El desafío
Francois Allard lidera esta misión como director de Ingeniería. Su equipo de Experiencia del Desarrollador tiene la doble tarea de permitir que los equipos de ingeniería creen y operen aplicaciones escalables, seguras y resilientes a gran velocidad, y de empoderar a los equipos de desarrollo de los clientes para que integren sus sistemas con nuestra plataforma de forma sencilla y autoservicio. Estos objetivos líderes en la industria requieren herramientas de vanguardia que respalden un enfoque de seguridad centrado en los desarrolladores, por lo que Snyk y StackHawk son los socios perfectos.
Privacidad y cumplimiento
Trabajar en la industria de los seguros hace que los datos altamente confidenciales y las estrictas regulaciones sean una preocupación cotidiana para Breathe Life. Cuando la seguridad es crucial, es fundamental contar con un programa sólido de gestión de vulnerabilidades, y eso significa que debemos invertir en las mejores herramientas disponibles.
“Necesitamos herramientas que puedan seguir nuestro ritmo: conocemos el valor de hacer iteraciones rápidas y pequeñas en nuestra plataforma, y no podemos permitir que nos frenen los procesos largos o las herramientas complicadas”, dijo Francois Allard.
Si bien las leyes de privacidad fueron un factor clave para buscar una solución de seguridad, el equipo “no implementó estas soluciones con el único objetivo de ‘marcar la casilla’ de los requisitos de cumplimiento. Entendemos el valor que nos aportan y las habríamos adoptado incluso sin la necesidad de cumplir con las regulaciones” (Allard).
Las exigencias del desarrollo moderno
Como muchos equipos web, Breathe Life utiliza componentes de código abierto como base para sus aplicaciones que se ejecutan en Google Kubernetes Engine (GKE). Supervisar todas las dependencias por cuenta propia es una tarea imposible. Por eso, el equipo necesitaba una plataforma que aumentara la visibilidad del software y analizara en profundidad las dependencias de código abierto y los contenedores.
La solución: herramientas centradas en los desarrolladores
Como Allard dirige un equipo centrado en los desarrolladores, elegir una solución diseñada por y para desarrolladores fue el siguiente paso lógico. Muchas herramientas de seguridad están hechas para los equipos de seguridad centralizados de grandes organizaciones, lo que iba en contra de la misión de Breathe Life de involucrar a todos los equipos de ingeniería en la seguridad de nuestro software.
Breathe Life ya usaba la versión freemium de Snyk Open Source, así que evaluar el plan de pago fue una evolución natural. La combinación de Snyk Open Source y Snyk Code les permitió identificar fácilmente la versión mínima a la que debían actualizar para corregir las vulnerabilidades. Además, el equipo podía ver qué dependencia transitiva específica incorporaba la vulnerabilidad y si podía actualizarla al quitar la restricción de versión de esa dependencia, para obtener la versión más reciente sin dejar de respetar el SemVer de los paquetes principales.
Después de ver StackHawk en acción en una conferencia de DevOps, Allard y su equipo quisieron evaluar si era una buena opción. El hecho de que StackHawk y Snyk ya fueran socios hizo aún más atractiva la propuesta al mostrar el enfoque sinérgico de nuestras herramientas. La capacidad de StackHawk para identificar todas las API relevantes que debía analizar mediante la especificación OpenAPI de una aplicación facilitó su incorporación a la pila de CI/CD de Breathe Life y la gestión de los hallazgos en la plataforma.
El impacto: crecer con confianza y tranquilidad
La mayor visibilidad que ofrecen Snyk y StackHawk ha tenido un gran impacto en el equipo de Breathe Life. Los análisis de Snyk Open Source brindaron a los desarrolladores detalles adicionales que facilitaron la corrección y garantizaron la seguridad de todas las dependencias transitivas. De hecho, en los últimos 3 meses el equipo aumentó en un 41 % la visibilidad de su postura de seguridad. La capacidad de StackHawk para aprovechar la API abierta les permitió analizar la aplicación real y probar las partes más importantes, sin las limitaciones de otros productos.
Aunque Allard y su equipo todavía están resolviendo algunos problemas de automatización, pudieron corregir una gran parte de los paquetes transitivos vulnerables.
“Snyk Code y Stackhawk nos han demostrado que, desde la perspectiva de un análisis automatizado, nuestra plataforma es sólida y no contiene vulnerabilidades importantes evidentes”, afirmó Allard. “A medida que crezcamos, estas herramientas nos darán la confianza de que seguirá siendo así”.
Tanto si eres una empresa joven que recién empieza a incorporar la seguridad como si formas parte de una organización consolidada que navega el cambio hacia la descentralización, Snyk y StackHawk pueden ayudarte. Experimenta las pruebas dinámicas de seguridad de aplicaciones modernas con una cuenta gratuita de StackHawk y deja que Snyk te ayude a encontrar y corregir vulnerabilidades durante todo el ciclo de vida del desarrollo con una prueba gratuita.