7 consejos de AppSec del director de seguridad de productos de Snowflake

En AWS re:Invent de este año, Mic McCully, CTO de campo en Snyk, conversó con Jacob Salassi, director de seguridad de productos de Snowflake. Hablaron sobre cómo Snowflake superó distintos desafíos de seguridad con la combinación adecuada de procesos, cambios en la cultura de la empresa y socios tecnológicos (¡incluido Snyk!). Sigue leyendo para conocer las prácticas que Jacob y su equipo establecieron para crear un programa de seguridad de aplicaciones exitoso.

Cómo estableció Snowflake las mejores prácticas de AppSec

Como empresa regulada que trabaja con datos sensibles y clientes de alto perfil —incluidas entidades gubernamentales—, el equipo de Snowflake sabía que proteger sus aplicaciones era un requisito básico. Pero para lograrlo, Jacob y su equipo debían superar varios desafíos, como conseguir el apoyo de los desarrolladores y establecer procesos coherentes. Durante su conversación con Mic en AWS re:Invent, Jacob compartió varios consejos para superar estos desafíos, basados en su experiencia con el equipo de Snowflake.

Empieza con empatía

Ante todo, un programa de seguridad de aplicaciones requiere la participación de los desarrolladores. Después de todo, los equipos de desarrollo conocen sus aplicaciones mejor que nadie y pueden implementar las mejores prácticas de seguridad desde las primeras etapas del ciclo de desarrollo.

Para conseguir el apoyo de los desarrolladores, el equipo de Snowflake tuvo que empezar con empatía: entender cómo es el trabajo de desarrollo y cuáles son las oportunidades y los desafíos que enfrentan los desarrolladores día a día. En palabras de Jacob: «Creo que lo más importante para mí siempre ha sido abordar [AppSec] desde la perspectiva de un desarrollador».

Establece un ciclo de retroalimentación

Para que esta relación entre desarrollo y seguridad fuera eficaz, el equipo de Jacob sabía que necesitaba crear un espacio dedicado al diálogo. Organizaron actividades de participación, como espacios semanales, encuestas, conversaciones individuales y actividades para crear comunidad. Jacob describió así la actitud de su equipo ante la retroalimentación: «Siempre tienes el deber de demostrar que escuchaste».

Enfócate en la excelencia en ingeniería

El equipo de Jacob también decidió crear un programa de security champions. Pero primero estableció límites claros sobre lo que los desarrolladores podían hacer y lo que debía encargarse a otras personas.

Jacob dijo: «Algo muy importante de nuestro enfoque es que hablamos de excelencia en ingeniería e intentamos hablar menos de seguridad. Y cuando cruzas la línea entre la excelencia en ingeniería y la seguridad, es cuando debes preguntarte: “¿Debería pedirle esto a un desarrollador? ¿O debería asignárselo a un ingeniero de seguridad?”. Creo que nos enfocamos mucho en preguntarnos: “¿Hasta dónde podemos llevar a un desarrollador, justo antes de cruzar la línea? ¿Y dónde está ese límite?”»

Fomenta la responsabilidad

Otro consejo de Jacob: capacita a las personas para que corrijan los problemas de seguridad de su propio trabajo, más allá de proteger el código propio y de terceros. Con esto en mente, su equipo empezó a impulsar un enfoque de infraestructura como código (IaC).

En sus palabras: «Creo que aquí todos entienden que los desarrolladores son responsables de los errores en sus repositorios. Pero ¿cuántos creen que son responsables de los errores en el servidor? Yo sí. Y probablemente muchos de ustedes han vivido situaciones en las que operaciones de seguridad u otros ingenieros de seguridad intervienen en servidores de producción que no tuvieron nada que ver con construir. No saben qué son, no los crearon y ahora tienen que intervenir en producción y cambiar paquetes… Por eso, para nosotros es fundamental preguntarnos: ¿cómo llevamos todo esto al código?»

Crea capacitaciones específicas

Jacob también destacó la importancia de ofrecer capacitaciones periódicas y específicas para cada equipo. Dijo: «Debes ofrecer capacitaciones según el rol y adaptarlas al contexto. No esperes obtener mucho valor si presentas las mismas diapositivas a todos los equipos».

Diseña toda la experiencia de seguridad

El equipo de Jacob también se enfocó en crear una experiencia de seguridad fluida para los desarrolladores, facilitándoles al máximo completar las actividades de seguridad. Para lograrlo, el equipo implementó una estrategia flexible de proveedores, que incluyó las correcciones automatizadas de Snyk en las solicitudes de extracción para el código propio y la gestión de proyectos con JIRA.

En palabras de Jacob: «Dedicamos mucho tiempo a asegurarnos de que toda la información que necesitan esté justo frente a ellos y de que no tengan que salir de donde están ni dejar lo que conocen para resolver ese problema en particular».

Documenta, documenta, documenta

Como reflexión final, Jacob mencionó la importancia de documentar todas las actividades de seguridad de aplicaciones para facilitar conversaciones y decisiones futuras. Dijo: «Algo que siempre me preocupó es que AppSec no haya conservado sus propios artefactos... Estos son datos valiosos que debes estructurar y conservar».

Cómo Snyk es socio de Snowflake para alcanzar estos objetivos

Alcanzar estos objetivos era un gran desafío, así que el equipo de seguridad de productos de Snowflake incorporó a Snyk en sus iniciativas de seguridad de aplicaciones. Snyk les proporcionó herramientas para tener éxito, entre ellas:

• Herramientas pensadas primero para los desarrolladores y diseñadas para integrarse en sus flujos de trabajo habituales

• Corrección de código propio y de terceros directamente desde las CLI de los desarrolladores

• Integración fluida con otras herramientas de su conjunto, incluida JIRA

• Detección de vulnerabilidades en las dependencias de las imágenes base y en los comandos de Dockerfile

Para conocer más sobre la colaboración entre Snowflake y Snyk, escucha la conversación completa de Jacob y Mic en AWS re:Invent 2023.

Play Video