Como estabelecer políticas de segurança de aplicações que impulsionam processos de desenvolvimento seguro

O que é uma política de segurança de aplicações?

Uma política de segurança de aplicações define os limites aceitáveis de segurança e proteção para que desenvolvedores de aplicações e equipes de segurança possam trabalhar enquanto desenvolvem novos softwares, muitas vezes com o apoio de soluções de segurança de aplicações com recursos de políticas. Quando a política de segurança de software estabelece esses limites de forma automática e consistente antes do início do trabalho, ela fornece informações essenciais para processos eficientes de desenvolvimento de aplicações.

Nenhuma política de segurança de aplicações serve para todas as organizações. As políticas de AppSec precisam ser adequadas ao porte e ao modelo de negócios da sua organização. Por isso, é necessário desenvolver políticas eficazes que sigam as boas práticas estabelecidas de segurança de aplicações, definam níveis adequados de proteção contra vulnerabilidades e determinem quais aplicações de terceiros e componentes de código aberto devem ser usados. Além de considerar as preferências da organização, você precisa seguir de perto padrões como o OWASP Top 10.

Mesmo levando tudo isso em conta, pode ser difícil estabelecer políticas de AppSec que equilibrem proteção e desempenho com eficácia. As informações a seguir vão ajudar você a estabelecer políticas de segurança empresarial que reduzam vulnerabilidades e permitam que os desenvolvedores continuem lançando softwares inovadores. 

Por que as políticas de segurança de aplicações são importantes?

O desenvolvimento de software mudou. A implantação rápida se tornou padrão, e muitas equipes de DevOps dependem muito de código aberto para dar suporte aos projetos. Esse novo cenário de implantação se expandiu, em grande parte, com a adoção de processos de CI/CD nas empresas, especialmente nas grandes organizações.

Nesse ambiente empresarial acelerado, uma vulnerabilidade pode surgir de algo tão simples quanto um erro de configuração. O relatório State of Cloud Native Application Security da Snyk revelou que as duas principais causas de incidentes de segurança foram configurações incorretas (45%) e vulnerabilidades conhecidas sem correção (38%).

Incidentes de segurança por tipo, de acordo com o relatório State of Cloud Native da Snyk.

Um estudo recente revelou que, entre 85 mil aplicações analisadas, 83% continham pelo menos uma falha de segurança. Dessas, 20% apresentavam uma vulnerabilidade grave. Embora nem todas representem um grande risco à segurança, os hackers continuam aprimorando seus ataques e usando soluções engenhosas para invadir softwares.

As políticas de segurança de aplicações estabelecem limites que ajudam a prevenir vulnerabilidades.

O custo das vulnerabilidades

Em 2017, a Equifax usava uma versão desatualizada da biblioteca Java Apache Struts, o que deixou seus sistemas vulneráveis a invasões. Esse ataque notório expôs as informações pessoais de 143 milhões de usuários e levou a um processo coletivo que a Equifax encerrou por US$ 380,5 milhões.

Embora o caso da Equifax seja um exemplo extremo de exploração de vulnerabilidade, qualquer violação de segurança traz consequências negativas para os negócios. Muitas empresas nunca se recuperam de incidentes de segurança devastadores. Por isso, as políticas de segurança de aplicações são fundamentais, especialmente para empresas que trabalham com dados altamente confidenciais (por exemplo, instituições financeiras, órgãos governamentais e empresas de saúde).

Ao criar políticas de segurança de aplicações, as empresas começam a estabelecer um programa de AppSec que define como os desenvolvedores podem lidar proativamente com vulnerabilidades em todas as etapas do ciclo de vida do desenvolvimento de software (SDLC). No entanto, sem planejamento cuidadoso e integração aos processos, as políticas de segurança de aplicações podem gerar frustração.

Como estabelecer a “conformidade como código” na sua política de AppSec

As empresas adotam práticas de DevOps para acelerar o desenvolvimento e aumentar a agilidade dos negócios. Os programas de AppSec devem apoiar esses objetivos criando políticas de segurança de aplicações que equilibrem proteção e desempenho, para que o desenvolvimento mantenha o ritmo.

