Crear un lenguaje para la seguridad con Adam Jacob, de Chef

A medida que 2019 llega a su fin, repasaremos algunos episodios destacados de nuestro pódcast The Secure Developer. Lee la primera publicación aquí y la segunda aquí.

El pódcast The Secure Developer forma parte de MyDevSecOps, nuestra comunidad independiente de proveedores y enfocada en la educación sobre seguridad. La comunidad, que antes también se conocía como The Secure Developer, se reúne virtualmente a través de nuestro grupo de Slack y eventos virtuales, y en persona en los eventos de DevSecCon de todo el mundo.

Acerca de nuestro invitado

Adam Jacob es cofundador y CTO de Chef, antes conocida como Opscode, donde escribió Habitat, un proyecto de código abierto para automatizar aplicaciones. Anteriormente, Adam fundó HJK Solutions, una consultora de infraestructura automatizada. Hace poco participó en el pódcast The Secure Developer para hablar sobre:

• el mundo de DevOps

• diseñar un lenguaje en torno a la seguridad

• los beneficios de un sistema continuo para detectar vulnerabilidades

Profundicemos en la conversación.

DevOps: ¿se trata de las herramientas o de las personas?

La opinión general de la industria es que DevOps se trata más de las personas, pero Adam señala con acierto que necesariamente se trata de ambas cosas. Cualquiera puede decir que quiere tener una buena cultura en torno a DevOps. Pero, al final del día, son solo palabras. Según él: «Por lo general, es la tecnología la que refuerza esos comportamientos culturales».

Esta forma de pensar también se puede aplicar a la seguridad. Cualquiera puede decir que quiere trabajar de forma más segura, pero debe contar con la combinación adecuada de sistemas, equipos y tecnología; de lo contrario, no alcanzará sus objetivos.

Necesitas tanto las herramientas como la capacitación de tu equipo. Si tienes las herramientas, pero las personas no saben usarlas o no entienden para qué sirven, nunca alcanzarás tus objetivos de seguridad.

Crear un lenguaje en torno a la seguridad

Al hablar de seguridad, el contexto lo es todo. Adam y su equipo abordaron este tema en Chef al desarrollar InSpec, que, en esencia, es un lenguaje que permite a los miembros del equipo describir la postura de seguridad y el código. Otro desafío de la seguridad es que muchos de sus aspectos son «invisibles»: si no tienes una forma de hablar de ellos o darles seguimiento, no tendrás éxito.

La seguridad debe integrarse al proceso desde el primer día. Poder generar informes continuos de vulnerabilidades con herramientas como InSpec aporta beneficios duraderos y permite lograr cambios rápidos y medibles.

Encontrar una forma de que los desarrolladores hablen de seguridad en el lenguaje del código es invaluable, porque permite que más personas participen en el proceso de seguridad. Además, el personal de seguridad puede auditar el código en lugar de la documentación e incorporarlo todo como parte activa del modelo de implementación. Adam considera que este proceso, también conocido como SecDevOps, termina garantizando un mayor nivel de seguridad.

Implementación continua frente a entrega continua

La implementación continua de alto nivel, integrada en el código de toda tu infraestructura, te permite lograr previsibilidad. Sin embargo, la idea de «continuo» implica que debes seguir implementando. En otras palabras, puedes hacer una pausa, pero nunca detenerte. En cambio, según Adam, la entrega continua sí permite tomar descansos.

En la entrega continua, la idea es publicar cuando tenga sentido y cada vez que el negocio requiera una publicación. Esto contrasta con la implementación continua, donde la idea es publicar cada vez que haces un commit. Por eso, Adam cree que con la entrega continua hay espacio para decir: «Para publicar este proyecto, se requiere una revisión de seguridad», y aun así mantener ese proceso de forma continua. Es un matiz, pero puede ayudar a muchos equipos a replantear positivamente la relación entre desarrollo y seguridad.

Adam también señala que uno de los beneficios de la entrega y la implementación continuas es que permiten a los equipos detectar errores cuando todavía son pequeños. Esta propuesta de valor resulta muy atractiva en seguridad. Si buscas una falla de seguridad, es muy valioso tener que examinar solo un conjunto de, por ejemplo, 100 líneas de código que deben cambiar, en lugar de las 100.000 o 100 millones de líneas de código existentes.

MyDevSecOps se dedica a invitar a excelentes oradores, como Jeff McAffer, tanto a nuestras sesiones virtuales como a nuestro pódcast, The Secure Developer. Si te interesa aprender más sobre todos los aspectos de la seguridad, considera unirte a la comunidad.