O estado da segurança de aplicações cloud native

Na era da nuvem nativa, o sucesso é definido pela capacidade de uma organização de entregar novas versões de software com mais rapidez e eficiência, como reforçam os resultados da nossa pesquisa. A possibilidade de colocar código em produção mais rapidamente e gerenciar essas aplicações com mais facilidade foram os principais motivos para migrar para uma infraestrutura baseada em contêineres. No entanto, à medida que as empresas adotam tecnologias de nuvem nativa como parte de sua transformação digital, a segurança é vista como um fator essencial para criar plataformas bem-sucedidas. Embora apenas 36% dos entrevistados tenham afirmado que a segurança foi um dos principais motivos para migrar suas aplicações de produção para contêineres, 99% reconheceram que ela é um elemento importante em sua estratégia de nuvem nativa. Além disso, mais de 80% afirmaram que a segurança é muito importante para eles.

No total, mais de 78% das cargas de trabalho em produção são implantadas como contêineres ou aplicações sem servidor. Os contêineres continuam sendo o principal mecanismo de implantação de aplicações nativas da nuvem, com quase 60% das cargas de trabalho em produção implantadas em contêineres. As tecnologias sem servidor já têm presença significativa em empresas de todos os portes e representam, em média, mais de um quinto de todas as cargas de trabalho em produção. O uso de tecnologias nativas da nuvem é expressivo em empresas de todos os portes, o que indica que sua adoção está se tornando generalizada. Mais de 50% dos entrevistados também implantam suas cargas de trabalho com alguma forma de infraestrutura como código, mostrando que o uso de infraestrutura gerenciada por software cresceu junto com a expansão de contêineres e ambientes sem servidor. O uso dessas tecnologias essenciais é um dos principais indicadores da transformação para a nuvem nativa em geral. Por isso, usamos essas métricas ao longo deste relatório como indicativas do nível de adoção em uma organização.

Embora seja desafiador criar pipelines de implantação totalmente automatizados, depois que a automação e os processos estão implementados, eles criam um ciclo virtuoso, oferecendo vários pontos de integração que possibilitam automatizar ainda mais. Esse é um fator essencial para viabilizar testes de segurança. Empresas com altos níveis de automação de implantação tinham mais que o dobro de probabilidade de adotar testes de segurança em todas as etapas do ciclo de vida de desenvolvimento de software, em comparação com organizações sem automação. Empresas de todos os portes demonstraram clara preferência por testar em CI e nas etapas iniciais, mas as grandes empresas tinham mais probabilidade de também realizar testes nas fases posteriores de implantação e em produção. Embora os testes em ambientes de desenvolvimento local, como um IDE, sejam uma tarefa conduzida por desenvolvedores, organizações mais automatizadas tinham quase o dobro de probabilidade de ver suas equipes de desenvolvimento adotarem a segurança desde o início dos fluxos de trabalho.

Testes mais rápidos levam a correções mais rápidas. Mais de 72% dos entrevistados com alto nível de automação levavam, em média, menos de uma semana para corrigir vulnerabilidades; para 36%, a média era de um dia ou menos. Quem tinha automação completa tinha mais de 4 vezes mais chances de corrigir problemas de segurança em um dia e mais de duas vezes mais chances de corrigi-los em uma semana. Os testes automatizados também são essenciais para dar visibilidade, pois não é possível corrigir o que não se consegue ver. Isso fica evidente nos 28% das organizações com baixo nível de automação que responderam não saber quanto tempo levam para corrigir problemas.