Como a segurança de aplicações evoluiu em 2021: a perspectiva do Reddit

À medida que as organizações continuam dependendo de software para processos essenciais dos negócios, a segurança de aplicações se torna cada vez mais indispensável. Recentemente, a Snyk promoveu uma mesa-redonda com o Reddit para discutir a segurança de aplicações em 2021.

Nesta publicação, vamos recapitular a conversa entre Guy Podjarny, presidente e cofundador da Snyk, e Spencer Koch, Security Wizard do Reddit. O Reddit tem mais de 600 engenheiros, e sua equipe de segurança usa os recursos de segurança do Snyk Open Source, o gerenciamento de vulnerabilidades do Snyk Container, os recursos de segurança do Snyk Infrastructure as Code e a API da Snyk para expandir a AppSec por mais de 1.000 repositórios.

Como o tamanho da organização afeta a AppSec

Os objetivos da segurança de aplicações são os mesmos, independentemente do tamanho da organização:

• Definir requisitos de segurança

• Encontrar vulnerabilidades antes que sejam exploradas e impedir que isso aconteça novamente

• Aprimorar a experiência dos desenvolvedores com dados e testes de segurança

Dito isso, Koch acredita que a forma de implementar a AppSec depende do tamanho da organização e da equipe de segurança.

“Acho que a diferença entre empresas grandes e pequenas está em onde você concentra seus esforços para realizar o trabalho”, diz Koch. “O trabalho é o mesmo, seja em uma grande empresa ou em uma startup pequena. Você precisa mudar a forma de pensar sobre como alocar os recursos disponíveis.”

Por exemplo, equipes menores não têm tempo nem recursos para implementar ferramentas de segurança que exigem um trabalho de engenharia feito sob medida. Organizações menores precisam se concentrar em escolher uma ferramenta, de código aberto ou comercial, que possa ser implementada rapidamente e gerenciada de forma centralizada, atendendo à maioria dos casos de uso — tudo isso com recursos limitados.

Já uma organização maior pode escolher ferramentas de segurança mais alinhadas aos requisitos do negócio e à variedade de casos de uso, mesmo que isso exija mais esforço inicial e contínuo. Organizações maiores não só têm orçamentos maiores, como também costumam ter várias camadas de aprovação e gestão, o que pode fazer a implementação levar meses (ou mais). Muitas vezes, elas querem garantir que tudo seja feito corretamente logo de início, mesmo que isso leve mais tempo — e faz sentido! Ainda assim, nunca subestime o poder de fazer ajustes rapidamente e testar algo novo para ver se funciona: cada organização é diferente.

Como lidar com stacks de tecnologia fragmentadas

Uma decisão importante para a maioria das organizações é dar liberdade para que os desenvolvedores adotem as tecnologias que quiserem ou impor restrições ao uso de novas linguagens, frameworks e outros recursos por meio de um modelo rigoroso de governança. Embora mais liberdade para os desenvolvedores pareça algo ótimo, cada nova tecnologia adotada pode fragmentar ainda mais a stack de tecnologia e aumentar o número de componentes de infraestrutura e o trabalho de engenharia necessário para mantê-la.

“Hoje existe uma tendência de dizer que a AppSec morreu, mas não é bem assim”, diz Koch. “A política interna das empresas continuará existindo, e as organizações terão várias unidades de negócio que querem fazer as coisas à sua maneira. Portanto, o problema das stacks de tecnologia fragmentadas e da proliferação de produtos concorrentes continuará existindo. Os engenheiros de AppSec estarão lá para garantir que os controles implementados funcionem como deveriam e atendam aos objetivos gerais de segurança da informação.”

Com uma stack de tecnologia fragmentada, muitas empresas grandes deixam de aproveitar os ganhos de escala, pois sempre haverá trabalho adicional para desenvolvedores e engenheiros de segurança. Por exemplo, aplicar controles de segurança pode exigir várias ferramentas e processos de análise estática ou varredura de código para garantir a compatibilidade com diferentes conjuntos de tecnologias. Isso significa que as empresas precisam decidir quanto querem gastar para manter stacks de tecnologia fora do padrão, especialmente quando funções relacionadas ao desenvolvimento, como a segurança, geram trabalho adicional.

As empresas precisam equilibrar a liberdade dos desenvolvedores para escolher as próprias tecnologias com o possível aumento do trabalho necessário para cuidar da segurança de aplicações, da dívida técnica e da infraestrutura de suporte. Para isso, podem adotar processos mais consistentes e padronizados. Cada organização tem prioridades diferentes; por isso, é importante avaliar os prós e contras pensando no longo prazo.

A importância de ferramentas de segurança de aplicações fáceis de usar para desenvolvedores

Para que a adoção aconteça, é essencial que os desenvolvedores — e outras equipes responsáveis pelo sucesso do negócio — percebam que usar ferramentas de segurança de terceiros facilita o processo de desenvolvimento e melhora a qualidade do produto. Assim, eles adotam essas ferramentas não porque a organização exige, mas porque são fáceis de usar, práticas e benéficas nos fluxos de trabalho que já utilizam.

“A Snyk tem como princípio ser uma empresa de ferramentas para desenvolvedores que trabalha com segurança”, diz Podjarny. “Para fazer com que os desenvolvedores adotem a segurança, é preciso colocá-los no centro, mas também é necessário equilibrar isso com os requisitos das equipes de segurança de aplicações.”

Para muitas equipes de segurança, a adoção depende de as ferramentas serem vistas como aliadas da qualidade, e não como obstáculos. Se as organizações começarem com boas práticas de segurança bem definidas, poderão escolher ferramentas fáceis de usar para desenvolvedores e implementar automações para que a adoção em toda a organização seja o caminho mais simples.

O escopo da AppSec em 2021

Os profissionais de segurança que participaram da mesa-redonda concordam, em geral, que a segurança de aplicações deve abranger todas as áreas de vulnerabilidade relacionadas a aplicações — da infraestrutura e segurança na nuvem às configurações de contêineres e redes. Com cada vez mais tecnologias abstraídas em software, o que torna o desenvolvimento mais fácil e rápido, o papel das equipes de AppSec está crescendo e evoluindo.

“Sempre estruturei minhas equipes para que a segurança ofensiva fosse uma capacidade”, explica Koch. “Em vez de focar em conjuntos de habilidades separados, como aplicações, infraestrutura ou nuvem, faz sentido, do ponto de vista executivo, reunir essas áreas, já que as tecnologias subjacentes e a forma como são usadas na organização continuam evoluindo.”

Empresas de grande porte com muitos ativos ou tecnologias específicas para proteger, porém, podem obter melhores resultados ao dividir essas funções em equipes menores, ampliando a profundidade da cobertura. Ainda assim, os dados de cada área são valiosos e interdependentes. Portanto, mesmo com equipes separadas, as vulnerabilidades costumam apresentar padrões semelhantes. Além disso, o objetivo continua o mesmo para cada uma dessas funções; em geral, a decisão depende da estrutura e da política internas da organização.

Como a AppSec continua evoluindo a cada ano, a Snyk promove regularmente webinars para conhecer diferentes perspectivas de profissionais de segurança do setor. Essas mesas-redondas são uma oportunidade para a Snyk entender as necessidades das equipes de segurança de aplicações e dos desenvolvedores, para que a empresa continue alinhando seus produtos às necessidades de segurança de organizações como o Reddit — e de muitas outras.