Como a REI criou uma cultura DevSecOps e como a Snyk ajudou
Brian Piper
27 de fevereiro de 2024
0 minutos de leituraHá alguns anos, a REI iniciou sua jornada de transformação digital e migração para a nuvem, transferindo seus ambientes de desenvolvimento locais para a AWS. Mas, quando as equipes de desenvolvimento da REI começaram essa transição, as equipes de segurança perceberam que a segurança de aplicações não estava acompanhando o ritmo. Com isso, a REI iniciou outra jornada: identificar as ferramentas de segurança certas e as mudanças culturais necessárias para ter sucesso em AppSec.
Dan Ngo, engenheiro de segurança líder de Engenharia de Cibersegurança e Gestão de Riscos na REI, e Clinton Herget, CTO de campo da Snyk, conversaram em uma sessão da AWS Re:Invent 2023 sobre como a equipe da REI criou uma forte cultura de segurança entre as equipes de desenvolvimento. Continue lendo para conhecer essa história e assistir ao vídeo completo abaixo.
A decisão da REI de estabelecer um programa de AppSec
Quando Dan chegou à REI, a empresa passava por uma transformação digital, que incluía a migração para a nuvem. Na época, a segurança ficava praticamente à parte dos fluxos de trabalho dos desenvolvedores e se concentrava em outros itens, como endpoints e segurança de e-mail. Havia algumas iniciativas de segurança de aplicações, mas elas consistiam principalmente em diferentes equipes de desenvolvimento adotando abordagens próprias para proteger suas aplicações. Essas equipes contavam sobretudo com alguns defensores da segurança para tomar a iniciativa. No entanto, esses defensores tinham níveis variados de experiência com práticas de segurança, o que gerava inconsistências em toda a organização.
Quando chegou, Dan perguntou aos desenvolvedores o que faziam em relação à segurança. Eles disseram que usavam algumas ferramentas para compilar relatórios de segurança, mas quase não analisavam os resultados.
Segundo Dan, “Havia alguns engenheiros e desenvolvedores com mentalidade voltada à segurança que implementavam verificações de segurança por motivos de conformidade. Mas eles não obtinham nenhum benefício real com isso.”
Dan e sua equipe precisavam estabelecer uma base sólida de segurança que acompanhasse os esforços de modernização das aplicações. Eles sabiam que essa base precisava combinar as ferramentas, a cultura e os processos certos. O objetivo final era antecipar a segurança no ciclo de desenvolvimento e envolver desenvolvedores e engenheiros nas iniciativas de segurança, adotando uma abordagem DevSecOps em toda a organização.
Como a REI usa as ferramentas da Snyk
Como parte da iniciativa para construir relações sólidas com outras equipes, a equipe de Dan sabia que precisava escolher as ferramentas certas para encontrar e corrigir vulnerabilidades. Depois de testar algumas ferramentas diferentes, optaram pela Snyk. Os desenvolvedores gostaram da visibilidade das vulnerabilidades de código aberto com Snyk Open Source e das sugestões de correção de código com Snyk Code. A equipe de engenharia de plataforma também preferiu a Snyk porque ela se integrou melhor às ferramentas já usadas pela REI e ao ambiente de nuvem AWS subjacente.
Dicas da REI para criar uma cultura DevSecOps
Ao promover essa parceria entre engenharia e desenvolvimento, a equipe de Dan identificou táticas que funcionaram e outras que não deram certo. Para conquistar o apoio das equipes e alcançar os resultados de segurança desejados, foi necessário passar por uma transformação cultural.
Confira três dos principais aprendizados que Dan teve ao criar essa cultura com as ferramentas da Snyk.
Entenda a fundo as prioridades das outras equipes e construa confiança
No início do processo de segurança, a REI tentou implementar rapidamente um novo produto de análise estática de código, sem antes entender a perspectiva dos desenvolvedores. A implementação não foi bem recebida. Dan contou que os desenvolvedores resistiram à ferramenta porque ela não se integrava aos pipelines existentes. Isso gerou muito atrito entre as duas equipes.
