El desafío: abordar las infracciones de licencias y las vulnerabilidades de seguridad lo antes posible
Como empresa que prioriza la nube, el equipo de Coveo se enfoca en los microservicios. Aunque Coveo ya tenía un modelo de DevOps, los desarrolladores no contaban con las herramientas necesarias para realizar análisis periódicos de vulnerabilidades por su cuenta y cuando los necesitaran. Coveo reconoció que, para adoptar DevOps plenamente, era fundamental analizar cada paquete de código abierto e imagen de contenedor en busca de vulnerabilidades antes de pasar a producción. Coveo también necesitaba una nueva solución para cumplir con las licencias después de que el socio proveedor abandonara abruptamente el servicio.
La solución: un servicio para administrar licencias y proteger el código abierto y los contenedores
Coveo recurrió inicialmente a Snyk para administrar licencias. Cuando llegó el momento de elegir una nueva herramienta de gestión de vulnerabilidades, el equipo consideró Snyk.
Tras comparar Snyk con otras opciones, Coveo finalmente eligió Snyk para consolidar en una sola plataforma la gestión de licencias y la generación de informes de vulnerabilidades. Snyk permite que los equipos de DevOps identifiquen vulnerabilidades y se mantengan al día con las últimas correcciones de seguridad. Esta es ahora la principal ventaja que Snyk ofrece a los desarrolladores de Coveo.
“Snyk nos permite detectar vulnerabilidades antes de lanzar a producción”, comentó Jean-Philippe Lachance, analista de seguridad en Coveo. “Si no lo hacemos, una vulnerabilidad podría acabar con nuestro negocio”.
Coveo considera que la facilidad de uso de Snyk es su principal ventaja técnica. Coveo también aprovecha la API de Snyk, que sus desarrolladores prefieren usar en lugar de las interfaces de usuario para ciertos casos de uso. Hace poco, Coveo creó un sistema de alertas integrado en Slack que informa sobre el nivel de gravedad y la fecha de detección de las vulnerabilidades. Esto permite que los desarrolladores de Coveo reaccionen más rápido y corrijan los problemas antes de que el pipeline de implementación los bloquee, lo que impediría la implementación debido a nuevas vulnerabilidades según su nivel de gravedad o antigüedad.
Corregir continuamente las vulnerabilidades en dependencias de código abierto y contenedores
Snyk permite que los desarrolladores de Coveo se hagan responsables de la seguridad de los servicios que administran, al combinar la gestión de licencias con el análisis de vulnerabilidades. Cuando la solución original para proteger contenedores se volvió cada vez más difícil de administrar y actualizar, Coveo volvió a recurrir a Snyk. A Coveo le resultó atractiva la idea de usar una herramienta sencilla y fácil para desarrolladores que también protegiera las imágenes de contenedores.
“Snyk ofrece un servicio SaaS fácil de usar”, comentó Jean-Philippe. “Necesitábamos una solución confiable para validar las imágenes de contenedores antes de pasarlas a producción, y Snyk nos ayuda a hacerlo de manera sencilla”.
El impacto: mayor visibilidad y mejor seguridad
Con Snyk, Coveo encontró una sola plataforma para gestionar licencias y vulnerabilidades.
Snyk brinda a Coveo y a sus clientes la tranquilidad de saber que están al tanto de las vulnerabilidades de código abierto, priorizan su mitigación y evitan las infracciones de derechos de autor. Coveo puede demostrar a sus clientes que se toma la seguridad en serio y que, por lo tanto, es un socio tecnológico confiable.
“Snyk nos permitió seguir un proceso con mayor facilidad para revisar vulnerabilidades y resultados de análisis. Fue un gran cambio cultural para nosotros, pero ha beneficiado mucho a Coveo”, comentó Jean-Philippe.
Los desarrolladores de Coveo pueden seguir los procesos de seguridad adecuados porque Snyk está integrado directamente en su pipeline de CI/CD. Además, la naturaleza de código abierto de Snyk permite que los desarrolladores adapten la herramienta a sus necesidades específicas, corrijan errores y, en general, tengan un alto grado de autonomía al usarla.
Dar a los desarrolladores las herramientas para encargarse de la seguridad
Con Snyk implementado, los miembros del equipo de DevOps pueden gestionar las vulnerabilidades con mucha más autonomía y eficiencia. Los Security Champions de cada equipo pueden supervisar las vulnerabilidades y decidir por su cuenta cómo y en qué plazo abordarlas.
Los equipos de DevOps de Coveo cuentan con supervisión, pero en general tienen la responsabilidad y la autoridad para priorizar sus acciones de seguridad. El respaldo de Snyk a este enfoque de “confiar, pero verificar” facilitó enormemente la adopción en toda la organización.
“Los servicios alojados de Snyk son muy fáciles de administrar para Coveo. Ahora nuestros desarrolladores pueden encargarse por su cuenta de la gestión de vulnerabilidades y licencias”, comentó Jean-Philippe.
Coveo también considera que el equipo de satisfacción del cliente de Snyk responde muy rápido a sus necesidades, lo que le permite adaptar el producto a sus casos de uso y a sus necesidades cambiantes. El consejo de Coveo para otros equipos de seguridad es adoptar la seguridad y empezar a usar Snyk lo antes posible durante el desarrollo.