「DevSecOpsとは、セキュリティを、最後にテストするものでも、脆弱性が疑われる報告書に埋もれるものでもなく、開発プロセスの一部とすることを意味します。そのためには、まずあらゆる角度からシステムを攻撃して弱点を明らかにし、起こりうる混乱を評価することが必要です。そして、探求を続けるのです」と、情報セキュリティのベテランであり、大手企業で制限なくすべてを攻撃するレッドチームを編成したIan Allisonは言います。Allison氏は、「攻撃者の視点からインフラとコードを見ることで、アプリケーション、サービス、データセンター、クラウドの弱点と強みをよりよく理解することができます。現実の攻撃者は、範囲を気にすることはありません。攻撃者は、本番環境と品質保証やテスト環境とを区別しないのですから、私たちもそうすべきです」と述べています。

攻撃は避けられないものであり、現実の攻撃者は生産を停止させることも辞さないため、開発者は攻撃者が与えうる損害を最小限に抑え、封じ込め、修復することを目指さなければなりません。防衛は、しばしばブルーチーム（軍隊から借用した用語）が担当します。レジリエンスを構築するためには、システムは継続的な開発と更新が可能なように構築されるべきで、脆弱性のパッチや被害の修復だけでなく、機能の追加や改良も必要です。

ミッションクリティカルなシステムにとって、これは高尚な目標以上のものです。ソフトウェアの更新のために送電網や走行中の自動車を停止させることは、現実的な選択肢ではありません。最終的には、複数のクラウド上の異なるプラットフォームで多くの制御を行う大規模システムである戦闘機を、飛行中に新機能にアップデートするという最近の実験のように、機能を停止することなくアップデートが行われることが望ましいのです。「私たちが目指しているのは、セキュリティを損なうことなくダイナミックなアップデートを行うことです」とトンプソンは説明します。

もちろん、それは言うほど簡単なことではありません。多くのエッジデバイスの最大の問題の一つは、その更新性の低さです。例えば、産業用や医療用システムの制御装置の多くは、閉じたネットワークの外で接続されることを想定しておらず、脆弱性が蔓延しています。インターネットに接続することを前提に設計されたものも含め、あまりにも多くの「スマート」な消費者向け製品が、セキュリティを考慮せずに作られています。エンジニアリングシステムには、それを知っている人（不満を持つ従業員、請負業者、スパイ）なら誰でも、現場でも遠隔地でも、地球を破壊する機器を制御できるパスワードが1つあるだけかもしれません。また、多くのIoTデバイスは、たとえ隔離された場所にあったとしても、物理的にアップデートする必要があります。