谷歌出品的 DORA 2022年度报告出炉啦～
持续交付2.0约 4 分钟“ 软件安全供应链成为主要看点之一。并发现今年没有精英组织，同时给出了DevOps组织的四种类型。”
1
2021 年有超过 220 亿条记录因数据泄露而被曝光，一些大型公司因此受到损害，安全问题仍是企业的头等大事。鉴于此，谷歌的 DORA（DevOps 研究和评估）团队发布了一份 2022 Accelerate State of DevOps Report，重点关注安全性。此次报告基于对 1350 名专业人员的调查结果，其中 68% 从事开发、工程或 IT 运营和基础设施工作，涵盖一些大型（10,000 多名员工）和小型（20-99 名员工）组织。
2
为了分析安全与 DevOps 之间的关系，报告探讨了软件供应链安全这一主题。研究人员称，在没有 CI/CD 的情况下，采用 SLSA（软件工件供应链）框架和 SSDF（安全软件开发框架）等最佳实践是具有挑战性的。“如果没有这个关键的基础架构，组织就很难确保针对他们创建的软件工件运行一组一致的 scanners、linter 和 tests”。
数据显示，在 SLSA 和 NIST SSDF 推广的所有实践中，使用应用程序级安全扫描作为生产发布的 CI/CD 系统的一部分是最常见的做法，63% 的受访者表示这是 “非常” 或 “完全” 成立的。其次是 History preserved 和 Build script，Metadata signed 和 two-person review 则有最大的发展空间。
另一个关键发现是，软件安全与协作文化相关联。“我们发现，一个组织的应用程序开发安全实践的最大预测因素是文化，而不是技术：注重绩效的高信任、低责备的文化比注重权力或规则的低信任、高责备的文化对新兴安全实践的采用高于平均水平的可能性高 1.6 倍。”
3
报告还关注了软件交付和运营绩效。其使用四个关键指标对 DevOps 团队进行了分类：部署频率、变更前置时间、平均恢复时间和变更失败率，以及他们去年引入的第五个指标，即可靠性。 从这五个指标来看，最高分是每天交付多次部署，将变更从代码部署到生产中的时间不超过一周，一天内恢复服务，变更失败率不超过 15%。
4
报告称，总体而言今年的表现有所下降。与去年的显著区别在于，今年没有任何突出的精英组织。表现不佳的企业也有所增加，从 2021 年的 7% 增加到今年的 19%。他们推测，新冠大流行及其后遗症阻碍了创新和知识共享，从而导致高表现者和表现不佳者的数量增加；但该结论并没有实际的数据支持。
此外，云计算的使用量持续增长。公共云的使用率为 76%，高于 2021 年的 56%。只有 10.5% 的人表示根本没有使用云（包括私有云）。“使用云计算的受访者在组织绩效目标上超额完成的可能性增加了 14%”。超过 50% 的受访者使用多个云供应商，而这一群体 "表现出了 1.4 倍的组织绩效"。
5
就 DevOps 而言，软件交付绩效并不是全部——它还可以对组织的整体运营绩效做出贡献。为了更深入地研究，我们对五个指标旨在代表的三个类别进行了集群分析：吞吐量（代码更改的前置时间和部署频率的组合）、稳定性（恢复服务的时间和更改失败率的组合） ) 和运行性能（可靠性）。
6
四类DevOps组织
如上图所示，通过我们的数据分析，出现了四种不同类型的 DevOps 组织；不同类型的在实践和技术能力上存在显著差异，因此我们将它们进一步细分：
启动：这类组织在我们的任何维度上都表现得既不好也不差。该集群可能处于其产品、功能或服务开发的早期阶段。他们可能不太关注可靠性，因为他们专注于获得反馈、了解他们的产品市场契合度以及更广泛的探索。
流动：这类组织在所有特性上都表现良好：高可靠性、高稳定性、高吞吐量。只有 17% 的受访者达到了这种心流状态。
放缓：这类组织中的受访者不会经常部署，但当他们这样做时，他们很可能会成功。超过三分之一的回复属于这个集群，使其成为我们样本中最具代表性的。对于正在逐步改进的团队来说，这种模式可能是典型的（尽管远非独有），但他们和他们的客户大多对他们的应用程序或产品的当前状态感到满意。
非活跃，这类组织看起来像一个团队正在开发对他们和他们的客户仍然有价值，但但其实已不再处于积极开发中的服务或应用程序。
虽然之前的受访者遵循此指南来帮助他们获得精英地位，但针对流动队列的团队应专注于松散耦合的架构、CI/CD、版本控制和提供工作场所的灵活性。请务必查看我们的技术能力文章，其中更详细地介绍了这些能力以及如何实施它们。
我们希望 Accelerate State of DevOps 报告能够帮助各种规模、行业和地区的组织提高其 DevOps 能力，我们期待听到您的想法和反馈。如需详细了解该报告以及使用 Google Cloud 实施 DevOps，请执行以下操作：
下载报告
通过DevOps 快速检查 了解更多关于您的组织如何与您所在行业的其他人相提并论的信息
通过我们的企业指南了解有关如何在您的组织中实施 DORA 实践的更多信息
围绕高绩效团队的 DevOps 能力为您的组织建模