La encuesta de Synopsys revela que solo la mitad de los flujos de trabajo de CI / CD incluyen elementos de prueba de seguridad de aplicaciones
Si bien muchas organizaciones aún se encuentran en los primeros días de derribar los silos organizacionales para construir equipos de DevOps e implementar flujos de trabajo de integración continua y entrega continua (CI / CD), los beneficios de los enfoques de desarrollo colaborativo optimizados son claros: permiten a las organizaciones traer más funciones y mejoras al mercado más rápido.
Lo que no se comprende tan bien es cómo se incluye la seguridad de las aplicaciones en estos entornos dinámicos y de ritmo rápido y cómo se deben aumentar las herramientas de prueba de seguridad y las mejores prácticas para mantener la relevancia y el ritmo.
Los nuevos datos publicados hoy por la empresa de seguridad de software Synopsys muestran un panorama sombrío de la seguridad en DevOps. El informe destaca las oportunidades y desafíos de DevSecOps, un paradigma emergente en el que los equipos de DevOps incorporan la seguridad de las aplicaciones en sus flujos de trabajo de integración continua y entrega continua (CI / CD). El informe de investigación 451 encargado por Synopsys, Realidades y oportunidades de DevSecOps, analiza los resultados de la encuesta de 350 tomadores de decisiones empresariales en grandes empresas en una variedad de industrias. El estudio encontró que solo la mitad de los flujos de trabajo de CI / CD incluyen elementos de prueba de seguridad de aplicaciones a pesar de que los encuestados citan la conciencia de la importancia y las ventajas de hacerlo.
«Si bien algunos equipos de DevOps están comenzando a incorporar la seguridad de las aplicaciones en sus flujos de trabajo de CI / CD, impulsados por factores como la mejora de la calidad del software, el cumplimiento y la evitación de riesgos, hay un amplio margen de mejora», dijo Jay Lyman, analista principal de 451 Research . “En muchos casos, las pruebas de seguridad no se integran a menudo o lo suficientemente temprano en el proceso para que las organizaciones se beneficien por completo de la reducción de riesgos y los dolores de cabeza de reelaboración”.
Hoy en día, los equipos de DevOps están trabajando con infraestructuras a gran escala, lanzando software más rápido y haciéndolo con cambios de código significativos en cada versión. El sesenta y tres por ciento de los encuestados dice que espera implementar software al menos cuatro veces más rápido en un modelo DevOps. Sin una estrategia clara e informada, esto puede hacer que establecer y escalar las pruebas de seguridad de las aplicaciones dentro de estos procesos sea complejo y difícil.
Si bien las organizaciones mencionaron la falta de automatización y consistencia, la velocidad reducida y el ruido de los falsos positivos como los principales desafíos de DevSecOps, la encuesta también mostró que el uso de herramientas automatizadas integradas temprano en el ciclo de vida del desarrollo de software puede tener un impacto positivo en tanto la velocidad como la calidad y seguridad generales del software.
La encuesta también reveló que el análisis de composición de software (SCA), o la identificación de componentes de software de código abierto afectados por vulnerabilidades conocidas, es el elemento de seguridad de aplicaciones más crítico que debe incorporarse en los flujos de trabajo de CI / CD. Curiosamente, la encuesta también mostró que casi el 40% de las organizaciones no realizan SCA o afirman no utilizar ningún componente de código abierto, lo que puede representar una falta de conciencia dado que un Informe de análisis de riesgos y seguridad de código abierto por Black Duck Software encontró que más del 95% de las aplicaciones contienen código abierto. Synopsys adquirió Black Duck Software, el líder mundial en soluciones de análisis de composición de software, en diciembre de 2017.
“DevSecOps presenta una oportunidad para hacer que la seguridad de las aplicaciones forme parte del tejido cultural y tecnológico de los modelos modernos de desarrollo e implementación de alta velocidad”, dijo Andreas Kuehlmann, gerente general de Synopsys Software Integrity Group. “Este estudio destaca muchas de las oportunidades y desafíos que enfrenta el equipo de DevOps al adaptar y aplicar las mejores prácticas y herramientas de seguridad de aplicaciones. También valida que la automatización, la velocidad, la precisión y la integración de CI / CD, atributos que Synopsys ha incorporado en sus soluciones de seguridad de aplicaciones, son fundamentales para que DevSecOps sea exitoso ”.
Para leer el informe completo, haga clic en aquí.