Políticas de segurança de aplicações ineficazes fazem os desenvolvedores perderem tempo valioso reescrevendo código e sobrecarregam as equipes de segurança com alertas, notificações e chamados de correção. No fim, essas políticas atrasam o desenvolvimento e expõem as empresas a riscos maiores. Já programas de segurança de aplicações eficazes podem ser implementados sem interromper o fluxo de trabalho de DevOps e ainda dar autonomia aos desenvolvedores. Essas estruturas eficazes integram políticas ao ciclo de vida do desenvolvimento de software (SDLC), dando suporte ao desenvolvimento contínuo. 

O que é conformidade como código?

A conformidade como código (ou política como código) automatiza o processo de segurança com ferramentas eficazes incorporadas ao DevOps, reduzindo o risco de erro humano ao eliminar etapas manuais e demoradas. Essas ferramentas automatizadas de segurança, regidas pela política de segurança de aplicações, são incorporadas ao processo de desenvolvimento.

Durante o processo de build, por exemplo, os desenvolvedores podem usar ferramentas de análise automatizadas para identificar vulnerabilidades conhecidas e corrigi-las antes da implantação. Após a implantação, ferramentas de monitoramento automatizado podem notificar as equipes de AppSec sobre novos riscos identificados em produção. Para apoiar uma abordagem de conformidade como código, as políticas de segurança de aplicações devem definir quais ferramentas serão incluídas e quais tipos de vulnerabilidades e riscos precisam ser corrigidos.

Políticas de conformidade como código, ou de conformidade orientada por testes, são usadas por grandes empresas de software, como o Google, para apoiar um processo de build mais natural e garantir que a inovação continue em empresas seguras. Esses processos garantem:

• Relatórios e transparência padronizados

• Explicações sobre falhas

• Independência dos testes de controle

• Integração fácil com processos de CI/CD

7 elementos de políticas eficazes de segurança de aplicações

Embora nenhuma política sirva para todas as empresas, é fundamental que as políticas de AppSec definam com clareza quais ferramentas, controles e sistemas de segurança são necessários. Assim, a segurança abrange tecnologia e processos, conectando os dois de forma integrada.

As empresas também devem considerar os seguintes elementos para estabelecer políticas eficazes de segurança de aplicações.

• Histórico de ameaças - Identifique quais ameaças e vulnerabilidades causaram as maiores consequências na sua pilha de tecnologia. Isso define uma base para inclusão na política.

• Priorização de vulnerabilidades - A política deve estabelecer critérios para classificar os riscos como altos, médios ou baixos. Isso ajuda você a determinar quais vulnerabilidades precisam ser corrigidas e quais devem ser sinalizadas para análise.

• Correção e mitigação - Esse elemento está diretamente ligado à priorização de vulnerabilidades, mas é mais específico. Quem decide o que precisa ser corrigido? Em que momento do processo de desenvolvimento uma vulnerabilidade deve ser corrigida? Há riscos aceitáveis?

• Processos - As políticas de segurança de aplicações devem definir como a segurança será aplicada ao código da aplicação. Por exemplo, sua empresa vai usar SAST e DAST? 

• Papéis e responsabilidades- A política deve definir quem é responsável por garantir a segurança das aplicações e em quais etapas do SDLC. 

• Ferramentas específicas - A maioria das empresas usa ferramentas de automação de segurança. A política deve definir quais ferramentas serão usadas em cada etapa do SDLC.

• Monitoramento - Muitas vezes, vulnerabilidades em aplicações são descobertas e exploradas depois que o código chega à produção. Uma política eficaz define como as aplicações implantadas serão monitoradas e usa as prioridades estabelecidas acima para determinar as ações corretivas.

Políticas eficazes levam a um desenvolvimento eficaz

Uma política clara de segurança de aplicações estabelece uma estrutura que oferece às equipes de AppSec e aos desenvolvedores as ferramentas e os limites necessários para que confiem no software e nos processos. Uma segurança de aplicações robusta não é algo que se resolve depois nem uma ferramenta adicionada às pressas. É um processo bem estruturado, que acompanha o ritmo da sua organização e transmite confiança aos clientes. As políticas de segurança de aplicações definem como sua organização desenvolve código de qualidade.