Análisis de las 12 recomendaciones de Gartner para lograr un DevSecOps exitoso

«Integrar la seguridad en DevOps para implementar DevSecOps exige cambiar la mentalidad, los procesos y las tecnologías. Los líderes de seguridad y gestión de riesgos deben respetar la naturaleza colaborativa y ágil de DevOps para que las pruebas de seguridad se integren sin problemas en el desarrollo y el componente “Sec” de DevSecOps sea transparente».

Según el informe de Gartner, DevSecOps se convirtió rápidamente en una de las áreas de mayor interés en 2019. Las iniciativas de DevSecOps evolucionaron y tuvieron éxito, y dejaron aprendizajes valiosos para los analistas y otros líderes de seguridad y desarrollo. El informe más reciente de Gartner, 12 recomendaciones para lograr un DevSecOps exitoso, reúne estos aprendizajes y ofrece un análisis detallado.

Gestionar un cambio organizacional hacia DevSecOps puede ser complicado e involucrar a numerosos equipos, muchas partes móviles e incluso herramientas nuevas. Los analistas de Gartner identificaron los desafíos más comunes y ofrecieron recomendaciones para las organizaciones que buscan escalar DevOps.

Entre los temas que aborda el informe se incluyen:

• Adapta tus herramientas y procesos de pruebas de seguridad a los desarrolladores

• Deja de intentar eliminar todas las vulnerabilidades durante el desarrollo

• Primero, enfócate en identificar y eliminar las vulnerabilidades conocidas de código abierto

• No esperes usar DAST/SAST tradicional sin hacer cambios

• Capacita a los desarrolladores en programación segura, pero no esperes que sean expertos en seguridad

• Adopta un modelo de responsables de seguridad e implementa una herramienta sencilla para recopilar requisitos de seguridad

• Protege y aplica disciplina operativa a los scripts de automatización y a la postura de seguridad de la infraestructura.

• Implementa un control de versiones más sólido para todo el código y sus componentes

• Implementa la gestión de secretos

• Adopta una mentalidad de infraestructura inmutable

• Replantea cómo se gestionan los incidentes en la prestación de servicios

• Usa el aprovisionamiento dinámico de acceso para desarrolladores en DevSecOps

A continuación, profundizamos en tres de las doce recomendaciones, pero te invitamos a leer el informe completo para conocer de forma integral las mejores maneras de adoptar estas prácticas en tu organización.

Adapta tus herramientas y procesos de pruebas de seguridad a los desarrolladores, no al revés

Uno de los principios fundamentales y más conocidos de DevOps es avanzar el trabajo por el sistema lo más rápido posible. Menos conocido, pero crucial para DevOps y la seguridad de las aplicaciones, es el principio de brindarles comentarios a los desarrolladores con la misma rapidez y lo antes posible en el proceso.

El enfoque obsoleto actual de la seguridad de la información necesita renovarse. Sin embargo, transformar una organización para que adopte DevOps no es fácil: es un proceso que depende de un equipo de desarrollo adaptable y de equipos de operaciones y seguridad dispuestos a colaborar y compartir sus conocimientos. Una vez implementado el nuevo proceso, los desarrolladores pueden proteger sus aplicaciones mientras las crean y a su propio ritmo. Así, se agiliza todo el proceso y se facilita el cumplimiento.

Este enfoque que prioriza a los desarrolladores también exige revisar las soluciones de seguridad disponibles. Ante todo, estas soluciones deben estar dirigidas a los desarrolladores, como usuarios clave, aunque el presupuesto provenga del equipo de seguridad. Con el tiempo, se convertirán en la nueva norma y establecerán el estándar para nuestro enfoque futuro de DevOps.

Primero, enfócate en identificar y eliminar las vulnerabilidades conocidas de código abierto

Hay una famosa cita de Voltaire, de hace varios siglos: «Lo perfecto es enemigo de lo bueno». Sigue siendo tan cierta como entonces, sobre todo en el mundo de los negocios digitales, donde la búsqueda de una seguridad perfecta por parte de los equipos de seguridad de la información choca con la necesidad de rapidez y agilidad de la empresa y los desarrolladores.

Una vez que se implementan las herramientas adecuadas, es fácil pensar que todos los problemas se identificarán y resolverán de inmediato. Pero ni siquiera el proceso optimizado que DevOps aporta a la seguridad de una organización puede lograrlo. La situación se vuelve aún más frustrante cuando los equipos hacen sus primeras pruebas, se encuentran con una larga lista de vulnerabilidades y se preguntan: «Bueno, ¿qué corregimos primero?».

Al igual que Gartner, recomendamos convertir esa lista en una lista priorizada y más fácil de gestionar para los desarrolladores.

Adopta un modelo de responsables de seguridad e implementa una herramienta sencilla para recopilar requisitos de seguridad

Los responsables de seguridad pueden reducir la complejidad percibida de la programación segura con ejemplos prácticos e inmediatos en el código del equipo, y enfocarse en corregir los problemas de inmediato en lugar de tratar temas más abstractos y menos cercanos.

Un gran ejemplo de responsables de seguridad es el éxito de Revolut al implementar esta práctica en toda la organización. La empresa mejoró su enfoque de seguridad casi de inmediato y atribuyó buena parte de ese logro a Snyk, un socio capaz de integrarse en la empresa no solo desde el punto de vista tecnológico, sino también cultural.

Esta publicación apenas aborda la valiosa información que ofrece el informe; ¡todavía hay muchas recomendaciones por explorar!