Mesa redonda de WillowTree: seguridad para organizaciones de hipercrecimiento

Las empresas de software modernas suelen ofrecer muchas cosas al mismo tiempo. Su alcance va más allá de un solo producto o servicio, y sus herramientas de seguridad deben estar a la altura de ese ritmo. Hace poco, nuestro Steve Kinman (CISO de campo, Snyk) y Adrian Guevara (director de ciberseguridad, WillowTree) participaron en una mesa redonda sobre los desafíos que enfrentan las organizaciones de hipercrecimiento al implementar la seguridad del código en un entorno que cambia rápidamente.

WillowTree es una agencia digital que crea aplicaciones para varias empresas de alto perfil de Fortune 500. Como agencia, “WillowTree trabaja con muchos lenguajes”, según Guevara. “Uno de los desafíos de los que hablaremos aquí es que no se trata de un solo lenguaje, una sola plataforma o un solo producto. Creamos productos para las empresas y luego se los entregamos”. Como se desarrollan muchos proyectos de alto riesgo al mismo tiempo, Guevara prioriza equilibrar la innovación con una mentalidad centrada en la seguridad dentro de la organización.

Durante la mesa redonda, Guevara describió su experiencia al fomentar prácticas recomendadas de seguridad y seleccionar un conjunto de herramientas que se ajustara a las necesidades particulares de WillowTree.

El giro hacia la seguridad

Cuando Guevara, quien anteriormente trabajó en auditoría y cumplimiento, asumió su cargo actual, “a los clientes realmente no les importaban” las medidas de seguridad internas que aplicaba WillowTree. También comentó que esto ha cambiado drásticamente en los últimos años. “Ahora quieren que se enumeren todas las dependencias; quieren asegurarse de que no uses licencias GPL y de que no haya vulnerabilidades de alto perfil en los contenedores, las bibliotecas y los lenguajes que usas”.

Este interés por la seguridad del código reflejaba los esfuerzos internos de Guevara durante sus seis años en la empresa. Cuando se incorporó, la seguridad consistía principalmente en análisis estáticos y, como estaba fuera de los procesos de desarrollo, generaba costos elevados. Como ampliar directamente los equipos de seguridad se volvió difícil, integrar la seguridad en los procesos de desarrollo era la forma más eficiente y eficaz de mejorarla. Adoptar un flujo de trabajo de desarrollo moderno y ágil fue clave para WillowTree. Como explicó Guevara: “Hicimos que la seguridad fuera el camino de menor resistencia, así que lo siguen automáticamente sin que tengamos que intervenir mucho”.

La adopción de una seguridad centrada en los desarrolladores comenzó con los desarrolladores sénior de WillowTree. Al pedirles que probaran herramientas de seguridad y participaran en el proceso de selección, Guevara les dio voz y un espacio para hablar de sus necesidades. Consideró que “convencer primero al grupo sénior” era el primer paso para crear una cultura de seguridad exitosa.

“Las opiniones de los desarrolladores sénior importaban más que las mías, porque si no les gusta la herramienta, no la van a usar”.

Adrian Guevara

Como compartió, la transformación de “seguridad quiere que hagamos esto” a “Adrian quiere que hagamos esto” fue fundamental para cerrar la brecha entre los equipos de seguridad y desarrollo. Para los equipos de seguridad, mostrarse como personas y explicar la importancia de sus solicitudes “cambia por completo la dinámica entre tú y el desarrollador”. Al final del día, los desarrolladores y los profesionales de seguridad forman parte del mismo equipo. La comunicación y la colaboración son indispensables para llevar la producción al éxito, y a menudo comienzan con las herramientas que elige el equipo.

