Veracode, líder global en seguridad de software recién adquirida por CA Technologies (NASDAQ: CA), anuncia los resultados de un estudio que analiza las relaciones entre los equipos de seguridad y el desarrollo de aplicaciones. El relevamiento, realizado por Enterprise Strategy Group (ESG), muestra que, a pesar de la convicción generalizada de que los equipos de seguridad y los de desarrollo tienen prioridades diferentes, iniciativas como la creación de ambientes DevOps y el foco en la innovación de productos mantienen a esos dos equipos alineados. De acuerdo con este estudio realizado en marzo de 2017 entre 400 profesionales de TI de Estados Unidos, Reino Unido y Alemania, un 58% de los entrevistados afirmaron que su organización está asumiendo un abordaje colaborativo para proteger sus aplicaciones.
Creciente necesidad de DevSecOps
El estudio buscó determinar los puntos de vista de los profesionales de seguridad y desarrollo al respecto de las tendencias de seguridad en aplicaciones y en desarrollo de software. Entre los entrevistados que afirmaron que su organización usa soluciones de seguridad en aplicaciones –como pruebas estáticas de seguridad–, un 43% relató que toman esa medida porque incluir la seguridad de aplicaciones en el proceso de desarrollo es más eficiente que corregir los sistemas de producción de forma reactiva.
Un hecho curioso es que el 45% de los entrevistados que forman parte de alguna organización que adoptó los principios y las buenas prácticas de DevOps señalan que estos procesos facilitan el trabajo del equipo de desarrollo de software y solo un 8% dijo que la inclusión de la seguridad de aplicaciones en el proceso de desarrollo desacelera el ambiente DevOps. Estos resultados no están alineados a la percepción común de que el foco en la seguridad desacelera el desarrollo de software.
“El software continúa siendo el principal impulsor de innovación y crecimiento económico. Eliminar la percepción de que existe una fricción entre los equipos de seguridad y de desarrollo es una prioridad para los profesionales de TI”, afirma Pete Chestna, director de alistamiento de desarrolladores de Veracode. “La percepción positiva de que es posible alinear a los equipos de seguridad y DevOps, como lo indica este estudio, muestra que los equipos de desarrollo pueden y deben considerar la seguridad como parte integrante del proceso”.
Estas conclusiones no podrían llegar en mejor momento para las empresas, ya que los ataques que se aprovechan de vulnerabilidades de software son cada vez más comunes y perjudiciales. El ataque del virus WannaCry es el ejemplo más reciente, que explota una vulnerabilidad de versiones más antiguas del sistema operativo Microsoft Windows. Aunque Microsoft haya lanzado una corrección para dicha vulnerabilidad, miles de organizaciones no la han instalado aún y fueron infectadas por el WannaCry.
El estudio también ha mostrado que casi un 70% de los entrevistados planean aumentar las inversiones en la seguridad de aplicaciones en los próximos 12 a 24 meses. Este aumento de inversiones también valida la importancia creciente de la seguridad de aplicaciones en el proceso de desarrollo.
Influencia de los procesos de DevOps en los requisitos tecnológicos
El estudio señala la necesidad de colocar la seguridad de aplicaciones como parte integrante del proceso de DevOps –la combinación conocida como DevSecOps– y que esta necesidad se reconozca y se acepte. Los resultados también destacan los requisitos tecnológicos necesarios para hacer del DevSecOps una realidad.
La complejidad e incapacidad de integrar la seguridad de aplicaciones al flujo de trabajo del DevOps son los mayores obstáculos señalados para la implementación eficaz de este modelo. En realidad, la capacidad de integrar herramientas de prueba estática de software y de ciclo de vida del software (42%), además de la capacidad de integrar herramientas de prueba dinámica de software y de ciclo de vida del software (34%) a los procesos de desarrollo de aplicaciones y DevOps, fueron las consideraciones que más se repitieron al evaluar productos y servicios de prueba estática y dinámica de seguridad de aplicaciones, respectivamente.
“Las metodologías contemporáneas de desarrollo de aplicaciones promueven la comunicación y la colaboración entre los equipos de desarrollo de aplicaciones, operaciones y seguridad, con el objetivo de identificar y corregir vulnerabilidades lo más rápido posible para aumentar la eficiencia e intensificar la seguridad”, evalúa Doug Cahill, Analista Senior de ESG. “La adopción cada vez mayor de procesos de DevOps, combinada a la voluntad de integrar y automatizar las pruebas de seguridad durante todo el ciclo de vida del software, indica un cambio para el DevSecOps, lo que significa considerar el código seguro como un elemento de creación de aplicaciones de calidad”.
Metodología
El estudio solicitado por Veracode y realizado por ESG, entrevistó a 400 profesionales de TI en los Estados Unidos, el Reino Unido y Alemania.
