Como os desenvolvedores da Comic Relief usaram o Snyk para automatizar a segurança e aumentar a produtividade na transformação digital

O Snyk ajudou a Comic Relief a aproveitar a agilidade do código aberto sem abrir mão da segurança. Com a liberação de recursos da equipe de desenvolvimento — que não precisava mais “se concentrar em tarefas rotineiras, como a segurança de sistemas de terceiros” —, o Snyk foi facilmente integrado ao pipeline de implantação serverless do Concourse CI da Comic Relief, permitindo que desenvolvedores iniciantes usassem o Snyk para corrigir proativamente bibliotecas vulneráveis.

“É extremamente difícil fazer uma análise criteriosa da enorme quantidade de bibliotecas de terceiros que usamos: quais são mantidas adequadamente? Quais têm um histórico comprovado de segurança? Quando ouvimos falar do Snyk, pensamos: ‘é uma escolha óbvia’ e precisamos começar a usar o Snyk!”

Peter Vanhee, líder de práticas de engenharia na Comic Relief

Desafios

A história da Comic Relief será familiar para empresas que estão passando por uma transformação digital. Os princípios fundamentais da transformação digital substituem a abordagem “em cascata”, em que ferramentas, código e builds são avaliados, pela autonomia das equipes de desenvolvimento para escolher ferramentas, usar bibliotecas de código aberto e fazer implantações contínuas. O uso de bibliotecas de terceiros aumenta a agilidade e a produtividade, mas também traz riscos de segurança. Como explica Girish Nair, chefe de engenharia da Comic Relief: “Antes de usar o Snyk, as dependências desatualizadas eram uma grande preocupação. Não tínhamos tempo para pesquisar a postura de segurança ou as vulnerabilidades de cada pacote, nem para implementar um sistema de aplicação manual de patches”. A Comic Relief precisa evitar riscos e leva a segurança muito a sério: “Queremos fazer justiça aos nossos doadores. Não queremos que os dados deles se percam, nem que suas transações sejam recusadas. Queremos ser dignos da confiança deles”. Conciliar segurança, agilidade e uso de bibliotecas de código aberto era um grande desafio: “não havia uma maneira segura de escolher o conjunto certo sem investir recursos significativos, que poderíamos aproveitar melhor em outras áreas”.

Como o Snyk ajudou

Embora o uso de serverless pela Comic Relief ainda esteja evoluindo, a empresa integrou com facilidade o Snyk ao pipeline de implantação e integração contínua do Concourse.

Como parte do pipeline de implantação, o Snyk verifica se há vulnerabilidades nas dependências usadas. Se uma vulnerabilidade for encontrada, a implantação é interrompida. Além disso, se a equipe de segurança do Snyk (ou outras pessoas) descobrir novas vulnerabilidades ou se uma nova correção estiver disponível, seja por meio de uma atualização ou de um patch, o Snyk enviará uma notificação por e-mail e ao canal do Slack da equipe de desenvolvimento da Comic Relief. Os alertas do Snyk são avaliados na reunião diária, e a equipe da Comic Relief define quem será responsável por corrigir as vulnerabilidades. A Comic Relief dá muita importância ao desenvolvimento de profissionais em início de carreira. Uma das principais vantagens do Snyk é a facilidade para corrigir vulnerabilidades. Com o comando <c>snyk wizard</c> da CLI do Snyk, desenvolvedores de todos os níveis podem proteger o código de terceiros que usam.

“Dá para ver que o Snyk foi criado por desenvolvedores para desenvolvedores”

Peter Vanhee, líder de práticas de engenharia na Comic Relief

Resultados

Desde a integração do Snyk, a equipe de desenvolvimento da Comic Relief pode se concentrar no próprio código e confiar no Snyk para proteger as bibliotecas de código aberto. “Com a automação oferecida pelo Snyk, conseguimos direcionar profissionais de tarefas manuais e rotineiras de segurança para o desenvolvimento altamente produtivo de funcionalidades. Como o Snyk nos alerta sobre novas vulnerabilidades por meio de um pull request (que já inclui a ‘correção’), reduzimos um longo processo manual de triagem e correção a um simples ‘merge’, que podemos fazer em minutos.”

“Recomendamos o Snyk especialmente para equipes ágeis que fazem grandes coisas com rapidez, que também se preocupam com segurança e dão importância a todos os aspectos da qualidade.”

Peter Vanhee, líder de práticas de engenharia na Comic Relief

Sobre a Comic Relief

A Comic Relief é uma importante instituição beneficente do Reino Unido, com a visão de construir um mundo justo e livre da pobreza. Desde sua criação, em 1985, a organização já arrecadou bem mais de 1 bilhão de libras no Reino Unido por meio do Red Nose Day, uma maratona televisiva bienal realizada em março, que se alterna com o projeto parceiro Sport Relief. Em maio de 2015, a NBC exibiu o primeiro Red Nose Day nos EUA, e o evento continua sendo realizado anualmente desde então.

Para saber mais sobre como usar o Snyk para proteger você, fale com a gente: contact@snyk.io