O desafio: encontrar e corrigir vulnerabilidades sem causar lentidão
A DFDS tem uma história rica: há 150 anos transportava frete e cargas; hoje, gerencia operações logísticas no mundo todo. A empresa é formada por duas grandes divisões: a Divisão de Ferries, que transporta cargas e passageiros em rotas europeias, e a Divisão de Logística, que oferece soluções de transporte e logística.
A Divisão de Logística da DFDS oferece aos clientes diversas ferramentas digitais, como serviços para rastrear remessas em tempo real, simplificar o desembaraço aduaneiro e reservar cargas. Nos bastidores, mais de 200 desenvolvedores da DFDS mantêm e inovam esse conjunto de produtos.
Ao auditar por completo o pipeline de desenvolvimento — incluindo aplicações e ambientes de nuvem —, a equipe da DFDS identificou lacunas significativas na visibilidade de segurança. Também encontrou diferentes níveis de maturidade em segurança na organização. Algumas equipes tinham mais visibilidade sobre o número de vulnerabilidades e bom domínio de segurança de aplicações, enquanto outras não. Além disso, cada equipe usava uma combinação própria de ferramentas comerciais e de código aberto, em vez de adotar uma abordagem padronizada para a segurança.
A equipe da DFDS precisava de uma nova solução para promover práticas de segurança consistentes em toda a empresa. Ao mesmo tempo, era importante que esses controles não limitassem nem atrasassem os desenvolvedores.
“No fim, o maior risco era a falta de visibilidade da nossa cadeia de suprimentos”, disse John Smith, arquiteto de domínio de SecOps. “Descobrimos que os níveis de maturidade variavam entre as equipes e os grupos.”
A solução: Snyk Open Source e Snyk Code
A equipe da DFDS decidiu usar Snyk Open Source e Snyk Code em seus grupos de desenvolvimento, protegendo tanto o código próprio quanto o de terceiros. A escolha pela Snyk se deu pela facilidade de implementação e pelos recursos robustos de geração de relatórios.
“Com muitas das alternativas que encontramos, ainda era preciso colocar um arquivo YAML ou de configuração em cada repositório”, explicou John. “Agora, o maior problema é que, se eu chegar aos responsáveis pelos produtos e disser ‘preciso que vocês abram uma solicitação ou um PBI para cada repositório’, eles vão dizer que não têm tempo. Como a Snyk não cria essa barreira, consegui estruturar um processo de implementação que não exigia nenhuma intervenção dos responsáveis pelos produtos.”
A equipe da DFDS também valorizou o fato de a Snyk poder atuar como uma “parceira de segurança” para cada desenvolvedor, independentemente do nível de experiência. A equipe começou a aproveitar o Snyk Learn dentro da plataforma para promover mais conscientização sobre segurança.
Segundo John: “A mensagem importante era fazer as pessoas entenderem — ou pelo menos começarem a pensar em — adotar uma mentalidade de segurança durante o sprint. E também levá-las a pensar: ‘...vamos analisar os dados que temos e tentar reduzir o número dos problemas mais graves’.”
As ferramentas e o treinamento certos para alcançar o sucesso em segurança
Depois de implementar as soluções da Snyk para código próprio e de terceiros e usar o Snyk Learn na capacitação dos desenvolvedores, a equipe da DFDS percebeu um interesse maior na correção de problemas de segurança. Os desenvolvedores passaram a se empenhar ainda mais para encontrar e corrigir vulnerabilidades. A segurança de aplicações deixou de ser um problema avassalador e sem solução para se tornar uma iniciativa viável e empolgante em todas as equipes de desenvolvimento.
“Desde que implementamos a Snyk, recebemos muitas perguntas como: ‘O que é isso? O que é CVE? O que é MITRE?’”, disse John. “As pessoas estão começando a ler os detalhes das vulnerabilidades no Snyk Learn e tentando entender, por exemplo, o que é injeção de SQL. Isso mostra que, com a Snyk, estamos começando a criar indiretamente uma cultura de curiosidade. E uma cultura de curiosidade em torno da segurança é ótima, porque, se conseguirmos transformar essa curiosidade em um defensor da segurança, essa pessoa poderá influenciar toda a equipe.”
O impacto: menos vulnerabilidades e mais curiosidade
Desde que adotou a Snyk, a equipe da DFDS reduziu em 50% o total de vulnerabilidades. Há algumas semanas, também informou não ter nenhuma vulnerabilidade crítica madura. Como próximo passo, pretende integrar ainda mais a Snyk às IDEs nativas das equipes de desenvolvimento para incentivar o uso contínuo das ferramentas.
“Como [os desenvolvedores] contam com gates de qualidade e já fizeram os sprints de segurança, podem dedicar muito menos tempo às vulnerabilidades críticas no dia a dia.”
Com a Snyk, a DFDS pode adotar uma abordagem proativa à segurança e permitir que os desenvolvedores lancem futuras ofertas e atualizações com agilidade e segurança.