Depois de coletar feedback, a equipe de Dan percebeu que precisava trabalhar com os fluxos de trabalho já existentes das equipes de desenvolvimento e engenharia — e não contra eles. Analisaram em detalhes as plataformas e equipes atuais da REI e, então, buscaram adotar ferramentas e processos que funcionassem em conjunto com elas.
Para compreender de verdade a perspectiva das outras equipes, Dan passou boa parte do tempo integrado à equipe de engenharia de confiabilidade de sites, aprendendo sobre os processos e as prioridades existentes.
“Ajudei a contribuir com o código, entender como os microsserviços funcionam e como os engenheiros de infraestrutura faziam seu trabalho. A partir daí, veio a construção da confiança e, então, a apresentação de mais conceitos de segurança.”
Adote a melhoria contínua
Ao longo da conversa, Dan mencionou várias situações em que sua equipe experimentou algo novo, cometeu alguns erros e aprendeu com eles. Em vez de esperar a perfeição logo de início, a equipe adotou a ideia de começar em algum ponto e aprimorar os processos com o tempo.
Como exemplo dessa mentalidade de melhoria contínua, a equipe decidiu oferecer horários de atendimento aberto quando apresentou a Snyk. Nessas conversas abertas e com os alertas da Snyk, descobriram que os próprios desenvolvedores não conseguiam corrigir muitas das descobertas das verificações de segurança. Na verdade, essas vulnerabilidades faziam parte de uma biblioteca chamada CRAMPON, mantida pela equipe de engenharia de plataforma. Alguns desenvolvedores usavam versões desatualizadas dessa estrutura. Com isso, a equipe de Dan conseguiu implementar melhorias.
“Agora temos uma política de descontinuação”, disse Dan. “Temos um SLA. Também estamos trabalhando para definir qual é a versão mínima da estrutura CRAMPON e comunicar isso aos desenvolvedores, para que entendam que precisam usar uma versão mínima específica das nossas ferramentas internas.”
Identifique e atribua a responsabilidade pelas correções
Como parte de uma abordagem abrangente e prática de AppSec, Dan também queria encontrar formas de lidar com o código legado. Para isso, era essencial definir claramente quais equipes eram responsáveis por cada parte do software legado.
Ao decompor a maior parte do monólito, a equipe conseguiu entender quem era responsável internamente pela maior parte do código legado. A Snyk ajudou a identificar as dependências. Agora, a equipe de segurança consegue ver claramente quem é responsável por cada parte do código e encaminhar as correções aos grupos certos. Para o código e os serviços restantes que ainda estão no monólito legado e não têm responsáveis definidos, a equipe de segurança resolve diretamente os problemas relacionados à segurança usando a Snyk. Isso gera respeito entre os desenvolvedores e os incentiva a verificar os problemas por conta própria.
Os avanços da REI em segurança de aplicações
Graças aos processos e às ferramentas escolhidos, Dan e sua equipe agora têm uma relação muito mais colaborativa com as equipes de desenvolvimento e engenharia de plataforma. À medida que o programa amadurece, Dan diz que seu principal objetivo é garantir que os desenvolvedores consigam contextualizar e entender as vulnerabilidades das aplicações e, então, priorizar e implementar correções dentro dos SLAs definidos pela REI — especialmente o tempo médio para correção (MTTF). A Snyk ajuda a alcançar esse objetivo ao encontrar vulnerabilidades no início do pipeline e oferecer recursos para que os desenvolvedores as corrijam rapidamente.
“Ver desenvolvedores implementando uma correção na nossa aplicação porque a Snyk apontou um problema é um ótimo sinal de que estamos no caminho certo para criar um processo robusto e uma relação de confiança entre as equipes de segurança e desenvolvimento.”
Assista à apresentação da AWS Re:Invent abaixo para saber mais sobre nossa parceria com a REI. Se quiser experimentar a plataforma de segurança da Snyk, criada para desenvolvedores, você também pode criar uma conta gratuita da Snyk diretamente no AWS Marketplace ou diretamente no app da Snyk.
Vídeo: AWS re:Invent 2023 - Como a REI criou uma cultura DevSecOps desde o início
