O desafio: adotar ferramentas modernas de testes de segurança
O desafio da Visma é manter a segurança em um conjunto tão diverso de pilhas de tecnologia.
“Somos uma grande empresa, mas somos formados por mais de 200 empresas menores ou equipes distribuídas por vários países”, afirmou Per Olsson, consultor de segurança de aplicações da Visma. “Isso complica as coisas quando se executa um programa de segurança centralizado em grande escala.”
Por isso, a empresa está sempre em busca das ferramentas de segurança mais avançadas para aprimorar continuamente sua postura de segurança.
“Investigamos regularmente se estamos usando as melhores ferramentas disponíveis e concluímos que talvez isso já não fosse verdade para nosso conjunto atual”, afirmou Nicolai Brogaard, responsável pelo serviço de análise de composição de software (SCA) e testes estáticos de segurança de aplicações (SAST) da Visma. “Queríamos avançar para a próxima geração de ferramentas de testes de segurança.”
A solução: escolher uma solução que prioriza desenvolvedores
Ao avaliar ferramentas de segurança, a Visma considerou essencial poder integrar desenvolvedores automaticamente e oferecer uma interface intuitiva. Snyk Open Source agora permite que mais de 140 equipes de desenvolvimento detectem e corrijam vulnerabilidades nas dependências de terceiros que usam. A interface intuitiva da Snyk incentivou os desenvolvedores a adotar a ferramenta e assumir a responsabilidade pela segurança sem dificuldades.
“O principal indicador de sucesso é a facilidade de integração de uma ferramenta”, explicou Brogaard. “Apresentar novas ferramentas, especialmente no universo da segurança, não é fácil. É preciso comprovar que elas oferecem vantagens significativas e, no caso da Snyk, todos concordaram que sim.”
O Visma Cloud Delivery Model (VCDM) é a estrutura de governança interna da empresa e inclui o Visma Application Security Program (VASP). Como parte desse modelo, a Visma conta com um índice de maturidade que avalia cada uma de suas empresas com base em diversas métricas, incluindo o nível de integração das ferramentas de segurança e o número de vulnerabilidades pendentes. A API da Snyk permite que a Visma obtenha facilmente esses dados de todos os projetos de código.
A abordagem plug-and-play da Visma com a Snyk
Diante do tamanho e da diversidade das pilhas de tecnologia da Visma, as integrações oferecidas pela Snyk também foram fundamentais. Não há restrições de governança quanto às ferramentas que cada equipe de desenvolvimento pode usar; a única exigência é implementar as ferramentas de testes de segurança escolhidas pela equipe de segurança. Por isso, o amplo ecossistema de plugins e integrações da Snyk foi decisivo para que os desenvolvedores da Visma pudessem usar com segurança as ferramentas de sua preferência.
“O problema de muitas dessas ferramentas de testes de segurança é que elas exigem muito conhecimento prévio, então não dá simplesmente para conectá-las e começar a usar no seu ambiente”, disse Brogaard. “Um dos diferenciais da Snyk é permitir que os desenvolvedores comecem a usar a ferramenta rapidamente e descubram como tudo funciona por conta própria.”
O impacto: visibilidade das vulnerabilidades em 20 mil projetos
Desde a implementação da Snyk, a Visma realizou mais de 600 mil testes em mais de 20 mil projetos de código. A maioria desses testes foi iniciada automaticamente durante o processo de desenvolvimento. Com esse trabalho, a Visma conseguiu reduzir as vulnerabilidades de alta severidade em 65% e as de severidade crítica em 39%.
Quer saber mais sobre a trajetória da Visma? Assista à apresentação da empresa em SnykCon 2021: lições aprendidas na criação de um programa de AppSec que prioriza desenvolvedores.