El desafío: visibilidad de nivel empresarial de las vulnerabilidades de código abierto
Form3 usa Snyk desde 2018. En ese momento, reconoció la necesidad de mejorar la visibilidad de las posibles vulnerabilidades en las dependencias del código y de contar con una forma eficaz de evitar que esos problemas llegaran a producción.
Comprometida con garantizar la seguridad de los pagos de sus clientes, Form3 priorizó desde el inicio la seguridad de las aplicaciones y el control de calidad de su plataforma de pagos y software. Achilleas Pitsillides, director de seguridad de la información de la empresa, reconoció la necesidad de integrar verificaciones de dependencias de software y vulnerabilidades en el proceso de compilación. Esto permitiría a sus más de 100 ingenieros proteger el código de código abierto, las dependencias y las imágenes de contenedores. Para evitar que esto afectara los tiempos de desarrollo, el equipo de seguridad buscó una solución sencilla que fuera compatible con los lenguajes de programación y entornos de desarrollo preferidos por los desarrolladores.
“La implementación de esta solución mejoró nuestros controles de seguridad”, comentó Achilleas Pitsillides, CISO de Form3. “Queríamos una solución que integrara el análisis de dependencias en nuestros procesos de compilación existentes, pero que no ralentizara el trabajo diario de los ingenieros”.
La solución: un enfoque centrado en los desarrolladores facilitó la implementación y permitió obtener información inmediata sobre las vulnerabilidades de seguridad
A finales de 2018, el equipo de seguridad de las aplicaciones de Form3 pudo integrar Snyk rápidamente y sin complicaciones en los flujos de trabajo de ingeniería. Snyk analiza de forma nativa los más de 500 repositorios del equipo de ingeniería para detectar vulnerabilidades en el código fuente de sus aplicaciones y en las dependencias de código abierto. Además, al analizar y validar el código durante los pull requests, los ingenieros pueden detectar los problemas desde el inicio del proceso de compilación y corregirlos de forma rápida y eficiente.
“Evaluamos las soluciones según la cantidad de lenguajes de programación compatibles y lo fácil que fuera integrarlas en nuestros flujos de trabajo actuales”, comentó Liam Galvin, ingeniero sénior de seguridad en Form3. “Snyk nos ofreció una excelente herramienta de CLI con el nivel de configuración que necesitábamos, lo que facilitó su integración con nuestras compilaciones automatizadas”.
Snyk Container permitió a los desarrolladores corregir de inmediato vulnerabilidades críticas
El equipo de Form3 ya ha observado una mejora en el flujo de trabajo de los desarrolladores al revisar vulnerabilidades. La incorporación de Snyk permite a los desarrolladores detectar y corregir de inmediato vulnerabilidades críticas. Además, Snyk Container analiza las imágenes y evita que se envíen a sus registros imágenes base o de herramientas vulnerables. De esta manera, Snyk ayuda a los desarrolladores a garantizar que sus imágenes base sean lo más seguras y eficientes posible al eliminar vulnerabilidades. Snyk supervisa las imágenes de forma continua y alerta a los desarrolladores cuando se descubren nuevas vulnerabilidades.
“Snyk ayuda a los ingenieros a identificar imágenes con demasiadas vulnerabilidades”, comentó Liam. “Esto protege las imágenes que usamos y ha mejorado nuestro proceso en general”.
El impacto: seguridad transparente sin ralentizar el desarrollo
Form3 pudo implementar procesos y políticas de seguridad que interrumpen lo menos posible el trabajo de los desarrolladores. Snyk se integra en su proceso de compilación y ayuda a priorizar las vulnerabilidades para agilizar su corrección. Así, Form3 obtuvo visibilidad completa y mejoró la calidad del software sin retrasar la comercialización de las funciones innovadoras que quieren sus clientes.
“Desde que integramos Snyk en nuestros sistemas de compilación, mejoró la visibilidad de las dependencias de código abierto vulnerables en nuestros más de 500 repositorios”, explicó Achilleas. “Además, bloqueamos activamente los PR cuando detectamos nuevos problemas en nuestros repositorios”.
Además, como proveedor de tecnología crítica para empresas reguladas que manejan información confidencial y personal, Form3 debe cumplir con el RGPD y otras regulaciones aplicables. Snyk ayuda a la empresa a proteger sus sistemas.
“Form3 cuenta con varias certificaciones y organismos externos realizan auditorías cada seis meses”, señaló Achilleas. “La gestión de vulnerabilidades es un control definido para nuestras certificaciones, y Snyk nos ayuda a cumplir con estos controles y demostrarlo”.
Con Snyk, Form3 pudo adoptar un enfoque de seguridad centrado en ingeniería sin ralentizar las implementaciones. Las herramientas automatizadas de la plataforma detectan vulnerabilidades de seguridad antes de que se integre el código. Junto con otros controles de seguridad de Form3, Snyk permite que los equipos de ingeniería confirmen que la seguridad se validó antes de que la aplicación llegue a los entornos de pruebas o producción.