Mantener los beneficios de DevOps en un entorno regulatorio
Tras la explosión de las máquinas virtuales que impulsan la automatización, las prácticas de DevOps se han disparado en los últimos años como un subproducto lógico. Las organizaciones de todas las industrias han estado trabajando para incorporar la agilidad a lo largo de todo el ciclo de vida del desarrollo y las operaciones de software. Y no es difícil entender por qué: cuando se implementa correctamente, DevOps puede permitir una especie de nirvana de innovación. Al orquestar la comunicación entre equipos multifuncionales, las empresas pueden agregar velocidad y agilidad a los procesos críticos, lo que a su vez conduce a tiempos de reacción más rápidos y mejor resiliencia. En resumen, no solo puede hacer más, sino que puede hacerlo de manera más rápida y eficaz.
Al mismo tiempo, el mundo de las tecnologías de la información de hoy exige que las empresas protejan la información y los datos confidenciales. Gobernanza, gestión de riesgos y cumplimiento, conocidos colectivamente como GRC, se refieren a todas las capacidades que integran las actividades de gobernanza, gestión y aseguramiento del desempeño, riesgo y cumplimiento. Hoy, las regulaciones cambian y evolucionan constantemente; nuevas versiones están en proceso o se están introduciendo. También se están discutiendo nuevos estándares de cumplimiento, y es posible que estén surgiendo en un futuro próximo.
Ahora, una lista de reglas y regulaciones que cambian con frecuencia puede parecer tediosa y algo prohibitiva para la intención de la velocidad del rayo que impulsa la creación, implementación y liberación continua de DevOps. Sin embargo, es importante comprender que, de hecho, GRC es un habilitador clave de las actividades de DevOps; el segundo no puede prosperar sin reconocer y respetar al primero. El equipo legal y de cumplimiento de una organización puede aprovechar los equipos de DevOps altamente ágiles y avanzados para diseñar e implementar cambios en el sistema que satisfagan los puntos de riesgo y control, que se han convertido en requisitos para auditorías de cumplimiento exitosas.
Por ejemplo, si los equipos de DevOps están debidamente capacitados en GRC y cuentan con la tecnología adecuada, pueden ser un verdadero activo con respecto a la vulnerabilidad técnica y la gestión de amenazas. Estos componentes son de alta prioridad para cualquier empresa, pero puede ver cuán cruciales son para cumplir con estándares de cumplimiento específicos, como la industria de tarjetas de pago (PCI) y el estándar de seguridad de datos (DSS) para sistemas de control financiero.
La clave aquí es moderar DevOps para que se adapte perfectamente a los requisitos de GRC, sin violar los parámetros críticos de cumplimiento. En otras palabras, si puede integrar el cumplimiento de los requisitos de GRC en las prácticas de DevOps, puede incorporar medidas de seguridad de manera eficaz en los procesos de desarrollo y operaciones, incluidos los automatizados. Esto resultará en un matrimonio feliz de DevOps y GRC que le permitirá a su organización cosechar realmente los máximos beneficios de cada uno.
Es crucial que las medidas de seguridad estén diseñadas como parte integral de los procesos en sí mismos y no simplemente superpuestas. Una manera fácil de visualizar esto es imaginar los ingredientes esenciales para hornear un pastel: necesitas mezclar la harina, el azúcar, los huevos, la leche y el polvo de hornear en la etapa de rebozado. Así como sería absurdo intentar batir los huevos en un pastel terminado, no puede intentar agregar medidas de seguridad post-facto; deben integrarse desde el principio. Al incorporar las medidas de cumplimiento necesarias en los procesos críticos, puede maximizar los beneficios y la utilidad de DevOps dentro de un mundo de cumplimiento.
Tácticamente hablando, ¿cómo se logra esto? La clave aquí es que los equipos de DevOps necesitan conciencia y capacitación para comprender los puntos específicos de cumplimiento. Necesitan aprender las reglas y leyes que rigen específicamente su organización en particular y cómo implementarlas. Se debe implementar un protocolo, como mínimo una vez al año, para evaluar y actualizar periódicamente la aplicación de estas políticas. Además, la organización debe definir un proceso de amonestación para asegurar la adherencia y la corrección del rumbo, si es necesario. Si ocurre un evento de nexo, el personal de cumplimiento debe abordarlo de inmediato y filtrar las acciones críticas necesarias al equipo de DevOps.
Sin embargo, para que todo esto suceda, un papel muy importante debe orquestarlo: la gestión. Solo la gerencia posee la autoridad más alta para establecer y definir la gobernanza de la comunicación desde un punto de vista organizacional. Esto significa romper silos y coordinar un flujo regular de información del equipo de cumplimiento al equipo de DevOps, y viceversa. Esto incluso podría involucrar auditorías internas para recopilar e identificar la información apropiada necesaria para hacer evolucionar las prácticas de la organización.
Piense en la organización como una brigada de cocina, o un equipo culinario: para organizar una comida compleja de varios platos, necesitaría varios organismos que cubran diferentes responsabilidades. Necesitaría un jefe de cocina, un segundo chef, un chef de repostería, cocineros junior, lavaplatos y supervisores de despensa. Necesitaría chefs individuales a cargo de las tareas de asar, freír, asar a la parrilla, saltear y repostería. Cada una de estas personas estará tan centrada en su función individual, que es fácil perder de vista el objetivo común: una completo comida.
La gerencia debe asumir el papel de jefe de cocina y orquestar el sistema, y asegurarse de que se mantenga en funcionamiento dentro de los límites de las leyes, regulaciones y puntos de cumplimiento críticos. Los gerentes de nivel de vicepresidente deben impulsar el conocimiento y la capacitación de las mejores prácticas de GRC entre los equipos de DevOps, y liderar el cargo para brindar la visibilidad y la mitigación de riesgos necesarias para respaldar la innovación rápida.