Mesa-redonda da WillowTree: segurança para organizações em hiper crescimento

Empresas modernas de software costumam oferecer muitas coisas ao mesmo tempo. Seu alcance vai além de um único produto ou serviço — e suas ferramentas de segurança precisam acompanhar esse ritmo. Steve Kinman, da nossa equipe (CISO de campo, Snyk), e Adrian Guevara (diretor de cibersegurança, WillowTree) participaram recentemente de uma mesa-redonda sobre os desafios de implementar a segurança de código em organizações em hiper crescimento, em um setor que muda rapidamente.

A WillowTree é uma agência digital que desenvolve aplicativos para diversas empresas de destaque da Fortune 500. Como agência, “a WillowTree trabalha com muitas linguagens”, segundo Guevara. “Um dos desafios que vamos abordar aqui é que não se trata de uma única linguagem, uma única plataforma ou um único produto. Desenvolvemos produtos para empresas e depois os entregamos a elas.” Com muitos projetos de alto risco em desenvolvimento simultâneo, Guevara prioriza o equilíbrio entre inovação e conscientização sobre segurança na organização.

Durante a mesa-redonda, Guevara contou como cultivou práticas recomendadas de segurança e escolheu um conjunto de ferramentas adequado às necessidades específicas da WillowTree.

A mudança em direção à segurança

Quando Guevara, que já havia trabalhado com auditoria e conformidade, assumiu sua função atual, “os clientes não se importavam muito” com as medidas de segurança internas adotadas pela WillowTree. Ele contou que isso mudou drasticamente nos últimos anos. “Agora eles querem a lista de todas as dependências, querem ter certeza de que você não está usando licenças GPL nem tem vulnerabilidades graves nos contêineres, bibliotecas e linguagens que utiliza.”

Esse interesse pela segurança de código refletia os esforços internos de Guevara ao longo de seus seis anos na empresa. Quando ele chegou, a segurança se limitava principalmente a análises estáticas que — por serem realizadas fora dos processos de desenvolvimento — geravam custos altos. Como ampliar as equipes de segurança diretamente era difícil, a forma mais eficiente de melhorar a segurança era integrá-la aos processos de desenvolvimento. Adotar um fluxo de trabalho moderno e ágil foi essencial para a WillowTree. Como explicou Guevara: “Tornamos a segurança o caminho mais fácil, então as pessoas seguem esse caminho automaticamente, sem que precisemos intervir muito.”

A adoção de uma abordagem de segurança centrada nos desenvolvedores começou com os desenvolvedores sêniores da WillowTree. Ao convidá-los a testar ferramentas de segurança e participar do processo de seleção, Guevara deu voz a eles e espaço para falar sobre suas necessidades. Ele percebeu que “conquistar o apoio do grupo sênior era o primeiro passo” para criar uma cultura de segurança bem-sucedida.

“A opinião dos desenvolvedores sêniores importava mais do que a minha, porque, se eles não gostassem da ferramenta, não a usariam.”

Adrian Guevara

Como ele explicou, a transformação de “a segurança quer que a gente faça isso” para “Adrian quer que a gente faça isso” foi essencial para aproximar as equipes de segurança e desenvolvimento. Para as equipes de segurança, mostrar seu lado humano e explicar a importância dos pedidos “muda toda a dinâmica entre você e o desenvolvedor”. No fim das contas, desenvolvedores e profissionais de segurança fazem parte da mesma equipe. Comunicação e colaboração são indispensáveis para uma produção bem-sucedida, e isso muitas vezes começa pelas ferramentas escolhidas pela equipe.

Como escolher uma plataforma de segurança

Quando Guevara começou a avaliar ferramentas de segurança para desenvolvedores, precisava resolver três problemas principais. Os processos de segurança atuais da WillowTree geravam alertas demais, eram lentos e não eram sustentáveis, pois ficavam fora do fluxo de trabalho de desenvolvimento. Os desenvolvedores precisavam se lembrar de verificar as análises de segurança, que demoravam para terminar e produziam muitos falsos positivos, e depois integrar os relatórios de vulnerabilidades ao fluxo de trabalho, quando necessário — uma etapa que muitas vezes era esquecida em meio à correria do desenvolvimento. Isso obrigava a equipe de segurança a intervir e corrigir as vulnerabilidades antes de repassar as correções aos desenvolvedores, que as incluíam no planejamento dos sprints. Com todas essas etapas se repetindo a cada vez, o processo logo se tornou insustentável.

A Snyk se destacou durante o período de testes porque nosso fluxo de trabalho reproduzia o modelo de desenvolvimento ágil que Guevara estava implementando. Os desenvolvedores gostam de usar tecnologias de qualidade e, “como tínhamos isso, integramos a Snyk às IDEs, às solicitações de pull request e à CI, e tudo ficou muito mais fácil. Nem precisei treinar as pessoas para usar a ferramenta. A Snyk indicava melhor o que fazer para corrigir um problema e por que ele existia”, contou Guevara. Para a equipe da WillowTree, desenvolver o conhecimento sobre segurança e entender por que certas correções eram aplicadas foi essencial para criar uma cultura de segurança que envolvesse os desenvolvedores. Ao comparar as ferramentas, Guevara observou que “o engajamento com a ferramenta anterior era de cerca de 20%. Com a Snyk, vi esse número chegar a 90%”. A interface intuitiva e fácil de usar da Snyk ajudou a equipe a produzir código seguro com mais eficiência, reduzindo em 58% o tempo médio para corrigir vulnerabilidades. “Em média, levávamos 60 dias para resolver vulnerabilidades. Agora, esse prazo caiu para 25”, afirmou Guevara.

Embora as melhorias mensuráveis proporcionadas pela Snyk fossem impressionantes, elas não foram o fator decisivo. Para Guevara, “escolhi a Snyk pela parceria. Os falsos positivos e o excesso de alertas diminuíram, e já gostávamos do fluxo de trabalho, mas será que eu teria um bom parceiro?”. Muitas ferramentas conseguem detectar vulnerabilidades e gerar relatórios, mas o programa de segurança em expansão da WillowTree precisava de um parceiro com foco nos desenvolvedores, disposto a trabalhar com a equipe no longo prazo. “A parceria foi o que realmente me convenceu. Na época, a Snyk ainda não oferecia suporte a todas as linguagens, mas, graças à parceria, consegui o compromisso de incluir as linguagens de que precisávamos, e até agora deu certo”, afirmou Guevara.

Equilíbrio entre segurança e inovação

A WillowTree continuou crescendo rapidamente nos últimos anos. Uma série de expansões e aquisições elevou seu quadro para mil desenvolvedores, distribuídos por três empresas. Cada uma tem seus próprios requisitos e processos e, como agência, a WillowTree também costuma usar as ferramentas e os sistemas de chamados dos clientes. Em meio a tudo isso, Guevara comentou: “A Snyk é o elo comum que conecta todos esses projetos.” Para Guevara e sua equipe, a Snyk é a base da colaboração entre áreas e ajudou a WillowTree a desenvolver e manter práticas de segurança para o ambiente acelerado das organizações em hiper crescimento.

Seja você parte de uma agência que precisa atender a diversos padrões de segurança de clientes ou de uma organização que quer reforçar a segurança de código nas equipes internas, a Snyk pode ajudar. Comece hoje mesmo seu teste gratuito ou agende uma demonstração para ver como a Snyk ajuda você a desenvolver com rapidez e manter a segurança.