Revivir DevSecOps: cómo el nuevo marco de Snyk fomenta la confianza y la colaboración

Ha pasado más de una década desde que DevSecOps se presentó como un enfoque transformador para el desarrollo de software, pero su adopción sigue siendo desigual. A pesar de su promesa de integrar sin fricciones el desarrollo, la seguridad y las operaciones, solo el 38 % de las organizaciones afirma automatizar por completo la incorporación de nuevos proyectos, ramas o repositorios a sus procesos de pruebas de seguridad.

Esto significa que la mayoría todavía depende de procesos manuales, que no solo ralentizan los flujos de trabajo, sino que también generan brechas críticas en la cobertura de seguridad. ¿El resultado? Fricciones persistentes entre los equipos de seguridad e ingeniería y una lucha constante por equilibrar la velocidad y la seguridad en los procesos modernos de desarrollo.

Tradicionalmente, incorporar la seguridad a los flujos de trabajo de desarrollo implica tiempos prolongados de compilación y pruebas, fallas que bloquean el trabajo e integraciones complejas, lo que genera una percepción negativa de la seguridad entre los desarrolladores. Pero no tiene por qué ser así. Al adoptar un modelo de madurez y un marco diseñados para las prácticas modernas de ingeniería y la creación de software, las organizaciones pueden mejorar la productividad y la comunicación entre los equipos de ingeniería y seguridad.

El más reciente informe técnico de Snyk, DevSecOps está muerto, explica cómo las organizaciones pueden avanzar y adoptar DevSecOps plenamente al generar confianza entre los profesionales de ingeniería y seguridad para crear aplicaciones más seguras.

Descarga el informe técnico completo aquí.

Cómo DevOps se convirtió en DevSecOps

El rol de los ingenieros de software ha cambiado significativamente desde principios de la década de 2000, con la llegada de las metodologías ágiles, la computación en la nube y el código abierto. Estos cambios dieron a los desarrolladores más flexibilidad y autonomía, y les permitieron trabajar con mayor rapidez. De ahí surgió la idea de DevOps, que promovía la responsabilidad compartida a lo largo del ciclo de vida del desarrollo de software (SDLC) y la adopción de prácticas de integración y entrega continuas (CI/CD).

Sin embargo, aunque la creación de estas prácticas y herramientas aceleró los flujos de trabajo de los desarrolladores, empezaron a surgir más problemas de seguridad por la falta de visibilidad y una comprensión incompleta de los riesgos. Para contrarrestar este aumento, los líderes comenzaron a priorizar la seguridad y así nació DevSecOps.

El rol de DevEx en DevSecOps

Shift left surgió como respuesta a la creciente necesidad de integrar la seguridad desde las primeras etapas del ciclo de vida del desarrollo de software, dando prioridad a medidas proactivas como las pruebas automatizadas y las prácticas de codificación segura. Sin embargo, esta integración repentina generó fricciones con los desarrolladores, ya que muchos sentían que las herramientas de pruebas de seguridad se incorporaban a sus flujos de trabajo sin tener en cuenta sus necesidades ni preferencias.

Al analizar DevSecOps y sus deficiencias, la experiencia del desarrollador (DevEx) es fundamental. Investigaciones recientes muestran tres tendencias que aumentan la productividad de los desarrolladores: mantener la concentración sin interrupciones, reducir la carga cognitiva y acortar los ciclos de retroalimentación. En su estado actual, DevSecOps no fomenta ninguna de estas condiciones.

No se respetan los estados de concentración, ya que los equipos de seguridad suelen actuar en función de riesgos percibidos; la carga cognitiva aumenta porque la mayoría de las herramientas y los procesos de seguridad no proporcionan toda la información pertinente; y los desarrolladores dependen de los equipos de AppSec para tomar decisiones, lo que genera ciclos de retroalimentación innecesariamente largos. La lista continúa, pero, en su forma actual, DevSecOps limita la capacidad de los desarrolladores para clasificar, priorizar y gestionar vulnerabilidades de manera eficiente.

Cómo revivir DevSecOps con Snyk

Al analizar los desafíos actuales de los desarrolladores, queda claro que falta confianza entre los equipos de desarrollo y seguridad. A menudo, los desarrolladores sienten que los protocolos de seguridad los limitan, mientras que el equipo de seguridad considera que los riesgos y las vulnerabilidades se pasan por alto durante el desarrollo. El marco de madurez de DevSecOps de Snyk busca alinear a los equipos de desarrollo y seguridad en torno a los objetivos de la organización y los resultados de seguridad de las aplicaciones, fomentando la colaboración y la confianza mediante tres principios rectores:

• Transparencia: Debe haber transparencia en torno a las vulnerabilidades, los controles, los procesos, la documentación y las decisiones técnicas. Esto genera confianza entre los equipos y permite automatizar las decisiones de seguridad.

• Responsabilidad estructurada: Las responsabilidades claras y los acuerdos documentados permiten a los equipos crear y ejecutar planes e infraestructuras de manera eficiente.

• Reducción colaborativa de riesgos: Un marco compartido para evaluar y reducir los riesgos alinea a los equipos de seguridad y desarrollo, y permite la mejora continua y los flujos de trabajo de autoservicio.

Los seis pilares clave son:

• Fundamentos de DevOps: Usa la automatización, los procesos confiables y las herramientas adecuadas para empoderar a los equipos.

• Estrategia y cultura: Invierte en la gestión de riesgos del software a largo plazo mediante valores, objetivos y planificación.

• Diseño de seguridad: Usa controles para que la opción más segura sea la predeterminada para los desarrolladores.

• Pruebas y monitoreo: Usa inteligencia sobre amenazas del mundo real para desarrollar e implementar protocolos de pruebas de software.

• Respuesta y corrección: Crea un programa con responsabilidades claras que responda adecuadamente a los riesgos detectados.

• Análisis y gobernanza: Usa KPI y resultados clave para impulsar la mejora continua.

Con el marco de madurez de DevSecOps de Snyk, las organizaciones pueden crear un programa moderno de seguridad para desarrolladores. El marco de Snyk ayuda a reducir las fricciones y los flujos de trabajo aislados entre los equipos de desarrollo y seguridad, y promueve una cultura enfocada en reducir los riesgos y fomentar la confianza.

Con este cambio, los equipos de desarrollo y seguridad pueden ir más allá de las prácticas tradicionales de AppSec y adoptar un enfoque que integre realmente la seguridad en cada etapa, sin ralentizar a los desarrolladores. Para obtener más información sobre la seguridad para desarrolladores y cómo generar confianza mediante principios modernos, lee el informe técnico de Snyk, DevSecOps está muerto.