El desafío: la necesidad de procesos de seguridad eficientes que acompañen el crecimiento
En los últimos años, Smartsheet ha más que duplicado su cantidad de empleados. A medida que la empresa crece, su equipo de ingeniería trabaja para preparar sus prácticas de seguridad para el futuro y proteger la plataforma de las amenazas. Al ampliar sus operaciones, los desarrolladores necesitan proteger los productos de la forma más sencilla y eficiente posible mediante la automatización de la seguridad de aplicaciones.
«Desarrollamos mucho software. Por eso, nuestro desafío es garantizar que el código de código abierto que usamos cuente con las medidas adecuadas de seguridad y gestión de riesgos», afirmó Chris Peake, CISO de Smartsheet. «Pero también está el tema de las licencias, tanto desde una perspectiva legal como de seguridad».
Smartsheet buscaba automatizar el análisis de vulnerabilidades y la gestión de licencias de su código de código abierto para que los desarrolladores pudieran administrar la seguridad y, al mismo tiempo, satisfacer las necesidades de una producción de software a gran escala. Para lograrlo, necesitaban una herramienta que señalara automáticamente los problemas en el momento adecuado y con información contextual pertinente, a fin de que pudieran tomar decisiones más rápido y mantener segura a la empresa.
«No era realista que nuestro pequeño equipo intentara crear una herramienta de seguridad centrada en los desarrolladores que impulsara sus acciones», afirmó Jason Bubolz, ingeniero principal de seguridad de Smartsheet. «Snyk nos permite impulsar la acción de los desarrolladores al proporcionar inteligencia sobre amenazas y ofrecer automáticamente las correcciones que necesitamos».
La solución: seguridad eficiente y centrada en los desarrolladores
Al buscar una solución, Smartsheet evaluó cuatro productos, entre ellos Snyk, Whitesource, Blackduck y Veracode. La evaluación demostró que Snyk Open Source era la opción más enfocada en los desarrolladores, útil y práctica, lo que permitió adoptarla sin complicaciones e integrarla rápidamente. Al equipo de Smartsheet también le impresionó la capacidad de Snyk para ofrecer a los desarrolladores opciones prácticas de corrección.
«La base de datos de vulnerabilidades de Snyk es la opción más completa y detallada disponible», afirmó Bubolz. «Para los ingenieros que buscan hacer bien su trabajo de seguridad, Snyk ofrece una solución superior en cada etapa del ciclo de vida del desarrollo de software. Ahora ofrecemos a los ingenieros herramientas justo cuando toman decisiones y les damos información que pueden usar de inmediato. Ese es el valor que sigo encontrando en Snyk».
Snyk identifica la actualización mínima necesaria para corregir una vulnerabilidad y avisa cuando existe el riesgo de que se interrumpa el funcionamiento del código. Estos resultados precisos y oportunos son fundamentales para Smartsheet, que busca que el equipo de desarrollo asuma la responsabilidad de las decisiones de seguridad sin depender del equipo de seguridad.
Snyk Container: ayuda a los desarrolladores a prevenir vulnerabilidades
Smartsheet sabía que debía ofrecer a los desarrolladores una experiencia sin fricciones para mejorar la seguridad de los contenedores. Por eso integró Snyk Container en sus flujos de trabajo de desarrollo existentes. Como Snyk Container funciona durante todo el ciclo de vida del desarrollo de software, ayuda a Smartsheet a corregir los problemas cuanto antes, al identificar las vulnerabilidades prioritarias antes de que el contenedor llegue a producción.
«Nuestros desarrolladores usan los comentarios de Snyk para decidir si deben elegir una imagen base determinada desde el inicio del proceso de desarrollo», afirmó Bubolz. «Así reciben una señal clara antes de invertir mucho tiempo y tener que cambiar de opción».
Snyk API: automatización de la gestión de datos y la administración
Al evaluar herramientas de análisis de seguridad, Smartsheet revisó las API de varias opciones y descubrió que Snyk era la más sencilla de implementar. El equipo de Smartsheet usó Snyk API para automatizar los informes de datos de varios proyectos y administrar cientos de repositorios de GitHub cada mes.
«Necesitaba que los datos se enviaran automáticamente a otro sistema que pudiera actuar en mi nombre», afirmó Bubolz. «Estoy solo, pero en Smartsheet hay más de 400 desarrolladores que envían código todos los días. Snyk API me avisa cuando hay un repositorio nuevo o cambia la persona responsable. Sin una API eficaz, no habríamos podido usar ningún producto de análisis de seguridad».
El impacto: eliminación casi inmediata de vulnerabilidades con el enfoque de Snyk centrado en los desarrolladores
Gracias al enfoque cercano y colaborativo de Snyk para incorporar nuevos clientes, Smartsheet pudo lograr que el programa tuviera éxito desde el primer día. Snyk se tomó el tiempo de entender cómo encajaba su herramienta en el ecosistema general de la empresa y la integró en todas las canalizaciones de integración continua (CI).
«Incluso antes de integrar Snyk por completo, ya estaba cumpliendo su propósito», afirmó Bubolz. «Después de que la aplicación les enviara un correo electrónico a nuestros desarrolladores, descubrieron que era más fácil resolver los problemas de inmediato. Esto hizo que tuvieran aún más ganas de ponerse manos a la obra y encargarse de la seguridad por su cuenta».
La facilidad de implementación facilitó la transición hacia la responsabilidad de los desarrolladores en materia de seguridad
El rápido proceso de incorporación de Snyk permitió que Smartsheet empezara a trabajar de inmediato, sin sobrecargar innecesariamente a sus equipos de seguridad y desarrollo. Como Snyk se usa durante todo el ciclo de vida del desarrollo de software, ahora los ingenieros reciben problemas que pueden resolver, en lugar de una serie de errores que tendrían que revisar y para los que deberían encontrar soluciones por su cuenta. Snyk presenta los problemas de seguridad con el contexto necesario, para que los desarrolladores puedan hacer la gran mayoría de las correcciones por sí mismos y, en algunos casos, con solo hacer clic en un botón.
«Estamos obteniendo mejores resultados», afirmó Bubolz. «Nuestros equipos están aún más preparados para enfocarse en la seguridad».
Menor carga legal gracias a la gestión de licencias de código abierto
Antes de implementar Snyk, el equipo legal de Smartsheet tenía grandes dificultades para llevar el control de las licencias utilizadas en las dependencias de sus productos. Snyk dio al equipo legal y a los desarrolladores visibilidad completa, desde un solo lugar, de todo el código con licencia en sus proyectos. Esto les permitió mantener un ritmo de desarrollo rápido y cumplir con las licencias de software de código abierto y otros requisitos.
«Al equipo legal le encantó poder controlar qué productos de código abierto estamos usando», afirmó Peake. «Antes tenían que mantener esa lista manualmente, y era bastante trabajo. Tener toda la información en un solo lugar es un gran beneficio y aumenta el valor que el equipo obtiene hoy de Snyk».