O desafio: visibilidade, em nível corporativo, sobre vulnerabilidades em código aberto
A Form3 usa a Snyk desde 2018. Foi nesse ano que a empresa percebeu que precisava ter mais visibilidade sobre possíveis vulnerabilidades nas dependências de código e de uma forma eficaz de impedir que esses problemas chegassem à produção.
Comprometida com a segurança dos pagamentos de seus clientes, a Form3 priorizou a segurança de aplicações e a garantia de qualidade de sua plataforma de pagamentos e de seus softwares desde o início. Achilleas Pitsillides, diretor de segurança da informação da empresa, percebeu que era preciso integrar verificações de dependências de software e vulnerabilidades ao processo de build. Isso permitiria que mais de 100 engenheiros protegessem códigos de código aberto, dependências e imagens de contêineres. Para não afetar o tempo de desenvolvimento, a equipe de segurança buscava uma solução simples, compatível com as linguagens de programação e os ambientes de desenvolvimento preferidos pelos desenvolvedores.
“A implementação dessa solução aprimorou nossos controles de segurança”, disse Achilleas Pitsillides, CISO da Form3. “Queríamos uma solução que integrasse a análise de dependências aos nossos processos de build existentes, sem desacelerar os engenheiros no trabalho do dia a dia.”
A solução: uma abordagem que prioriza os desenvolvedores facilita a implantação e oferece visibilidade imediata sobre vulnerabilidades de segurança
No fim de 2018, a equipe de segurança de aplicações da Form3 conseguiu integrar a Snyk rapidamente e sem complicações aos fluxos de trabalho de engenharia. A Snyk analisa nativamente mais de 500 repositórios da equipe de engenharia para detectar vulnerabilidades no código-fonte das aplicações e nas dependências de código aberto. Além disso, ao analisar e validar o código durante os pull requests, os engenheiros identificam problemas logo no início dos pipelines de build e podem corrigi-los por conta própria com agilidade e eficiência.
“Avaliamos as soluções com base no número de linguagens de programação compatíveis e na facilidade de integrá-las aos nossos fluxos de trabalho existentes”, disse Liam Galvin, engenheiro sênior de segurança da Form3. “A Snyk ofereceu uma ótima ferramenta de CLI com o nível de configuração de que precisávamos, o que facilitou a integração aos nossos builds automatizados.”
A Snyk Container permitiu que os desenvolvedores corrigissem imediatamente vulnerabilidades críticas
A equipe da Form3 já percebeu uma melhora no fluxo de trabalho dos desenvolvedores na análise de vulnerabilidades. Com a Snyk, eles podem identificar e corrigir imediatamente vulnerabilidades críticas. Além disso, a Snyk Container analisa imagens e impede que imagens de base ou de ferramentas vulneráveis sejam enviadas aos registros. Assim, a Snyk ajuda os desenvolvedores a garantir imagens de base mais seguras e otimizadas, eliminando vulnerabilidades. A Snyk monitora as imagens continuamente e alerta os desenvolvedores quando novas vulnerabilidades são descobertas.
“A Snyk ajuda os engenheiros a identificar imagens com excesso de vulnerabilidades”, disse Liam. “Isso protege as imagens que usamos e melhorou nosso processo como um todo.”
O impacto: segurança transparente sem desacelerar o desenvolvimento
A Form3 conseguiu implementar processos e políticas de segurança que causam o mínimo de interrupções para os desenvolvedores. Integrada ao processo de build, a Snyk ajuda a priorizar vulnerabilidades e agilizar a correção. Dessa forma, a Form3 ganhou visibilidade completa e melhorou a qualidade do software sem atrasar o lançamento dos recursos inovadores que seus clientes desejam.
“Desde que integramos a Snyk aos nossos sistemas de build, temos mais visibilidade sobre as dependências OSS vulneráveis em nossos mais de 500 repositórios”, explicou Achilleas. “Além disso, bloqueamos ativamente os PRs em que novos problemas são detectados nos nossos repositórios.”
Além disso, como fornecedora de tecnologia essencial para empresas regulamentadas que lidam com informações confidenciais e pessoais, a Form3 precisa cumprir o GDPR e outras regulamentações aplicáveis. A Snyk ajuda a empresa a proteger seus sistemas.
“A Form3 tem várias certificações e passa por auditorias externas a cada seis meses”, observou Achilleas. “O gerenciamento de vulnerabilidades é um controle definido para nossas certificações, e a Snyk nos ajuda a atender a esses controles e comprovar sua eficácia.”
Com a Snyk, a Form3 adotou uma abordagem de segurança centrada em engenharia sem desacelerar as implantações. As ferramentas automatizadas da plataforma detectam vulnerabilidades de segurança antes que o código seja integrado. Junto com outros controles de segurança da Form3, a Snyk permite que as equipes de engenharia confirmem a validação da segurança antes que a aplicação chegue aos ambientes de staging ou produção.