Como conscientizar, capacitar e empoderar desenvolvedores em segurança

Atenção, desenvolvedores! Chegou a hora de vocês assumirem a responsabilidade pela segurança das suas aplicações. Isso pode parecer intimidador para algumas pessoas, mas não se preocupem! Há muitos recursos, ferramentas e práticas para orientar vocês rumo à excelência em DevSecOps. Nesta publicação, vamos apresentar alguns episódios de The Secure developer, um podcast em formato de entrevistas apresentado pelo próprio CEO da Snyk, Guy Podjarny. O podcast está no ar há mais de um ano, e Guy já entrevistou algumas das principais referências do nosso setor, incluindo o CTO da Chef, Adam Jacob, o fundador da DevSecCon, Francois Raynaud, e James Governor, da Redmonk, entre outros.

A essa altura, todos sabemos que os desenvolvedores são os novos protagonistas. Quem não se dedica às necessidades dos desenvolvedores nem ouve seus conselhos acaba correndo atrás dos concorrentes. Diante disso, como nós, como setor ou como indivíduos, podemos empoderar os desenvolvedores e dar a eles conhecimento e autonomia suficientes para cuidar da segurança com eficiência? Para responder a essa pergunta, selecionei alguns episódios da série em que Guy conversa com diferentes equipes de segurança para mostrar como isso pode ser feito.

Empoderando desenvolvedores em segurança

Episódio 1: priorizando o desenvolvimento seguro

No episódio de estreia do The Secure Podcast, Guy conversa com Kyle Randolph, engenheiro principal de segurança da Optimizely e primeiro profissional de segurança contratado pela empresa. Kyle e Guy falam sobre como criar boas práticas de segurança e formar referências dentro da equipe de segurança, além da importância de manter proximidade com os engenheiros. Kyle também aborda a tarefa às vezes difícil, mas sempre essencial, de priorizar a segurança na área de engenharia. Ele compartilha histórias de sua trajetória na Optimizely, na Adobe e no Twitter.

“Quando você está próximo da engenharia, sabe o que está sendo desenvolvido e o que está na cabeça dos engenheiros. Fica muito mais fácil influenciá-los e também fazer com que procurem você.”

Kyle Randolph

“Se as pessoas tiverem interesse e paixão pelo assunto, é bem provável que sejam muito mais produtivas trabalhando nele do que se a tarefa for simplesmente atribuída a elas.”

Kyle Randolph

Ouça The Secure Developer - Ep. #1, Prioritizing Secure Development

Episódio 11: mantendo a segurança da PagerDuty

Guy conversa com Arup Chakrabarti, Kevin Babcock e Rich Adams, da PagerDuty. Eles falam sobre como colocaram em prática sua visão de segurança — “facilitar a escolha certa” — criando ferramentas para ampliar a automação de segurança, sendo transparentes e empoderando os desenvolvedores. Isso envolve escolher as ferramentas certas e criar uma experiência de segurança que não obrigue as pessoas a fazer nada, mas mostre como as vulnerabilidades podem ser exploradas. Dar às pessoas a oportunidade de quebrar as coisas também desperta nelas uma forte vontade de protegê-las.

“Em vez de entregar uma lista de regras, apresentamos as coisas de outra forma: ‘é assim que os atacantes agem, é assim que se quebram senhas’. Demonstramos isso com algumas animações elaboradas, e as pessoas se envolveram muito mais.”

Rich Adams

“Uma maneira de envolver a equipe inteira é fazer um rodízio de plantão. Quando surge um problema, quem está de plantão precisa entender o que aconteceu e cuidar da situação.”

Kevin Babcock

“Muitas ferramentas de segurança partem do pressuposto implícito de que você tem um exército de profissionais de segurança e analistas à disposição.”

Arup Chakrabarti

Episódio 13: como a New Relic cuida da segurança

Guy conversa com Shaun Gordon, diretor de segurança da New Relic. Shaun conta como começou sua carreira em segurança, depois de trabalhar como desenvolvedor, e explica como o papel da segurança evoluiu na New Relic. Ele fala sobre a filosofia da empresa de adaptar os processos de segurança à maneira como os desenvolvedores trabalham e destaca a importância de alertas de exceção, scorecards e automação para apoiar uma organização em rápida expansão.

“Nunca fui aquele hacker tradicional que gostava de atacar sistemas. Nunca aprendi essas habilidades formalmente. Acabei entrando nessa área meio sem querer e, desde o começo, sempre encarei a segurança como desenvolvedor, como alguém que defende.”

Shaun Gordon

“Tenho uma filosofia para minha equipe: quero mudar a forma como fazemos segurança para que ela se encaixe na maneira como os desenvolvedores trabalham.”

Shaun Gordon

O que fazer agora!

Está claro que você tem interesse e vontade de se tornar um desenvolvedor que prioriza a segurança, ou de empoderar seus desenvolvedores para que assumam essa responsabilidade. Se esse é o seu caso, inscreva-se no podcast The Secure Developer e acompanhe os novos episódios assim que forem lançados! E, se você quer dar aos desenvolvedores as ferramentas necessárias para encontrar vulnerabilidades conhecidas e licenças inadequadas com eficiência, além de corrigir os problemas, conheça a Snyk, que oferece testes gratuitos e ilimitados para projetos de código aberto.