Probablemente haya oído hablar de DevOps, pero ¿qué es DevSecOps? DevSecOps se refiere al concepto de hacer de la seguridad del software una parte fundamental del proceso general de entrega de software.
Para entender por qué esto es importante, es necesario pensar en cómo solía funcionar la seguridad del software. Tradicionalmente, las operaciones de seguridad del software se realizaban por separado de los demás procesos necesarios para producir software. Los desarrolladores escribían el código y los equipos de TI lo implementaban sin pensar demasiado en la seguridad. Solo después de que el software se escribía y se colocaba en entornos de producción, los ingenieros de seguridad comprobaban las posibles vulnerabilidades del código o de los entornos que lo alojaban.
Este enfoque de seguridad del software es muy ineficaz, especialmente en los entornos de la nube, donde la velocidad de implementación se acelera. Si se detectaba un problema de seguridad, a menudo había que retirar el código que ya se había escrito e implementado. Esto también significaba que los problemas a menudo pasaban inadvertidos hasta que el software ya estaba en producción, lo que dejaba a las organizaciones expuestas a las amenazas de seguridad.
La seguridad DevSecOps, también conocida como seguridad "shift left", aborda estos problemas integrando la seguridad en todas las fases del proceso de entrega del software. Esto garantiza que los desarrolladores piensen en la seguridad cuando escriben el código, que el software se someta a pruebas para detectar problemas de seguridad antes de su implementación y que los equipos de TI tengan planes para resolver rápidamente los problemas de seguridad si aparecen después de la implementación.
DevSecOps se basa en DevOps
DevSecOps no es una alternativa a DevOps. Simplemente amplía el concepto central de DevOps (la idea de que los desarrolladores y los equipos de TI deben colaborar estrechamente, en lugar de funcionar por separado, en silos) para incluir la seguridad. Un DevSecOps eficaz significa adoptar DevOps e integrar la seguridad en todo el canal de desarrollo de CI/CD.
DevSecOps es toda una cultura, no una herramienta
Muchas herramientas y procesos pueden ayudar a una organización a lograr DevSecOps, pero en última instancia, DevSecOps no es una herramienta o proceso específico. Es toda una cultura.
DevSecOps se reduce a inculcar los valores culturales adecuados en una organización. Los desarrolladores, los equipos de TI, los especialistas en seguridad y todas las demás partes involucradas en la entrega de software deben estar de acuerdo con la idea de que la seguridad del software debe estar a la vanguardia de todo lo que hacen. Antes de tomar cualquier decisión relacionada con una aplicación, todo el equipo debe pensar en las consecuencias para la seguridad. Si lo hacen, habrá logrado DevSecOps.
Implementación de DevSecOps
De las posibles rutas para lograr DevSecOps, la mejor, o la combinación ideal, para su organización dependerá de sus necesidades. En general, estas son las estrategias que le ayudarán a implementar una cultura DevSecOps en su organización:
Educación: asegúrese de que todas las partes interesadas en el proceso de entrega de software entienden las amenazas modernas a la seguridad y la importancia de abordarlas.
Comunicación: desarrolle canales de comunicación eficaces entre todos los miembros del equipo para que puedan compartir rápidamente la información sobre los problemas de seguridad.
Manuales de estrategias de seguridad: desarrolle "manuales de estrategias" que especifiquen cómo deben responder los diferentes miembros del equipo a un determinado tipo de incidente de seguridad.
Auditorías y cumplimiento: convierta las auditorías de seguridad y las comprobaciones de cumplimiento en una parte rutinaria del proceso de entrega de software.
Adoptar las herramientas adecuadas: busque herramientas de seguridad en la nube basadas en API que le ayuden a automatizar la aplicación de las políticas de seguridad y cumplimiento en la nube.
Hacer que los desarrolladores se preocupen por la seguridad
Cuando se intenta implementar DevSecOps, la mayoría de las organizaciones obtienen la mayor resistencia de sus equipos de desarrolladores. La pregunta es: ¿cómo se puede convencer a los desarrolladores para que se preocupen por la seguridad, la agreguen a su carga de trabajo y aprendan el conjunto de habilidades?
Aquí es donde la herramienta adecuada puede servir de catalizador para su transformación de DevSecOps. Al implementar herramientas que aprovechan las API de los proveedores de la nube para automatizar las políticas, los desarrolladores pueden aprender sobre la marcha y evitar cometer errores perjudiciales. Puede aprovechar las herramientas nativas de la nube para automatizar las políticas en AWS. Sin embargo, si utiliza una implementación de nubes múltiples, está obligado a cumplir con estrictas normas de cumplimiento, o tiene un entorno de AWS que se ha ampliado a más de unas pocas cuentas, es probable que necesite una herramienta de terceros para hacer esto de manera eficaz y gestionar todo en una consola. Para obtener consejos sobre la selección de la herramienta adecuada, consulte esta entrada del blog.
Para escuchar un relato de primera mano sobre cómo DHI Group creó con éxito una cultura de DevSecOps, consulte esta entrada del blog: De "DevOps frente a SecOps" a DevSecOps.