El desafío: encontrar y corregir vulnerabilidades sin ralentizar el trabajo
DFDS tiene una larga trayectoria: hace 150 años transportaba carga y mercancías; hoy gestiona operaciones logísticas en todo el mundo. DFDS cuenta con dos divisiones principales: la División de Ferris, que transporta carga y pasajeros en rutas de ferri europeas, y la División de Logística, que ofrece soluciones de transporte y logística.
La División de Logística de DFDS ofrece a sus clientes diversas herramientas digitales, como servicios para rastrear y localizar envíos en tiempo real, simplificar el despacho aduanero y reservar cargas. Tras bambalinas, el equipo de DFDS cuenta con más de 200 desarrolladores que mantienen e innovan esta línea de productos.
Cuando el equipo de DFDS realizó una auditoría completa de su flujo de desarrollo, incluidas sus aplicaciones y entornos en la nube, descubrió importantes deficiencias en la visibilidad de seguridad. También detectó distintos niveles de madurez en seguridad dentro de la organización. Algunos equipos tenían una mejor observabilidad de sus vulnerabilidades y un buen dominio de la seguridad de las aplicaciones, mientras que otros no. Además, cada equipo usaba su propia combinación de herramientas de código abierto y comerciales, en lugar de adoptar un enfoque estandarizado para la seguridad.
El equipo de DFDS necesitaba una nueva solución que facilitara prácticas de seguridad uniformes en toda la empresa. Sin embargo, también era importante que estos controles no limitaran ni ralentizaran a los desarrolladores.
«Resultó que el mayor riesgo era la falta de observabilidad de nuestra cadena de suministro», comentó John Smith, arquitecto de dominio de SecOps. «Descubrimos que los distintos equipos y grupos tenían diferentes niveles de madurez».
La solución: Snyk Open Source y Snyk Code
El equipo de DFDS decidió usar Snyk Open Source y Snyk Code en sus grupos de desarrollo, lo que les permitió proteger tanto el código propio como el de terceros. Eligieron Snyk porque era fácil de implementar e incluía sólidas funciones de generación de informes.
«Con muchas de las alternativas que encontramos, todavía tenías que agregar un archivo YAML o un archivo de configuración en cada repositorio», explicó John. «Ahora, el mayor problema es que, si voy con los responsables de producto y les digo: “Necesito que redacten una incidencia o un PBI para cada repositorio”, me van a decir que no tienen tiempo. Como Snyk no tiene esa barrera, pude diseñar un proceso de implementación que no requería ninguna intervención de los responsables de producto».
El equipo de DFDS también valoró que Snyk pudiera ser un «compañero de seguridad» para cada desarrollador, sin importar su nivel de experiencia. Empezaron a aprovechar Snyk Learn desde la plataforma para fomentar una mayor conciencia sobre seguridad.
Según John: «El mensaje importante era lograr que las personas entendieran —o al menos empezaran a pensar en— aplicar una mentalidad de seguridad durante el sprint. Y también que se preguntaran: “…revisemos los datos que tenemos ahora e intentemos reducir los casos más problemáticos”».
Las herramientas y la capacitación adecuadas para lograr el éxito en seguridad
Después de implementar las soluciones de Snyk para código propio y de terceros, y de usar Snyk Learn para capacitar a los desarrolladores, el equipo de DFDS observó un mayor interés general por corregir problemas de seguridad. Los desarrolladores se esforzaban más para encontrar y corregir vulnerabilidades. La seguridad de las aplicaciones pasó de ser un problema abrumador y desatendido a convertirse en una iniciativa alcanzable y motivadora para los equipos de desarrollo.
«Desde que implementamos Snyk, recibimos muchas preguntas como: “¿Qué es esto? ¿Qué es una CVE? ¿Qué es MITRE?”», comentó John. «La gente está empezando a leer los detalles de las vulnerabilidades en Snyk Learn e intenta entender, por ejemplo, qué es una inyección SQL. Eso demuestra que, con Snyk, estamos empezando a crear indirectamente una cultura de curiosidad. Y una cultura de curiosidad en torno a la seguridad es excelente porque, si canalizamos esa curiosidad y convertimos a esas personas en promotores de seguridad, podemos influir en todo el equipo».
El impacto: menos vulnerabilidades y más curiosidad
Desde que adoptó Snyk, el equipo de DFDS ha reducido en un 50 % el total de vulnerabilidades. Además, hace unas semanas informó que ya no tenía vulnerabilidades críticas maduras. El siguiente paso es integrar Snyk más profundamente en los IDE nativos de sus equipos de desarrollo para fomentar el uso continuo de la herramienta.
«Como [los desarrolladores] cuentan con controles de calidad y han realizado sprints de seguridad, pueden dedicar mucho menos tiempo a las vulnerabilidades críticas en su trabajo diario».
Gracias a Snyk, DFDS puede adoptar un enfoque proactivo para la seguridad y permitir que los desarrolladores lancen futuras ofertas y actualizaciones con rapidez y seguridad.