Cómo Lunar adelantó la seguridad mientras construía un banco nativo de la nube

En SnykCon 2021, hubo varias charlas reveladoras de empresas que lograron crear programas de seguridad de aplicaciones (AppSec) exitosos. La presentación de Kasper Nissen, arquitecto principal de plataformas en Lunar y embajador de la Cloud Native Computing Foundation (CNCF), no fue la excepción.

En esta publicación, repasamos la charla de Nissen sobre cómo su equipo de seguridad en Lunar logró adelantar la seguridad mientras construía un banco nativo de la nube. Explica qué significa adelantar la seguridad, cómo garantizar la responsabilidad sobre una arquitectura de microservicios, cómo empoderar a los desarrolladores con herramientas de seguridad y mucho más.

De startup fintech a banco nativo de la nube

Lunar comenzó como una startup fintech que ofrecía una aplicación de banca móvil basada en un banco existente de los países nórdicos. Sin embargo, en 2020 Lunar hizo la transición para convertirse en un banco oficial con su propia licencia bancaria. Esto significa que ahora Lunar es un banco totalmente nativo de la nube que atiende a clientes en Dinamarca, Noruega y Suecia.

Cuando empezamos, el desafío era cómo podíamos construir realmente un banco en el siglo XXI. Por eso elegimos operar todo con tecnologías nativas de la nube y una arquitectura de microservicios totalmente autónoma.

Seguridad ágil y nativa de la nube

Además de adoptar una arquitectura nativa de la nube con contenedores, infraestructura como código (IaC) y otras tecnologías modernas, Lunar reconoció la necesidad de mejorar su enfoque de seguridad de aplicaciones. Según Nissen, la empresa necesitaba una forma de ser segura y ágil al mismo tiempo, para que Lunar pudiera competir como banco sin introducir riesgos de seguridad.

Adelantar la seguridad —es decir, implementar la seguridad en etapas más tempranas del ciclo de vida del desarrollo de software (SDLC)— le permitió a Lunar mejorar la seguridad de sus microservicios sin ralentizar el desarrollo. Dar prioridad a la seguridad fue fundamental para la transición de Lunar de startup fintech a banco legítimo.

Adelantamos la seguridad: tomamos prácticas del antiguo modelo en cascada y las aplicamos antes. La seguridad es algo que hacemos constantemente, sobre lo que recibimos comentarios y que adaptamos y corregimos según sea necesario.

Responsabilidad clara sobre los microservicios

Como ahora los desarrolladores de Lunar asumen más responsabilidad por la infraestructura en la nube, el equipo de seguridad sabía que debía aclarar quién era responsable de cada microservicio. Con la arquitectura de servicios propiedad de un único equipo (STOSA), un equipo de desarrollo gestiona cada microservicio, lo que incluye su diseño, desarrollo, pruebas, seguridad, implementación, monitoreo y más.

En una organización STOSA, el equipo responsable de un servicio tiene, en última instancia, el 100 % de la responsabilidad por todos sus aspectos. En Lunar, usamos este modelo para crear nuestra infraestructura y plataforma porque empoderamos a nuestros equipos de desarrollo para que asuman esta responsabilidad.

Empoderar a los desarrolladores con herramientas de seguridad

Lunar reconoció que entregar software seguro con rapidez requiere empoderar a sus desarrolladores para que se ocupen de la seguridad de las aplicaciones dentro de sus flujos de trabajo habituales. Por eso, Lunar se asegura de que todos los desarrolladores reciban capacitación en herramientas de seguridad que facilitan hacer lo correcto de manera predeterminada.

Nuestros desarrolladores son responsables de las vulnerabilidades de sus servicios y de las dependencias que usan. Tenemos que ayudarlos a asumir esa responsabilidad, así que les ofrecemos recomendaciones prácticas y automatización, e intentamos integrarnos con todas las herramientas de monitoreo que usan a diario.

Por ejemplo, Lunar usa Snyk para analizar automáticamente las dependencias en busca de problemas de seguridad y los contenedores. Al integrar sin fricciones el análisis de vulnerabilidades en el proceso de desarrollo, Lunar empodera a sus desarrolladores para que tomen el control de la seguridad de las aplicaciones. Así, cada microservicio es seguro de manera predeterminada.

Además, Lunar usa el complemento de Snyk para Backstage, un portal para desarrolladores que ofrece visibilidad de los proyectos de software nativo de la nube en toda la organización. Gracias a Snyk, Backstage y otras herramientas, Lunar ahora tiene un registro de auditoría claro de cada cambio en el código fuente o las configuraciones. Esto es fundamental para cumplir con los requisitos de seguridad del sector de servicios financieros.

Velocidad y seguridad, juntas

Desde que adoptó el enfoque de adelantar la seguridad, Lunar ha integrado la seguridad en un ciclo de desarrollo acelerado. De hecho, el banco realiza en promedio 25 lanzamientos a producción al día. Los desarrolladores son responsables de sus lanzamientos y se aseguran de seguir los estándares de seguridad en cada nueva compilación. Este enfoque optimizado ha sido fundamental para que Lunar cumpla los requisitos de conformidad de un banco con licencia.

Haz que sea fácil hacer lo correcto e intenta integrar la seguridad siempre que sea posible. Y cuando adelantes la seguridad, ofrece información práctica a tus desarrolladores para que realmente puedan asumir esa responsabilidad y hacerse cargo.

¿Quieres saber más sobre cómo proteger tu software fintech? Descubre cómo Snyk puede ayudarte a transformar el sector financiero, no interrumpir el trabajo de tus desarrolladores.