O desafio: processos de segurança eficientes para acompanhar o crescimento
Nos últimos anos, a Smartsheet mais que dobrou o número de funcionários. Com o crescimento da empresa, a equipe de engenharia trabalha para preparar as práticas de segurança para o futuro e proteger a plataforma contra ameaças. À medida que as operações se expandem, os desenvolvedores precisam proteger os produtos da forma mais simples e eficiente possível, aproveitando a automação da segurança de aplicações.
“Desenvolvemos muito software. Por isso, temos o desafio de garantir que o código open source que usamos conte com as medidas adequadas de segurança e gerenciamento de riscos”, disse Chris Peake, CISO da Smartsheet. “Mas também existe a questão do licenciamento, tanto do ponto de vista jurídico quanto da segurança.”
A Smartsheet buscava automatizar a análise de vulnerabilidades e o gerenciamento de licenças do código open source para capacitar os desenvolvedores a gerenciar a segurança sem deixar de acompanhar o ritmo da criação de software. Para isso, eles precisavam de uma ferramenta que sinalizasse problemas automaticamente, no momento certo e com informações contextuais relevantes, ajudando a tomar decisões mais rápidas e a manter a empresa segura.
“Não era viável para nossa pequena equipe tentar criar uma ferramenta de segurança pensada primeiro para desenvolvedores e capaz de estimular a ação deles”, disse Jason Bubolz, engenheiro principal de segurança da Smartsheet. “A Snyk nos ajuda a incentivar essa ação, fornecendo inteligência sobre ameaças e oferecendo automaticamente as correções de que precisamos.”
A solução: segurança eficiente, pensada primeiro para desenvolvedores
Ao buscar uma solução, a Smartsheet avaliou quatro produtos, incluindo Snyk, Whitesource, Blackduck e Veracode. A avaliação mostrou que Snyk Open Source era a opção mais voltada para desenvolvedores, útil e prática, permitindo uma adoção simples e uma integração rápida. A equipe da Smartsheet também ficou impressionada com a capacidade da Snyk de apresentar opções de correção práticas para os desenvolvedores.
“O banco de dados de vulnerabilidades da Snyk é a opção mais abrangente e detalhada disponível”, disse Bubolz. “Para um engenheiro que quer fazer um bom trabalho de segurança, a Snyk oferece uma solução superior em todas as etapas do ciclo de vida do desenvolvimento de software. Agora, disponibilizamos ferramentas para o engenheiro no momento em que ele toma decisões, com informações que permitem agir. Esse é o valor que continuo encontrando na Snyk.”
A Snyk identifica a atualização mínima necessária para corrigir uma vulnerabilidade e avisa quando há risco de quebrar o código. Esses resultados precisos e oportunos são essenciais para a Smartsheet, que busca capacitar a equipe de desenvolvimento a tomar decisões de segurança sem depender da equipe de segurança.
Snyk Container: capacita os desenvolvedores a evitar vulnerabilidades
A Smartsheet sabia que precisava criar uma experiência simples para os desenvolvedores melhorarem a segurança dos contêineres. Por isso, integrou Snyk Container aos fluxos de trabalho de desenvolvimento existentes. Como Snyk Container atua em todo o ciclo de vida do desenvolvimento de software, ajuda a Smartsheet a corrigir problemas desde o início, identificando vulnerabilidades prioritárias antes que o contêiner entre em produção.
“Nossos desenvolvedores usam o feedback da Snyk para decidir se devem escolher determinada imagem base logo no início do processo de desenvolvimento”, disse Bubolz. “Isso dá a eles um sinal claro antes que uma escolha diferente custe muito tempo.”
A API da Snyk: automatiza o gerenciamento de dados e a administração
Ao avaliar ferramentas de análise de segurança, a Smartsheet examinou as APIs de várias opções e concluiu que a Snyk era a mais simples de implementar. A equipe da Smartsheet usou a API da Snyk para automatizar a geração de relatórios de dados de vários projetos e administrar centenas de repositórios do GitHub todos os meses.
“Eu precisava que os dados fossem enviados automaticamente para outro sistema, que agiria em meu nome”, disse Bubolz. “Sou só eu, mas há mais de 400 desenvolvedores enviando código todos os dias na Smartsheet. A API da Snyk me avisa quando há um novo repositório ou quando a responsabilidade por um repositório muda. Sem uma API eficiente, não poderíamos usar nenhuma ferramenta de análise de segurança.”
O impacto: vulnerabilidades eliminadas quase imediatamente com a abordagem da Snyk, pensada primeiro para desenvolvedores
Graças à abordagem próxima e colaborativa da Snyk na integração de novos clientes, a Smartsheet conseguiu tornar o programa um sucesso desde o primeiro dia. A Snyk dedicou tempo para entender como sua ferramenta se encaixava no ecossistema mais amplo da empresa e a integrou a todos os pipelines de integração contínua (CI).
“Mesmo antes de integrar totalmente a Snyk, ela já estava cumprindo seu objetivo”, disse Bubolz. “Depois que o aplicativo enviou um e-mail aos nossos desenvolvedores, eles perceberam que era mais fácil resolver os problemas na hora. Isso os deixou ainda mais dispostos a arregaçar as mangas e cuidar da segurança por conta própria.”
A facilidade de implementação tornou mais simples a transição para uma segurança sob responsabilidade dos desenvolvedores
O processo rápido de integração da Snyk permitiu que a Smartsheet começasse a trabalhar imediatamente, sem sobrecarregar desnecessariamente as equipes de segurança e desenvolvimento. Como a Snyk é usada em todo o ciclo de vida do desenvolvimento de software, os engenheiros agora recebem problemas que podem resolver, em vez de uma lista de bugs que precisam analisar e solucionar por conta própria. A Snyk apresenta os problemas de segurança com o contexto necessário, capacitando os desenvolvedores a fazer a maioria das correções por conta própria — em alguns casos, com apenas um clique.
“Estamos obtendo resultados melhores”, disse Bubolz. “Nossas equipes estão ainda mais preparadas para se dedicar à segurança do que já estavam.”
Redução da carga jurídica com o gerenciamento de licenças open source
Antes da implementação da Snyk, a equipe jurídica da Smartsheet enfrentava grandes dificuldades para acompanhar as licenças usadas nas dependências dos produtos da empresa. A Snyk deu à equipe jurídica e aos desenvolvedores visibilidade completa, em um só lugar, sobre todo o código licenciado nos projetos. Isso permitiu manter um ritmo acelerado de desenvolvimento e, ao mesmo tempo, cumprir as exigências de licenciamento de software open source e outros requisitos.
“A equipe jurídica ficou muito satisfeita por poder acompanhar os produtos open source que usamos”, disse Peake. “Antes, eles precisavam manter essa lista manualmente, e isso dava bastante trabalho. Ter tudo em um só lugar é uma grande vantagem e aumenta o valor que a equipe obtém hoje com a Snyk.”