: показать, что быстрая поставка не отменяет контролируемости4.

Руководящие принципы

Пять принципов, названных в самом стандарте4:

• mission first — задача организации впереди удобства отдельных команд;
• customer focus — мерило ценности снаружи, а не внутри;
• left-shift — проверки сдвигаются к началу, а не к приёмке;
• continuous everything — непрерывность распространяется на всё, не только на сборку;
• systems thinking — оптимизируется целое, а не отдельный участок.

Английские названия оставлены как в источнике, пояснения наши: официального русского текста у стандарта нет5.

На этом легко потерять день. Перечня нет на карточке ISO — он есть только на витрине IEEE4. Один документ, две карточки, разный объём сведений: идя по линии ISO, принципы не находишь вовсе и решаешь, что их нет.

Чем отличается от соседей

Ближайшие соседи — два стандарта того же комитета. ISO/IEC/IEEE 12207 — про жизненный цикл программного обеспечения, ISO/IEC/IEEE 15288 — про жизненный цикл систем. 32675 не заменяет ни один из них, а пристраивается сбоку. Со стороны IEEE прямо назван ISO/IEC/IEEE 12207:20174.

Разделение простое. 12207 отвечает на вопрос «какие процессы должны быть». 32675 — «как их вести, если вы работаете по DevOps».

Видно это и изнутри документа. Раздел про связь с жизненным циклом разбит на те же четыре группы процессов, которыми пользуются 12207 и 15288: соглашения с заказчиками и поставщиками, поддержка проектов со стороны организации, техническое управление и сами технические процессы7. То есть стандарт не строит свою процессную модель, а раскладывает DevOps по чужой, уже принятой.

С самим DevOps как явлением стандарт тоже не совпадает. Термин ведёт отсчёт с 2009 года, стандарт вышел в 2022-м3. Тринадцать лет разрыва — и за эти годы DevOps сложился без всякого стандарта.

Что обязательно, а что на выбор

Стандарт содержит и то и другое: «requirements and guidance»2 — требования и рекомендации. Но интереснее, что под соответствие отведён отдельный раздел, и в нём различаются три способа соответствовать7:

• по результатам — важно, что достигнуто;
• по задачам — важно, что выполнено;
• подогнанное под организацию — стандарт прямо допускает, что вы берёте не всё.

Третий пункт снимает главный страх перед нормативным документом. Отдельно оговорено, как читаются слова «должен» и «следует»7 — то есть граница обязательного проведена внутри самого текста, а не оставлена на усмотрение читателя.

Где именно она проходит по каждому требованию, предпросмотр не показывает. Для ссылки на конкретное обязательство нужен купленный текст.

Как менялся

Здесь развилка в датах, из-за которой стандарт регулярно старят или молодят на год.

Первоисточник — IEEE 2675-2021, опубликован 16 апреля 2021 года, статус «Active Standard»4. ISO приняла этот документ и издала под своим обозначением: ISO/IEC/IEEE 32675:2022, публикация 30 августа 2022 года3.

Редакция первая и пока единственная. На стадию систематического пересмотра стандарт не выставлен, предшественника и преемника у него нет3.

В России

ГОСТ-аналога нет. Поиск по базе Росстандарта даёт ноль по запросам «DevOps» и «ДевОпс»6. По числу «32675» находится один документ — и это ГОСТ 32675-2014 про стеклянную тару, совпадение только по номеру6. За аналог его принимать нельзя, а перепутать легко.

Официального перевода тоже нет: на русской версии карточки стандарт помечен «недоступно на русском языке»5. Читать придётся по-английски.

Где взять первоисточник и сколько стоит

У ISO — 227 франков, форматы PDF и бумага1. Бесплатно доступны только предпросмотр и фрагмент.

У IEEE документ продаётся через партнёра и по подписке; числа на странице владельца нет4. То есть сравнить две цены по первоисточникам не получается — подтверждённая цифра одна, франковая.

Что покрывает из шестидесяти практик

Чем это автоматизируют

Классов инструментов стандарт не называет, так что здесь мы говорим от себя. Под предмет 32675 попадают системы непрерывной сборки и поставки, хранилища артефактов и образов, описание инфраструктуры кодом, управление секретами и проверки безопасности, встроенные в конвейер сборки.

Важное следствие из того, что стандарт смотрит на средства контроля: инструмент годится не тем, что ускоряет поставку, а тем, что оставляет след — кто собрал, из чего, кто допустил до среды.

Где ломается применение

Дальше — наблюдения, которых в стандарте нет.

Стандарт принимают за определение DevOps. Самая частая ошибка, и она дорогая: организация пишет во внутренних документах «DevOps по ISO», а потом выясняется, что стандарт описывает внедрение, а не подход.

Покупают, не понимая, что покупают. Восемьдесят одна страница на английском без русского перевода — это несколько недель работы, чтобы просто разобрать текст.

Путают с ГОСТ 32675. Совпадение по номеру со стандартом на стеклянную тару похоже на анекдот. Ровно до той минуты, когда ссылка уходит в договор.

С чего начать

Не с покупки. Сначала откройте предпросмотр на карточке владельца1 и посмотрите, о том ли это, что вам нужно. Потом ответьте себе на один вопрос: кому и что вы собираетесь доказывать. Если ответа нет — стандарт вам сейчас ни к чему, начинайте с практик.

Если ответ есть, читайте вместе с ISO/IEC/IEEE 12207: без процессной рамки требования 32675 повисают в воздухе.

Что читать дальше