Três dicas de especialistas para cultivar práticas de desenvolvimento de software seguro

Falamos muito sobre a importância de DevSecOps — integrar a segurança aos processos de DevOps. Mas, como muitos profissionais de segurança sabem, isso está longe de ser tão simples quanto parece. Cultivar práticas de desenvolvimento de software seguro exige trabalhar lado a lado com desenvolvedores que têm opiniões, prioridades e particularidades diferentes. E todo processo que envolve pessoas é complexo.

Então, como as equipes de segurança de hoje superam esses desafios e tornam realidade as práticas de desenvolvimento de software seguro? A Snyk entrevistou algumas das lideranças de segurança mais inovadoras do mundo para descobrir. Confira os principais aprendizados sobre como promover a adoção da segurança pelas equipes de desenvolvimento.

Comece com empatia

A empatia cria as bases para práticas de segurança que beneficiam a todos. Nicholas Vinson, líder de DevSecOps na Pearson, explicou que, se as equipes de desenvolvimento “não reconhecem o valor da segurança, não têm motivo para priorizá-la [em vez do] trabalho com funcionalidades”.

Como incentivar a adoção de práticas de desenvolvimento seguro? Tim Crothers, vice-presidente sênior e diretor de segurança da Mandiant, afirma: “A segurança precisa ser uma parceria. Um dos principais motivos de muitas falhas de segurança é tentarmos impor decisões, em vez de realmente fazer parceria com os grupos que queremos ajudar a ter sucesso.”

Ele também destacou que o segredo do sucesso da Mandiant foi “entender as práticas preferidas das nossas equipes de engenharia. Quais são esses padrões para que possamos colaborar e estabelecer proteções, em vez de controles? Em poucas palavras, trata-se de identificar lacunas: nos processos, na nossa [colaboração].”

As equipes de segurança também precisam conduzir esse processo com humildade, lembrando que a segurança não é a única tarefa da equipe de desenvolvimento. Jason Chan, vice-presidente de segurança da Netflix, explicou que a equipe de segurança precisa “entender que eles têm muitas outras responsabilidades. Precisam desenvolver funcionalidades e produtos. Precisam se preocupar com desempenho e confiabilidade. Queremos tornar a participação na segurança o mais fácil possível.”

Concentre-se em oferecer suporte

À medida que entendem melhor como os desenvolvedores encaram o trabalho no dia a dia, as equipes de segurança também precisam oferecer o suporte adequado.

Vinson atribui o sucesso da equipe da Pearson ao apoio da liderança: “Desde o início, havia uma compreensão [da] necessidade de segurança. Na implementação, você depende da organização de engenharia de software e de suas lideranças.”

Além disso, a automação é importante para apoiar práticas de desenvolvimento de software seguro. Yashvier Kosaraju, vice-presidente de segurança, compliance e TI da Sendbird, observou os efeitos significativos da automação na organização. Mesmo após um lançamento discreto e sem anúncios de suas iniciativas de automação de segurança, a Sendbird constatou que “cerca de 65% dos PRs que criamos até agora foram mesclados e encerrados, um número significativo, considerando que não havíamos enviado nenhuma comunicação aos desenvolvedores sobre isso. Isso mostra que todos querem fazer a coisa certa, mas talvez não tenham tempo. Quando você torna isso o mais simples possível, eles fazem a coisa certa.”

Promova uma mentalidade de responsabilidade compartilhada

Muitos dos sucessos relatados nas entrevistas vieram de uma mudança de mentalidade. Os desenvolvedores começaram a se ver como protagonistas das práticas de desenvolvimento de software seguro. Nossos especialistas em segurança sugeriram algumas maneiras de fazer isso.

Kyle Randolph, CISO da Verkada, usa o reconhecimento para incentivar a responsabilidade compartilhada. Ele conta que “distribuímos camisetas com os dizeres ‘Herói da Segurança’. Elas são mais exclusivas, então fazem com que as pessoas queiram se dedicar mais e ir além para contribuir com a segurança. Talvez você tenha eliminado uma vulnerabilidade de cross-site scripting… e incorporado essa proteção ao framework usado pela sua equipe. Isso já mereceria uma camiseta de ‘Herói da Segurança’. E você ainda seria reconhecido diante de toda a empresa.”

Rinki Sethi, vice-presidente e CISO da Bill.com, sugere criar uma estrutura formal de treinamento e prestação de contas para responsabilizar desenvolvedores e outras partes envolvidas com a segurança. Ela explica como “criamos um scorecard pelo qual eles são responsáveis, que mostra o que estamos fazendo para garantir que nosso produto ou funcionalidade esteja protegido da maneira correta. Os engenheiros podem conversar com a equipe central de segurança quando necessário, e também oferecemos a eles os treinamentos mais atualizados.”

E, claro, precisamos voltar à importância da automação. Ryan Ware, arquiteto de segurança e diretor da equipe de ferramentas de segurança e garantia de produtos da Intel, explica: “É essencial avisar o desenvolvedor sobre um problema no código o mais cedo possível, de forma automatizada. Isso pode ser feito no momento em que o código é enviado, para que ele entenda o problema na hora, ou até com uma ferramenta que sinalize algo como problemático imediatamente na IDE enquanto ele escreve o código.”

2023 será o ano da segurança para desenvolvedores na sua organização?

Ao comparar os casos de sucesso dessas organizações com a sua realidade, lembre-se de que suas práticas de desenvolvimento de software seguro precisam estar alinhadas aos processos e fluxos de trabalho já existentes na organização. Cada situação é diferente. Por isso, é essencial entender as particularidades do seu negócio e, a partir daí, elaborar o melhor plano.

Se as práticas de desenvolvimento de software seguro estão entre suas prioridades neste ano, confira nosso white paper “Guia para CISOs cultivarem a segurança para desenvolvedores”. Você terá acesso a mais dicas de profissionais de segurança de empresas da Fortune 500, além de conselhos práticos da equipe de especialistas da Snyk.