Google (en anglais seulement a publié ses conclusions de l’ Rapport Accélérer l’état du DevOps 2022. Le rapport de cette année s’est concentré sur la sécurité, en mettant l’accent sur le chaîne d’approvisionnement de logiciels. Le rapport a révélé une large adoption des pratiques inspectées, les organisations qui ont une culture de confiance élevée et de faible blâme ouvrant la voie à la fois en matière de sécurité et de pratiques opérationnelles.

Le rapport, qui en est maintenant à sa huitième année, a interrogé plus de 33 000 personnes. Pour cette année, l’équipe s’est concentrée sur la sécurité de la chaîne d’approvisionnement afin de mieux analyser la relation entre la sécurité et DevOps. Pour fonder cette revue, ils ont utilisé le Niveaux de la chaîne d’approvisionnement pour les artefacts sécurisés (SLSA) cadre en conjonction avec le NIST Cadre de développement logiciel sécurisé (SSDF). Ces deux cadres fournissent un certain nombre de pratiques, techniques et non techniques, sur lesquelles les répondants ont été interrogés.

Le rapport a révélé que la majorité des répondants ont déclaré avoir adopté au moins partiellement toutes les pratiques demandées. L’utilisation de l’analyse de sécurité au niveau de l’application dans le cadre de leurs pipelines CI/CD était la pratique la plus couramment utilisée, 63 % des répondants déclarant que cela était « très » ou « complètement » établi. Les pratiques de préservation de l’historique du code et d’utilisation de scripts de build sont également très établies. La signature des métadonnées et l’exigence d’un processus d’examen à deux personnes se classaient moins bien dans les réponses.

L’une des principales conclusions est que le plus grand prédicteur des pratiques de sécurité logicielle d’une organisation n’était pas technique, mais plutôt culturel. Exploitant Topologie organisationnelle de Westrum, les cultures à forte confiance et à faible blâme axées sur la performance étaient beaucoup plus susceptibles d’adopter des pratiques de sécurité émergentes que les cultures à faible confiance et à blâme élevé axées sur le pouvoir ou les règles. Derek DeBellis, responsable de la recherche DORA, et Clair Peters, responsable de la recherche DORA, partagent également que :

Les résultats de l’enquête indiquent que les équipes qui se concentrent sur l’établissement de ces pratiques de sécurité ont réduit l’épuisement professionnel des développeurs et sont plus susceptibles de recommander leur équipe à quelqu’un d’autre.

Cette constatation s’inscrit dans la lignée d’une autre étude de deux ans réalisée par Google. Cette étude a également révélé que les équipes très performantes ont besoin d’une culture de confiance et de sécurité psychologique associée à un travail significatif et bien défini. Le État du DevOps 2019 a révélé qu’une culture de sécurité psychologique est prédictive de la performance de la livraison de logiciels, de la performance organisationnelle et de la productivité générale.

Le rapport utilise cinq mesures clés pour classer les équipes en tant qu’élites, hautes, moyennes ou peu performantes en fonction de leur fréquence de déploiement, du délai de changement, du temps moyen de restauration, du taux d’échec des modifications et de la fiabilité. La fiabilité a été ajoutée en tant que mesure clé l’année dernière, passant de la seule question de la disponibilité, afin de mieux couvrir davantage d’aspects de l’ingénierie de la fiabilité.

Le rapport a également révélé que les équipes les plus performantes sont à leur plus bas niveau en quatre ans, sans équipes d’élite performantes cette année, et une augmentation subséquente du nombre de personnes peu performantes. Plus d’équipes ont atterri en tant que moyennes performances cette année que l’année précédente, ce qui montre une tendance générale vers des pratiques de livraison de logiciels légèrement plus élevées. L’équipe prévoit d’autres recherches sur ce changement, mais émet actuellement l’hypothèse que la pandémie pourrait avoir eu un impact sur la capacité d’innovation et de collaboration des équipes.

Le rapport Accelerate State of the DevOps 2022 est maintenant disponible à télécharger à partir de Google.