Sicherheitskonzept für lokale Docker-Installationen in der Entwicklungsabteilung?

Hallo zusammen,

ich leite eine kleine IT-Abteilung in einer mittelständischen Softwareschmiede und mein Team arbeitet gerade schwer daran, die Versäumnisse der vergangenen Jahre aufzuholen. Vor allem die IT-Sicherheit ist wie zu erwarten eine Katastrophe. Zusätzlich sind Entwickler - abgesehen von Geschäftsführern - ohnehin die schwierigste Klientel, die man sich vorstellen kann. Sie brauchen alles, maximale Rechte und keine Einschränkungen, denn sonst fühlen sie sich in ihrer Kreativität eingeschränkt.

Nichtsdestoweniger habe ich ein dickes Fell und drücke die IT-Sicherheit durch. Auch im Client-Bereich. Es ist nämlich durchaus möglich, auch Entwickler-PCs mit einem gewissen Sicherheitsstandard zu betreiben. Das ganze ist natürlich immer ein Kampf gegen die ständigen neuen Anforderungen, die an unseren Support branden.

Allerdings müssen natürlich auch wir mit der Zeit gehen. Die Architektur unseres Produkts soll auf Mircoservices migriert werden, was auch mit einer Containerisierung einhergeht. Meine Herangehensweise wäre, zentral die entsprechende Infrastruktur so bereit zu stellen, das die Entwickler auf einem Server mittels Webinterface (z.B. Portainer) ihre Container testen können. Optimalerweise in einem eigenen Netzwerksegment so weit wie möglich zugenagelt. Aus der Entwicklungsabteilung wird natürlich damit argumentiert, dass dies zu kompliziert wäre weil sie Container kurzer Taktung erstellen, testen und wieder vernichten müssen. Sie wollen Docker direkt auf den Rechnern der Entwickler installierten. Natürlich mit allen nötigen Berechtigungen und den damit einhergehenden Sicherheitsproblemen.

Hat jemand von euch eine ähnliche Situation und kann mir erzählen, wie ihr das angegangen seid? Wie sieht euer Sicherheitskonzept (technisch und organisatorisch) aus, um den Entwicklern so viele Freiheiten wie möglich zu lassen? Wie verhindert ihr, dass alle möglichen Bullshit-Container aus dem Internet heruntergeladen und ausgeführt werden. Habt ihr - abgesehen von den üblichen Argumenten bezüglich Sicherheit und Datenschutz - vielleicht noch Munition für oder gegen dieses Konzept?

Mir selbst fehlt hier leider die Erfahrung und auch ansonsten ist das Unternehmen in diesem Bereich nicht gerade mit einem Übermaß an Fachwissen gesegnet. Im Großen und Ganzen beläuft sich die Anforderungen darauf, dass "Container die Zukunft sind und wir das machen müssen". Die Kollegen sehen nicht die technischen und organisatorischen Albtraum, der sich hier aufspannt sondern glauben, es wäre mit einem Doppelklick auf install.exe getan. Insofern bin ich dankbar für Ideen und Lösungskonzepte.

Danke schonmal vorab für den Input. Ich bin gespannt auf die Diskussion.
VG
Daniel