Cómo elegir una plataforma de seguridad

Cuando Guevara comenzó a evaluar herramientas de seguridad para desarrolladores, tenía tres problemas principales que resolver. Los procesos de seguridad que WillowTree usaba en ese momento generaban demasiado ruido, eran demasiado lentos y no eran sostenibles, ya que funcionaban fuera del flujo de trabajo de desarrollo. Los desarrolladores tenían que recordar revisar los análisis de seguridad, que tardaban en completarse y producían muchos falsos positivos, y luego incorporar los informes de vulnerabilidades a su flujo de trabajo según fuera necesario; un paso que a menudo se olvidaba en medio del ritmo acelerado del desarrollo. Esto obligaba al equipo de seguridad a intervenir y mitigar las vulnerabilidades antes de pasar las correcciones a los desarrolladores para que las incluyeran en la planificación de sus sprints. Con todos estos pasos en cada ocasión, la situación pronto se volvió insostenible.

Snyk se destacó durante el período de prueba porque nuestro flujo de trabajo reflejaba el modelo de desarrollo ágil que Guevara buscaba implementar. A los desarrolladores les gusta usar buena tecnología y, “como ya contábamos con eso, integramos Snyk en los IDE, en las solicitudes de cambios (PR) y en la integración continua (CI), y todo se volvió mucho más sencillo. Ni siquiera tuve que capacitar a la gente para usarlo. Snyk ofrecía una mejor explicación o indicación sobre cómo corregir algo y por qué existía ese problema”, dijo Guevara. Para el equipo de WillowTree, fomentar los conocimientos de seguridad y comprender por qué se aplicaban ciertas correcciones fue fundamental para crear una cultura de seguridad en la que los desarrolladores participaran activamente. Al comparar las herramientas, Guevara señaló que “con la herramienta anterior teníamos cerca de un 20 % de participación. Con Snyk, vi que esa cifra subió al 90 %”. La interfaz intuitiva y fácil de usar de Snyk ayudó al equipo a producir código seguro con mayor eficiencia, con una reducción del 58 % en el tiempo promedio de corrección. “En promedio, tardábamos 60 días en resolver las vulnerabilidades; ahora tardamos 25”, afirmó Guevara.

Aunque las mejoras cuantificables que ofrecía Snyk eran impresionantes, no fueron el factor decisivo. Para Guevara, “elegí Snyk por la relación de socio. Los falsos positivos y el ruido disminuyeron, y ya nos gustaba el flujo de trabajo, pero ¿iba a tener un buen socio?”. Muchas herramientas pueden analizar vulnerabilidades y generar informes, pero el programa de seguridad en expansión de WillowTree necesitaba un socio que priorizara a los desarrolladores y estuviera dispuesto a trabajar con ellos de cara al futuro. “La relación de socio fue lo que realmente me convenció. En ese momento, Snyk aún no admitía todos los lenguajes, pero gracias a esa relación, asumí el compromiso de incorporar los lenguajes que necesitábamos y, hasta ahora, ha funcionado”, dijo Guevara.

Seguridad e innovación en equilibrio

WillowTree ha seguido creciendo rápidamente en los últimos años. Una serie de expansiones y adquisiciones elevó su plantilla a 1,000 desarrolladores distribuidos en 3 empresas. Cada una tiene sus propios requisitos y procesos y, como agencia, WillowTree también suele usar las herramientas y los sistemas de seguimiento de tickets de sus clientes. En medio de todo esto, Guevara comentó: “Snyk es el hilo conductor que une todos esos proyectos”. Para Guevara y su equipo, Snyk es la base de la colaboración entre equipos y ha ayudado a WillowTree a desarrollar y mantener prácticas de seguridad en el mundo acelerado de las organizaciones de hipercrecimiento.

Tanto si eres una agencia que necesita cumplir diversos estándares de seguridad de sus clientes como si formas parte de una organización que busca reforzar la seguridad del código en sus equipos internos, Snyk puede ayudarte. Comienza hoy tu prueba gratis o agenda una demostración para ver cómo Snyk puede ayudarte a desarrollar más rápido sin dejar de protegerte.