Análise das 12 recomendações da Gartner para uma implementação bem-sucedida de DevSecOps

“Integrar a segurança ao DevOps para implementar o DevSecOps exige mudanças de mentalidade, processos e tecnologias. Líderes de segurança e gestão de riscos devem respeitar a natureza colaborativa e ágil do DevOps para que os testes de segurança se integrem perfeitamente ao desenvolvimento, tornando o “Sec” do DevSecOps transparente.”

Segundo o relatório da Gartner, o DevSecOps rapidamente se tornou uma das áreas de maior crescimento em interesse em 2019. Iniciativas de DevSecOps em constante evolução e bem-sucedidas trouxeram aprendizados importantes para analistas e outros líderes de segurança e desenvolvimento. O relatório mais recente da Gartner — 12 recomendações para uma implementação bem-sucedida de DevSecOps — reúne esses aprendizados e apresenta análises esclarecedoras.

Promover uma mudança organizacional rumo ao DevSecOps pode ser complicado: envolve várias equipes, muitas etapas e até novas ferramentas. Os analistas da Gartner identificaram os desafios mais comuns e fizeram recomendações para organizações que buscam ampliar o DevOps.

Entre os tópicos abordados no relatório estão:

• Adapte as ferramentas e os processos de teste de segurança às necessidades dos desenvolvedores

• Pare de tentar eliminar todas as vulnerabilidades durante o desenvolvimento

• Priorize a identificação e a remoção de vulnerabilidades conhecidas em código aberto

• Não espere usar DAST/SAST tradicionais sem fazer adaptações

• Treine os desenvolvedores em programação segura, mas não espere que se tornem especialistas em segurança

• Adote um modelo de security champions e implemente uma ferramenta simples para reunir requisitos de segurança

• Proteja os scripts de automação e aplique disciplina operacional à postura de segurança da infraestrutura

• Implemente um controle de versões mais rigoroso para todo o código e seus componentes

• Adote o gerenciamento de segredos

• Adote uma mentalidade de infraestrutura imutável

• Repense como os incidentes na entrega de serviços são tratados

• Use o provisionamento dinâmico de acesso para desenvolvedores em DevSecOps

A seguir, detalhamos três das 12 recomendações, mas incentivamos você a ler o relatório completo para ter uma visão abrangente das melhores formas de aplicar essas práticas na sua organização.

Adapte as ferramentas e os processos de teste de segurança às necessidades dos desenvolvedores — e não o contrário

Um princípio fundamental do DevOps, e um dos mais conhecidos, é fazer o trabalho avançar pelo sistema o mais rápido possível. Menos conhecido, mas essencial para o DevOps e a segurança de aplicações, é o princípio de dar feedback aos desenvolvedores no mesmo ritmo e o mais cedo possível no processo.

A abordagem ultrapassada à segurança da informação precisa ser renovada. Mas mudar a organização para adotar o DevOps não é fácil: esse processo depende de uma equipe de desenvolvimento adaptável e de equipes de operações e segurança colaborativas, dispostas a compartilhar conhecimento. Depois que o novo processo é implementado, os desenvolvedores podem proteger as aplicações enquanto as criam, no próprio ritmo, simplificando todo o processo e facilitando a conformidade.

Essa abordagem que prioriza os desenvolvedores também exige uma análise das soluções de segurança disponíveis. Acima de tudo, elas devem ser pensadas para os desenvolvedores, que são os principais usuários — mesmo quando a ferramenta é financiada pela equipe de segurança. Com o tempo, essas soluções se tornarão o novo padrão e orientarão a maneira como abordaremos o DevOps no futuro.

Priorize a identificação e a remoção de vulnerabilidades conhecidas em código aberto

Voltaire é autor de uma famosa frase de séculos atrás: “O perfeito é inimigo do bom.” Isso continua tão verdadeiro hoje quanto naquela época, especialmente no mundo dos negócios digitais, onde a busca da segurança da informação por uma proteção perfeita entra em conflito com a necessidade de rapidez e agilidade das empresas e dos desenvolvedores.

Depois de implementar as ferramentas certas, é fácil acreditar que todos os problemas serão identificados e corrigidos de imediato. Mesmo com o processo simplificado que o DevOps traz para a segurança de uma organização, isso simplesmente não acontece. A situação fica ainda mais frustrante quando as equipes fazem os primeiros testes, se deparam com uma pilha de vulnerabilidades e se perguntam: “Certo, o que devemos corrigir primeiro?”

Assim como a Gartner, recomendamos transformar essa pilha em uma lista priorizada mais fácil de gerenciar para os desenvolvedores.

Adote um modelo de security champions e implemente uma ferramenta simples para reunir requisitos de segurança

Os security champions podem reduzir a complexidade percebida da programação segura com exemplos práticos e imediatos no código da equipe, além de priorizar correções rápidas em vez de problemas mais abstratos e difíceis de relacionar ao dia a dia.

Um ótimo exemplo de security champions é o sucesso da Revolut ao adotar essa prática em toda a organização. A empresa percebeu quase de imediato uma melhora na abordagem à segurança e atribuiu boa parte desse resultado à Snyk: uma parceira capaz de se integrar à empresa não só do ponto de vista tecnológico, mas também cultural.

Este post abordou apenas uma pequena parte dos valiosos insights do relatório — ainda há muitas recomendações para explorar!