Die Umfrage ergab, dass der zunehmende Einsatz von DevOps und die Implementierung neuer Tools zu weitreichenden Veränderungen der Tätigkeitsbereiche, der Auswahl an Tools sowie der Organigramme innerhalb der Arbeitsteams von Entwicklern, Sicherheitsexperten und Operations-Teams geführt haben. Ausserdem können die meisten Unternehmen durch DevOps ihren Code schneller veröffentlichen.

Zudem verdeutlichte die Untersuchung, dass zwischen den für die Sicherheit zuständigen Teams und anderen beteiligten Teams Uneinigkeit darüber herrscht, wer konkret für die Sicherheit bei der Software-Entwicklung verantwortlich ist.

Michael Friedrich, Developer Evangelist bei GitLab: "Der DevSecOps 2020-Bericht zeigt, dass sich die Rollen ändern. Entwickler sind mit leistungsstarken Tools wie automatisierter Code-Sicherheit und Dependency-Scanning ausgestattet worden. Operations-/Site Reliability Engineering (SRE)-Teams können die Verwaltung von Zugangsdaten und Passwörtern einfacher in den DevSecOps-Workflow integrieren. Monitoring hat sich von CI/CD-Pipelines zu Application-Performance-Monitoring in verteilten und hochverfügbaren Umgebungen verlagert und ermöglicht Gesundheits- und Performance-Reporting auf Git-Commit-Basis. Auch die DACH-Region beginnt, die Leistungsfähigkeit von Kubernetes und Cloud-Native-Microservices zu erkennen. Mit all den Verbesserungen werden wir in Zukunft mehr automatisierte Deployments in Produktion sehen."

An der Umfrage nahmen 3.650 Entwickler aus 21 Ländern teil, rund 10 Prozent davon stammen aus Deutschland, jeweils rund 1 Prozent aus Österreich und der Schweiz. Damit stellt die DACH-Region nach der USA mit 19 Prozent den zweitgrössten Anteil der Beteiligten (12 Prozent), gefolgt von Indien mit rund 11 Prozent. (Deutschland allein rangiert hiermit auf dem dritten Platz.)

Die Adoptionsraten von DevOps steigen: 25 Prozent der Unternehmen befinden sich im "Sweet Spot" von DevOps mit drei bis fünf Jahren Erfahrung. Weitere 37 Prozent sind auf dem Weg dahin und verfügen über ein bis drei Jahre Erfahrung.

Die traditionellen Grenzen zwischen Entwickler- und Operationsteams in der Softwareentwicklung verschwimmen: 35 Prozent der Entwickler geben an, dass sie die Infrastruktur definieren und/oder schaffen, auf der ihre Anwendung ausgeführt wird. Weitere 14 Prozent überwachen und reagieren unmittelbar auf diese Infrastruktur - eine Rolle, die traditionell das Operationsteam innehält.

Da immer mehr Unternehmen DevOps verwenden, verschieben sich zunehmend die Rollen der Entwicklungsteams, da sich die Verantwortlichkeiten überschneiden. 70 Prozent der Operations-Experten gaben an, dass Entwickler ihre eigenen Umgebungen bereitstellen können.

Fast 83 Prozent der Entwickler berichten, dass sie nach der Einführung von DevOps in der Lage sind, Code schneller freizugeben.

CI/CD verkürzt nachweislich auch die Zeit für das Erstellen und Bereitstellen von Anwendungen. 38 Prozent gaben an, dass ihre DevOps-Implementierungen CI/CD enthalten. Das Testen hat sich jedoch nach Angaben von 47 Prozent der Befragten das zweite Jahr in Folge als wichtigster Engpass herausgestellt.

Da die Unternehmen einheitlichere und vereinfachte DevOps-Toolchains entwickeln, profitieren die befragten Unternehmen nun vom kontinuierlichen Einsatz [continous deployment], bei dem Softwarefunktionen häufig über automatisierte Deployments bereitgestellt werden können. Rund 60 Prozent der befragten Unternehmen nehmen nun mehrmals am Tag, einmal am Tag oder einmal alle paar Tage einen Einsatz vor - ein starker Anstieg gegenüber den 45 Prozent der letztjährigen Umfrage.

Es herrscht jedoch Verwirrung darüber, wer tatsächlich für die Sicherheit verantwortlich ist - so gaben 25 Prozent der Entwickler an, dass sie sich allein für die Sicherheit verantwortlich fühlen - während dies Tester zu 23 Prozent und Operations-Teams zu 21 Prozent tun.

Die Sicherheitsteams der Unternehmen scheinen der Meinung zu sein, dass die Verantwortung für die Sicherheit während der Software-Entwicklung breiter gefächert werden sollte: Während 33 Prozent der Mitglieder des Sicherheitsteams sagen, dass sie für die Sicherheit verantwortlich sind, sind fast ebenso viele (29 Prozent) der Meinung, dass jeder für die Sicherheit verantwortlich sein sollte.

Wie bereits bei der Umfrage im letzten Jahr, gehen Sicherheitsteams davon aus, dass Entwickler Fehler nicht früh genug im Entwicklungszyklus finden. Über 42 Prozent gaben an, dass Tests immer noch zu spät im Lebenszyklus stattfinden, während 36 Prozent angaben, dass es schwierig ist, entdeckte Schwachstellen zu verstehen, zu verarbeiten und zu beheben, und 31 Prozent fanden, dass die Priorisierung der Schwachstellenbehebung ein harter Kampf sei.