Resumo da SnykCon: como criar um programa de AppSec focado em desenvolvedores

Criar um programa de segurança de aplicações pode parecer uma tarefa desafiadora. O fluxo constante de conteúdos que incentivam as equipes a adotar a abordagem shift left é inspirador, mas não ajuda você a dar os primeiros passos. Olhar para organizações com iniciativas maduras de AppSec pode fazer a distância parecer intransponível — enquanto um plano prático continua fora de alcance. Como tudo no desenvolvimento de software, a segurança de aplicações é uma jornada. E ela fica muito mais agradável quando você conta com alguns princípios orientadores.

Embora a SnykCon do ano passado tenha trazido muitas dicas e boas práticas de AppSec, duas palestras com clientes da Snyk abordaram o processo de criar e manter uma cultura de desenvolvimento seguro na sua organização. Em uma delas, Per Olsson (consultor de AppSec da Visma) compartilhou as lições que aprendeu ao passar de desenvolvedor a consultor de segurança. Na outra, reunimos um painel com três especialistas em segurança de diferentes setores para conversar sobre como eles criaram programas de segurança eficazes do zero.

Essas palestras abrem espaço para discutir como lidar com as etapas, os marcos e os desafios de um programa de AppSec em desenvolvimento — e nos ajudam a traçar um caminho para uma cultura de segurança bem-sucedida.

Como começar seu programa de AppSec do zero

O que é AppSec?

Ao criar um programa do zero, é importante entender o que é segurança de aplicações e quais são as suas necessidades específicas. Olsson resumiu bem a ideia ao dizer: “AppSec não tem a ver com segurança de aplicações”. A segurança começa pelas pessoas. Todos que fazem parte de uma organização — desenvolvedores, gestores, equipes de qualidade, design e jurídico — formam a base de um programa de segurança. A maioria dos incidentes de segurança é resultado de erro humano e, quando os prazos são apertados, as equipes podem deixar a segurança em segundo plano para priorizar funcionalidades ou outras tarefas com retorno sobre o investimento mais evidente. Por isso, o primeiro passo é fazer da segurança uma prioridade.

Comece aos poucos

Um ponto em comum entre todos os especialistas da SnykCon foi a recomendação de começar aos poucos. Programas de segurança abrangentes não surgem da noite para o dia, e é importante evitar comparações nas primeiras etapas do desenvolvimento. A equipe de segurança da Visma começou como um grupo de interesse formado por um gestor e vários desenvolvedores. Tanto Nicholas Vinson (diretor de DevSecOps da Pearson) quanto

Gagan Bhatia (diretor de entrega de cibersegurança da 10x Banking) recomendam que os PMs integrem um engenheiro de segurança experiente a uma pequena equipe de desenvolvedores interessados. Juntos, eles podem identificar requisitos e possíveis ameaças. É importante compartilhar práticas de programação segura com todos os desenvolvedores e dar a eles autonomia para encontrar formas criativas de integrar a AppSec ao SDLC existente. O objetivo final deve ser uma mudança cultural em direção à programação segura — e isso começa com cada pessoa.

Abra mão de parte do controle

Por fim, a equipe de segurança precisa abrir mão de (parte do) controle. Ela deve orientar e apoiar os desenvolvedores — não agir como uma fiscalizadora. A cultura isolada que cerca os métodos tradicionais de segurança precisa dar lugar à transparência e à colaboração entre equipes. Cada equipe de uma organização tem necessidades, objetivos e formas de entrega diferentes. Ao oferecer ferramentas práticas e orientação às equipes de desenvolvimento, você permite que elas assumam a responsabilidade por seus programas de AppSec e fortalece o compromisso com práticas de programação segura.

Play Video: Lessons learned from building a developer-first AppSec program

Aprimorando uma abordagem madura de AppSec

Melhoria contínua

Quando seu programa estiver em andamento, começa o processo de aprimoramento. À medida que cresce a confiança entre as equipes de segurança, desenvolvimento e gestão, é possível avaliar ferramentas e fluxos de trabalho. Olsson fez isso entrevistando as equipes de desenvolvimento com as quais trabalhava. Assim, a equipe de segurança em expansão conseguiu aumentar a eficiência, confirmar se o plano de segurança atendia às necessidades dos desenvolvedores e identificar ameaças que haviam passado despercebidas. À medida que as tarefas de segurança são antecipadas no ciclo de desenvolvimento, a automação e os testes contínuos ajudam o programa de AppSec a fornecer dados consistentes.

Defina o que é sucesso

Muitas vezes, as equipes de segurança em expansão têm dificuldade para quantificar seu sucesso. Ao contrário da entrega de funcionalidades, as iniciativas de segurança nem sempre geram resultados visíveis de imediato (como medir todas as violações que você não sofreu?). E, embora as ferramentas forneçam muitos dados, contextualizá-los pode ser um desafio. Ao começar a definir o que torna um programa de segurança bem-sucedido, é importante “saber algo que não sabíamos ontem”, afirmou Stefan Steglich (gerente de produto de segurança de aplicações da Skybetting & Gaming).

As formas de medir o sucesso devem reforçar a mensagem do seu programa — e não o contrário. Além disso, não deixe de comemorar as primeiras conquistas. Seja um feedback positivo sobre o programa em geral ou um aumento no uso das ferramentas de segurança escolhidas, é importante parar um momento e reconhecer o quanto você avançou.

Métricas práticas

Para definir métricas práticas, Vinson recomenda acompanhar três tipos: requisitos de design, métricas operacionais e avaliações de maturidade em segurança. Os requisitos de design são resultado da modelagem de ameaças. Essas métricas ajudam a determinar se o programa de AppSec está tratando todos os riscos potenciais identificados e a descobrir novas ameaças à medida que surgem. As métricas operacionais são estatísticas de vulnerabilidades. Seja o resultado de uma análise SAST, o número de correções ou outros dados, essas métricas mostram tendências de vulnerabilidades e ajudam a tornar os requisitos de design mais precisos. Por fim, uma avaliação de maturidade em segurança contextualiza as métricas anteriores e o programa como um todo. Essa avaliação mais ampla ajuda a entender em que ponto da jornada de AppSec estamos e se estamos prontos para avançar. Dados sobre necessidades não atendidas, capacidade da equipe para realizar tarefas de segurança e adoção de princípios de segurança em todos os níveis são essenciais para planejar os próximos passos.

Play Video: Building an AppSec Program from the Ground Up

A AppSec deve apoiar os desenvolvedores

Seja sua equipe de segurança formada pela primeira ou pela centésima pessoa, os desafios são parecidos. Definir um plano de segurança, desenvolver métricas adequadas e explicar tudo isso aos membros da equipe é um processo contínuo, que nunca termina de verdade. As ferramentas escolhidas para apoiar o desenvolvimento dos programas de AppSec têm um papel fundamental na sua eficácia. Programas genéricos ou baseados em modelos teóricos provavelmente não atenderão a uma abordagem de segurança personalizada. Ferramentas de análise que fornecem muitos dados podem ser úteis para especialistas em segurança, mas não necessariamente para os desenvolvedores que queremos capacitar.

É por isso que a Snyk foi criada pensando nos desenvolvedores. Nossa plataforma ajuda as organizações a proteger suas aplicações em um único ambiente para as equipes de segurança e desenvolvimento. Quando você encontra e corrige vulnerabilidades enquanto programa — em apenas cinco minutos —, pode eliminar gargalos dos processos de AppSec. Comece seu teste grátis hoje e veja como ajudamos milhões de desenvolvedores a criar com rapidez e segurança.