AWS re:Invent 2022: Como a Neiman Marcus adotou uma estratégia de segurança que prioriza desenvolvedores

Na conferência AWS re:Invent deste ano, Ravi Maira, vice-presidente de marketing de produto da Snyk, conversou com Omar Peerzada, arquiteto de cibersegurança da Neiman Marcus, sobre como sua equipe deixou práticas de segurança antigas para trás e adotou uma estratégia que prioriza desenvolvedores. Assista à conversa completa agora ou continue lendo para conferir os destaques.

https://youtu.be/BH2GY5GrsQM

Do legado à nuvem

Peerzada explicou que a Neiman Marcus, uma empresa centenária, foi uma das primeiras varejistas a abraçar a transformação digital. No início dessa transição, a empresa trabalhava com muita infraestrutura e muitos aplicativos legados. Os problemas típicos que afetam sistemas locais — escalabilidade, desempenho e segurança — foram os principais fatores que levaram a Neiman Marcus a olhar além dos ambientes locais e migrar para a nuvem.

Traçando o caminho: como foi a migração?

Maira perguntou: "Como foi a migração para a nuvem? Como aconteceu essa transformação?"

Depois de muita pesquisa, eles escolheram a AWS como parceira de nuvem. Em seguida, criaram um grupo chamado Cloud Center of Excellence, responsável por implementar práticas de DevSecOps em toda a organização. O grupo criou pipelines para garantir que a segurança estivesse integrada em diferentes etapas. Também forneceu uma arquitetura escalável para que os desenvolvedores pudessem trabalhar dentro de limites de segurança.

Peerzada ressaltou que, com arquiteturas escaláveis na era da transformação digital, é fundamental não comprometer a segurança. Agora, no sexto ano desde a migração para a nuvem, a equipe de Peerzada transferiu quase 90% de suas cargas de trabalho dos ambientes locais para a nuvem.

A pergunta decisiva: quem é responsável pela segurança na nuvem?

"Então", disse Maira, "vocês migraram para a nuvem. A migração já começou. Como teve início a parte de segurança do processo e quais foram algumas das primeiras lições aprendidas?"

A pergunta de milhões: quem é responsável pela segurança na nuvem? A equipe de DevOps? A equipe tradicional de segurança da informação? Ou existe uma equipe de segurança na nuvem? É aí que a liderança deve orientar o caminho.

A equipe de Peerzada decidiu que o Cloud Center of Excellence era o grupo mais indicado para conduzir o programa de segurança na nuvem, pois era a "equipe na linha de frente", que acompanhava o processo de perto. Mas o grupo teria de atuar dentro dos limites mais amplos das políticas de segurança da empresa. Dentro desses limites, a equipe podia escolher as ferramentas de segurança que usaria. Essa decisão foi fundamental para que o Cloud Center of Excellence operasse em escala sem bloquear as equipes de produto no ritmo acelerado da empresa.

Como encontrar ferramentas para a segurança na nuvem

A equipe começou a implementar controles na AWS usando o ambiente local como modelo e comparando os dois ambientes em condições equivalentes. Mas enfrentou na nuvem os mesmos problemas de segurança que tinha nos ambientes locais. Por isso, logo passou a usar ferramentas nativas da nuvem da AWS, que ajudaram a manter a agilidade a um custo razoável.

A equipe de Peerzada implementou controles de segurança da AWS. Desde o início, a automação foi a prioridade: a equipe configurou vários mecanismos de segurança como padrão e criptografou tudo. Também priorizou a "higiene cibernética básica", garantindo controles rigorosos de gerenciamento de identidade e acesso, o que ajudou a criar uma estrutura de "confiança zero". A equipe automatizou a correção de controles importantes. Por exemplo, no data lake da AWS, usou o S3 para armazenar objetos e habilitou a correção automática da criptografia do S3.

A inclusão da segurança de aplicações

Em seguida, Maira perguntou: depois de cuidar da segurança na nuvem, como vocês passaram a adotar soluções mais tradicionais de segurança de aplicações, como o teste estático de segurança de aplicações (SAST) ou a análise de composição de software (SCA)?

