SnykWeek Boston: perspectivas sobre a adoção da segurança por desenvolvedores

Durante a SnykWeek Boston, Simon Maple (Field CTO da Snyk) conduziu um painel sobre a adoção da segurança de aplicações por desenvolvedores. Participaram do painel:

• Nicole Holden, gerente de AppSec na Datto, Inc.

• David Matousek, diretor e Product Owner Técnico Líder de Engenharia de Cibersegurança na Manulife

• Chris Gervais, ex-CTO e CSO da Kyruus (recentemente assumiu como CTO da Ready Education)

Quer um resumo? Confira alguns dos nossos principais aprendizados:

• Mesmo em uma organização bastante descentralizada, é essencial centralizar o monitoramento de segurança

• A transparência ajuda as equipes a tomar decisões mais embasadas em dados e a ter mais sucesso

• Defina metas de segurança mais ambiciosas a cada ano para promover a melhoria contínua

• Automatize a conformidade sempre que possível para ajudar os desenvolvedores a fazer a coisa certa

Continue lendo para conhecer melhor essas ideias esclarecedoras sobre como organizar equipes de segurança, definir metas, capacitar desenvolvedores, melhorar a conformidade e muito mais.

Combinando equipes de segurança centralizadas e descentralizadas

Segundo David Matousek, o programa descentralizado de segurança da Manulife cresceu inicialmente de forma orgânica, com equipes de segurança distribuídas por diferentes regiões da Ásia, do Canadá e dos Estados Unidos. “Cada uma dessas organizações desenvolveu uma cultura de segurança baseada nas regulamentações de seu país”, afirmou Matousek durante o painel.

À medida que a Manulife cresceu e passou a contar com mais de 3.000 desenvolvedores no mundo todo, a empresa não tinha visibilidade sobre cada uma dessas unidades de negócio. “Então, mantivemos a descentralização da implementação”, explicou Matousek, “mas centralizamos o monitoramento para entender como as diferentes áreas estavam protegendo nossas aplicações.”

A vantagem é que a empresa conta com equipes locais que cuidam da segurança e criam processos de segurança de aplicações adequados às equipes de desenvolvimento que apoiam. Ao mesmo tempo, a Manulife reúne todas as informações no nível corporativo para tomar decisões baseadas em dados para o negócio e gerar valor para os clientes.

A importância de definir metas de segurança

Na Manulife, a transparência das equipes locais até o nível corporativo também permite definir KPIs gerais. “Nossos principais indicadores de risco corporativos nos ajudam a entender onde precisamos melhorar”, disse Matousek. “E, quando atingimos todas as metas, tornamos algumas delas um pouco mais difíceis no ano seguinte.” Segundo ele, isso levou os desenvolvedores a trabalhar com mais eficiência, criando processos para automatizar a segurança e promovendo muitas mudanças positivas na organização.

Nicole Holden concorda que é importante definir metas de segurança no nível corporativo, mas acredita que também é fundamental apoiar as metas das equipes de desenvolvimento. “As metas precisam funcionar nos dois sentidos”, explicou. “Quando a liderança conhece e apoia as metas das equipes de desenvolvimento, os desenvolvedores ficam mais motivados a contribuir para os objetivos da organização.”

Chris Gervais também acredita que cabe à liderança compartilhar essas metas entre as áreas para que o restante da empresa entenda como elas se relacionam. “É muito importante garantir que isso não seja uma questão apenas de segurança ou engenharia”, acrescentou, “mas sim que sejam metas realmente transversais para o negócio.”

Como engajar desenvolvedores com a conformidade?

Segundo Gervais, a questão não é fazer os desenvolvedores gostarem da conformidade, mas ajudá-los a entender os motivos de negócio por trás dela. Embora muitos desenvolvedores acreditem que segurança serve apenas para atender às exigências dos auditores, ela é, na verdade, um requisito para a maioria dos clientes.

“Queremos ser referência em confiança e precisamos reconhecer que fazemos parte da cadeia de suprimentos digitais dos nossos parceiros”, disse Gervais. “E esse contexto mais amplo da segurança de aplicações às vezes acaba ficando de lado.” Cabe à equipe de segurança ajudar os desenvolvedores a entender que segurança e conformidade fortalecem a confiança dos clientes e são essenciais para o negócio.

Holden acrescentou que a maioria dos clientes da Datto está em conformidade com SOC 2, então atender aos requisitos de conformidade é, de fato, uma exigência de negócio. “O interessante é que, quando você implementa esses processos de conformidade”, explicou, “começa a criar seus próprios padrões, políticas e estruturas de trabalho, que se integram diretamente à estrutura de conformidade.”

Para as equipes distribuídas com as quais Matousek trabalha, os requisitos de conformidade variam um pouco de uma região para outra. “O segredo é automatizar os requisitos de conformidade”, sugeriu. “Assim, quando desenvolvedores de outra unidade de negócio procurarem a equipe de segurança com um problema de conformidade, você poderá ampliar seus processos automatizados.” Quanto mais requisitos de conformidade puderem ser automatizados, mais fácil será para os desenvolvedores fazer a coisa certa.

Como é capacitar desenvolvedores?

Os participantes do painel concordam que capacitar desenvolvedores é fundamental para uma segurança de aplicações eficaz, mas cada um tem uma opinião um pouco diferente sobre como fazer isso. “Com certeza chega um momento decisivo, e tudo se resume à confiança”, disse Holden. Os desenvolvedores precisam confiar que a equipe de segurança vai apoiar seus projetos, mas, segundo ela, leva tempo para construir essa confiança em toda a organização. “Você começa com um desenvolvedor de cada vez e, aos poucos, todos passam a trabalhar juntos, sabendo que podem fazer o que é certo.”

Matousek acredita que, para as equipes descentralizadas da Manulife, a situação é um pouco diferente. Embora concorde que a confiança é importante, ele diz que ser transparente sobre os acertos e erros da equipe de segurança é fundamental para conquistar a confiança de desenvolvedores em diferentes unidades de negócio. “As equipes de desenvolvimento veem que não temos medo de falar sobre onde falhamos”, explicou Matousek, “mas também queremos mostrar como temos sucesso.”

No fim das contas, Holden afirma que a adoção pelos desenvolvedores depende de diálogo e aproximação. “Sempre que a equipe de segurança quer iniciar um projeto, adotar novos padrões, usar uma nova estrutura de trabalho ou implementar uma ferramenta”, disse, “o primeiro passo é conversar com as equipes de desenvolvimento.” Começar com transparência e comunicação é essencial para aumentar a adoção de cada iniciativa da equipe de segurança.