Por Cassius Oliveira

Como abordamos no artigo anterior, a cultura DevOps se popularizou e transformou o modo de desenvolvimento de aplicações em empresas mundo a fora. A capacidade de implementar uma comunicação contínua, a otimização de processos e redução de custos, trouxe diversos ganhos econômicos e empresariais para os negócios, além do aumento da qualidade do produto final. Mas algo que sempre precisou de muita atenção nas equipes de TI é a segurança. O ano de 2020 foi um dos mais críticos em temos de vulnerabilidades e ataques maliciosos no mundo da tecnologia da informação. De acordo com relatório da consultoria Canalys, o ano passado teve o maior número de brechas de segurança dos últimos 15 anos, em compensação o investimento em segurança também teve um aumento, mas não muito expressivo. As empresas gastaram cerca de US$53 bilhões, um salto de 10% em comparação com 2019.

Apesar desse cenário, um movimento em relação a implementação de processos de segurança no desenvolvimento de softwares cresce a cada dia, e combinado com a cultura DevOps, começa a se popularizar o movimento DevSecOps.

O que é DevSecOps?

Por muito tempo, a responsabilidade de manter toda a segurança de uma infraestrutura era totalmente atribuída a poucos profissionais, e em caso de falhas e vulnerabilidades, cabiam a eles resolver todos os problemas do ambiente. No caso do desenvolvimento de aplicações, isso não era de fato uma situação ruim, uma vez que os ciclos de desenvolvimento duravam mais tempo, mas a partir da implementação das metodologias ágeis isso ficou no passado.

Visto por muitos como a evolução do movimento DevOps, o DevSecOps é a implementação de processos de segurança desde o início do projeto de desenvolvimento de uma aplicação. A segurança se torna uma prioridade e responsabilidade de toda a equipe, conforme a aplicação é desenvolvida, testada e lançada. Então aqui, a implementação e manutenção de processos totalmente seguros é da responsabilidade de toda a equipe. No site devsecops.org, é possível encontrar um manifesto que aponta todas as diretrizes para trazer a cultura DevSecOps para dento de uma empresa.

Os 9 requisitos da Cultura DevSecOps

No manifesto, podemos encontrar alguns requisitos que devem ser seguidos para se conseguir implementar uma cultura DevSecOps dentro de sua empresa, são eles:

• Avaliar mais do que sempre dizer “não”
• Ciência de Dados e Segurança acima do Medo, Incerteza e Dúvida
• Contribuição aberta & Colaboração mais do que apenas requisitos de segurança
• Serviços de Segurança de Consumíveis com APIs acima de Controles obrigatórios e burocráticos
• Avaliação de segurança dirigidas ao negócio acima de carimbos de segurança
• Testes ofensivos com Red & Blue Team acima da Confiança em scans e Vulnerabilidades Teóricas
• Monitoramento de segurança proativo 24×7 acima de reagir após ser informado de um incidente
• Inteligência Compartilhada de Ameaças acima de manter as informações para nós mesmos
• Operações de Conformidade acima de Clipboards & Checklists

Benefícios da cultura DevSecOps

Ao implementar a cultura DevSecOps, a equipe de TI tem a capacidade de produzir grandes resultados na hora de desenvolver aplicações modernas com o máximo de qualidade, agilidade, e claro, segurança. Veja alguns dos benefícios da cultura DevSecOps em uma empresa:

Entregas mais rápidas: A velocidade da entrega de software é melhorada quando processos de segurança são integradas na pipeline. As falhas e vulnerabilidades são identificadas e corrigidas no processo de desenvolvimento da aplicação.

Melhoria de segurança da estrutura: A segurança está presente em todo o processo de desenvolvimento da aplicação, isso resulta na implementação do modelo de responsabilidade compartilhada na própria equipe o que garante que a segurança seja fortemente integrada desde a construção, implantação até a segurança das cargas de trabalho em produção.

Redução de custos: A identificação de vulnerabilidades e falhas antes da implantação da aplicação resulta em uma redução exponencial do risco e do custo operacional da estrutura.

* Revisão por Ana Carolina Fernandes