Peerzada lembrou que sua equipe usava algumas ferramentas de código aberto diferentes para verificações básicas de segurança e qualidade de código. Enquanto se concentrava em levar a infraestrutura de nuvem para produção sem vulnerabilidades, a equipe percebeu que precisava melhorar a segurança das aplicações. O objetivo era conectar esses dois silos e aplicar à segurança das aplicações o mesmo ritmo e ciclo de feedback que já usavam para a segurança na nuvem.

Estávamos diante de uma lacuna na segurança de aplicações. Queríamos, de alguma forma, conectar os silos, unir esses dois mundos para garantir que tivéssemos o ritmo certo e o ciclo de feedback que já tínhamos para a segurança na nuvem... e aplicar isso também à segurança das aplicações. Foi então que conhecemos a Snyk e percebemos que era exatamente o que procurávamos.

A equipe começou a usar o Snyk Open Source para analisar dependências e pacotes de terceiros como parte do processo de SCA. Depois, integrou a Snyk aos repositórios Git para identificar as vulnerabilidades que poderiam surgir — e os resultados foram imediatos. Ao perceber o valor que a Snyk proporcionava ao permitir que os desenvolvedores corrigissem vulnerabilidades, a Neiman Marcus rapidamente se tornou cliente corporativa da Snyk.

Maira perguntou: "Como vocês envolveram mais os desenvolvedores em segurança?"

A equipe introduziu a Snyk gradualmente. Primeiro, usou a plataforma em apenas alguns projetos críticos, escolhidos a dedo: integrou repositórios Git e deu aos desenvolvedores tempo para aprender a trabalhar com a Snyk. Pouco depois, tornou o uso da Snyk uma etapa obrigatória na integração de novos desenvolvedores. Eles começaram a analisar o código com a Snyk em seus IDEs e se envolveram mais com as práticas de segurança. Foi assim que a equipe de Peerzada estabeleceu as bases de uma abordagem que prioriza desenvolvedores. O próximo passo foi adicionar um plugin da Snyk aos pipelines de desenvolvimento para automatizar a aplicação de práticas de DevSecOps.

Sobre os benefícios para nós... temos reuniões periódicas com a Snyk, a cada duas semanas, para conversar com os arquitetos de soluções da empresa. Eles nos fornecem dados e ajudam a entender o valor em dinheiro que economizamos — calculando as horas de trabalho que seriam necessárias para corrigir essas vulnerabilidades sem a Snyk. Isso é muito importante: ajuda os clientes a enxergar a realidade. Eles também fornecem uma lista dos desenvolvedores que analisam linhas de código em seus IDEs. Com esses dados, conseguimos identificar líderes de segurança entre os desenvolvedores.

Na estratégia serverless-first da Neiman Marcus, diferentes camadas são abstraídas e cada vez mais responsabilidades de segurança ficam a cargo da nuvem. Mas o código das aplicações e as bibliotecas continuam dentro de contêineres — e ainda precisam ser protegidos. Por isso, a equipe de Peerzada se concentrou em conectar o gerenciamento da postura de segurança na nuvem à segurança das aplicações, e em ajudar os desenvolvedores a incorporar a segurança ao trabalho, em vez de deixá-la para depois.

Lições aprendidas ao criar uma estratégia de segurança que prioriza desenvolvedores

Peerzada destacou os principais aprendizados de sua experiência:

1. Na segurança na nuvem, comece pela higiene cibernética básica, incluindo controles de gerenciamento de acesso que ajudam a criar uma arquitetura de confiança zero.

2. Não consuma informações às quais você não pode reagir. Algumas empresas usam diversas ferramentas que geram muitos alertas. Mas é preciso fazer avaliações contextualizadas e baseadas em risco. Há muitos peixes no oceano — você precisa ir atrás dos tubarões.

3. A segurança na nuvem deve ser tratada de forma diferente da segurança em ambientes locais. Ela exige outra abordagem. Durante sua jornada de segurança na nuvem, não tenha medo de usar ferramentas de código aberto.

4. Conecte os silos de gerenciamento da postura de segurança na nuvem e de segurança de aplicações e trate-os como uma só entidade. O que a Snyk está fazendo com um mecanismo de políticas unificado é excelente. Quando você trata esses silos como uma única entidade, cria uma estrutura robusta de cibersegurança.

Agradecemos a Omar Peerzada por compartilhar sua história conosco na AWS re:Invent! Adoramos ouvir histórias sobre como a Snyk ajudou organizações a capacitar desenvolvedores para integrar a segurança ao fluxo de trabalho.