Un avenir meilleur pour DevSecOps ? C'est plus proche que vous ne le pensez

Me ha encantado contribuir, junto con otros expertos, a un artículo de Suparna Goswami en Data Breach Today. Como señala, existe un acuerdo generalizado en que abordar la seguridad en una fase temprana del ciclo de vida del desarrollo de software (SDLC) es esencial para prevenir las filtraciones de datos, pero es más fácil decirlo que hacerlo. Hay algunas ideas fantásticas de los CISO, así como los resultados de una encuesta reciente que muestran que el mayor reto de seguridad de las aplicaciones en los flujos de trabajo de integración continua/entrega continua (CI/CD) es:"la falta de herramientas de pruebas de seguridad automatizadas e integradas".

En mi opinión, DevSecOps debe comenzar cuando el desarrollador empieza a escribir el código. Si el DevSecOps va a funcionar de manera efectiva, debe comenzar con los desarrolladores que tienen la educación, las habilidades y las herramientas para escribir el código de forma segura desde el principio. Si se enseñara a los desarrolladores a escribir código seguro en tiempo real, o mejor aún, a evitar la creación de muchos de los errores en primer lugar, entonces los gestores de seguridad y las herramientas de prueba podrían centrarse en encontrar y solucionar las vulnerabilidades realmente difíciles y complejas de manera oportuna.

Hay muchas soluciones que encuentran vulnerabilidades en el código, pero la seguridad debe poner más énfasis en enseñar a los desarrolladores a seguir las pautas de seguridad que les impidan cometer estos errores en primer lugar.

Los desarrolladores deberían recibir ayuda para escribir código seguro y corregir la gran mayoría de los errores que cometen mientras escriben el código, y me enorgullece decir que ya existe la tecnología para lograrlo. Al igual que las herramientas de corrección ortográfica y gramatical ayudan a los escritores, ahora se puede ayudar a los desarrolladores en tiempo real a escribir de forma segura, según las indicaciones del lenguaje y la política de seguridad correspondientes. En mi opinión, este es el futuro más fácil y brillante para DevSecOps.

Eso es exactamente lo que ofrece nuestro Secure Code Warrior Sensei ofrece - actúa como un entrenador de seguridad en tiempo real para los equipos de desarrollo, controlado por AppSec, asegurando que las directrices de seguridad están al lado del desarrollador en todo momento. Les ayudará a codificar de forma más consistente, más segura y más rápida. En nuestro programa de adopción temprana, podemos ver que reduce el tiempo de corrección de problemas de una media de tres horas por error a sólo diez minutos.

Necesitamos utilizar herramientas de seguridad capaces de trabajar con un calendario DevSecOps, con eficiencia y, lo que es más importante, con precisión. Es hora de aspirar a un nivel superior de seguridad del software.

Hay muchas soluciones que encuentran vulnerabilidades en el código, pero la seguridad debe poner más énfasis en enseñar a los desarrolladores a seguir las pautas de seguridad que les impidan cometer estos errores en primer lugar.