DevSecOps: Come implementarlo nella vostra organizzazione

Le organizzazioni smart sono consapevoli del fatto che funzionare in modo sicuro è la chiave del successo nel panorama competitivo di oggi.

Spostare la cultura del team da Agile o DevOps per includere misure di sicurezza ha senso, ma potrebbe rallentare il processo di sviluppo del software all’inizio. I programmatori sono abituati a lavorare rapidamente per deliverare nuove caratteristiche e versioni di software. La sicurezza di solito non è incorporata nel processo e viene tipicamente considerata solo quando c’è un problema.

È chiaro che la sfida è come far funzionare DevSecOps nel mondo reale. Sia che vi troviate di fronte a una carenza di talenti nel campo della sicurezza, ad un’organizzazione a silos, a competenze obsolete o a grandi lacune nella percezione della sicurezza, è possibile integrare con efficacia DevSecOps ricorrendo alla giusta strategia.

Vediamo alcuni spunti per incorporare DevSecOps nei propri processi.

1 Partire dai vertici aziendali

Se i dirigenti di livello C non hanno a cuore la sicurezza, non c’è modo che DevSecOps possa avere successo nella vostra organizzazione. La sicurezza ha anche benefici sul ROI, dall’accelerazione dei cicli di vendita all’apertura di mercati completamente nuovi. I dirigenti dovrebbero comprendere i vantaggi di DevOps e dovrebbero sostenere la necessità di processi sicuri e investimenti strategici sia nelle persone che negli strumenti per sostenere la causa DevSecOps.

2. Essere realistici sul posizionamento della vostra organizzazione

È importante capire cosa pensa il vostro team sull’integrazione di DevSecOps e comprendere quanta conoscenza ha su ciò che comporta l’implementazione di DevSecOps. È importante scoprire quali sono gli atteggiamenti dei diversi team e i ruoli verso il valore della sicurezza. L’attuale postura della vostra organizzazione insomma.

Ciò dovrebbe suggerirvi di dove esistono lacune percettive e cosa ci vorrà per aprire gli occhi di tutti sulla vostra posizione reale, in modo da poter procedere con determinazione.

Al fine di integrare DevSecOps nella vostra organizzazione, tutte le parti interessate devono avere coscienza della realtà ad oggi e consapevolezza di come volete che sia la vostra realtà di domani. Capire come stanno le cose attualmente permetterà a voi e ai vostri team di esaminare la situazione attuale con mente lucida e di concordare ciò che servirà per procedere nell’implementazione.

3 Fornire una formazione SecOps

Alcune organizzazioni possono scegliere di sviluppare internamente la propria formazione e le proprie procedure DevSecOps. Altre possono scegliere di utilizzare strutture esterne e risorse di formazione consolidate. I corsi di terze parti sono facilmente disponibili e possono essere utilizzati per implementare rapidamente il processo di formazione.

I team DevOps devono apprendere come utilizzare gli strumenti di sicurezza e come incorporare le best practice di sicurezza nei propri flussi di lavoro.

I team di sicurezza, parimenti, devono imparare come codificare ed integrare i loro sforzi nei cicli di deployment continuo.

Non aspettatevi che questo processo avvenga organicamente. Sarà necessario fare un investimento consapevole nell’allineamento e nell’educazione tra i team. Solo così DevSecOps avrà la possibilità di diventare una realtà nella vostra organizzazione.

4. Valutare i rischi e dotarsi di una lista di priorità

Della formazione delle risorse, che costituiscono la maggiore vulnerabilità della vostra organizzazione, ci siamo in fondo già occupati nel punto precedente.

Considerando gli aspetti da affrontare in tema di sicurezza, risulta senz’altro vantaggioso iniziare quindi con l’infrastruttura, perché è questa l’area che espone ai rischi più alti ed è più facile da mettere in sicurezza.

Assicuratevi di seguire le migliori pratiche di gestione della configurazione e di implementare gli avvisi di sicurezza che sono ben sintonizzati con la vostra organizzazione. Proteggere la vostra infrastruttura avrà un effetto a catena in tutta l’organizzazione, dallo sviluppo software alle operazioni.

5 Evitare le potenziali insidie

Uno dei vantaggi di DevSecOps è il miglioramento del lavoro di squadra tra tutte le aree coinvolte nella produzione del software.

Avere una più stretta collaborazione tra i team mitigherà il problema di mettere d’accordo i team di sicurezza e i team di sviluppo.

6 Fornire strumenti DevSecOps adeguati

Oltre ai popolari strumenti di sviluppo (GitHub, AWS, Microsoft…), alcuni strumenti di sicurezza possono aiutare ad implementare DevSecOps nella vostra organizzazione mantenendo la necessaria velocità operativa.

Le piattaforme di automazione possono gestire molte delle procedure di sicurezza e si accoppiano perfettamente con un processo DevSecOps ben documentato.

7 Essere determinati nell’implementazione

Quando si tratta di implementare un programma DevSecOps integrato, la vostra organizzazione deve essere assolutamente determinata. Le implementazioni DevSecOps di maggior successo includono:

• Strategia: Anche le migliori ambizioni nei confronti dell’integrazione della sicurezza e delle operazioni possono disintegrarsi se non c’è una strategia perseguibile dietro di esse.
• Proprietari designati: Bisogna coinvolgere le persone giuste. Meglio se con approccio top-down. Come abbiamo scritto, i dirigenti di livello C devono guidare la nave.
• Formazione: Ci può essere un grande divario di comprensione tra la sicurezza e i team DevOps, quindi è essenziale preparare i team e implementare un programma di consapevolezza della sicurezza in tutta l’organizzazione.
• Processi chiari: Con persone che ora lavorano insieme e che potrebbero non aver lavorato insieme prima, e con diversi strumenti necessari per svolgere il lavoro, sono necessari processi chiari e ben documentati.
• Metriche di successo comuni: Dopo aver profuso molto lavoro nel vostro piano DevSecOps, dovreste essere in grado di dimostrare che questo sta effettivamente funzionando. Dovreste dotarvi di alcune metriche o KPI, come il Mean Time To Know, per mostrare i miglioramenti quantitativi dalla vostra implementazione DevSecOps. Soprattutto, questi dovrebbero essere KPI condivisi tra i team.

Conclusioni

DevSecOps sta diventando una filosofia e una pratica importante in organizzazioni di tutte le dimensioni.

Implementando DevSecOps, le aziende possono raccogliere una moltitudine di benefici derivanti dall’integrazione delle operazioni, della sicurezza e delle funzioni di sviluppo e dall’allineamento dei loro obiettivi, tra cui operazioni più efficienti, utilizzo ridotto delle risorse, meno problemi e interruzioni della sicurezza del cloud e delle applicazioni.