Πώς το DevSecOps ενδυναμώνει τους Πολίτες προγραμματιστές

Μέχρι το 2025, συνολικά παγκόσμια δημιουργία δεδομένων θα φτάσει τα 181 zettabyte. Για τις επιχειρήσεις, αυτά τα δεδομένα είναι ένα πλεονέκτημα, επιτρέποντάς τους να αξιοποιήσουν μια ποικιλία τεχνολογικών πλατφορμών για να δημιουργήσουν εξαιρετικά εξατομικευμένες εμπειρίες πελατών που δημιουργούν πίστη και προσελκύουν νέες επιχειρήσεις. Ωστόσο, αυτές οι εμπειρίες εξαρτώνται από τις υποδομές cloud που χρησιμοποιούν κοινές λειτουργίες ασφαλείας. Εκεί έγκειται ο κίνδυνος και αυξάνεται καθώς η τεχνολογία αναπτύσσεται για να ενσωματώσει έναν νέο στρατό πολιτών προγραμματιστών που χρησιμοποιούν πλατφόρμες χαμηλού και χωρίς κώδικα.

Κατανόηση και υπέρβαση της νοοτροπίας κληρονομικότητας 

Gartner εκτιμά ότι έως το 2025, το 70% των εταιρικών εφαρμογών θα έχει κατασκευαστεί από πλατφόρμες χαμηλού και χωρίς κώδικα, όπως το Salesforce και το ServiceNow. Η απόκριση με νοοτροπία που βασίζεται στην κληρονομικότητα είναι ένας σίγουρος τρόπος για να ρυθμίσετε περισσότερα από τα δύο τρίτα των εταιρικών εφαρμογών για αποτυχία.   

Η "νοοτροπία κληρονομικότητας" είναι ένας κατάλληλος περιγραφέας για τα προβλήματα που μαστίζουν τις υποδομές. Φέρνει στο νου ένα πλούσιο, κακομαθημένο παιδί που εξαρτάται εξ ολοκλήρου από τη δουλειά που γίνεται και ανθρώπους που ήρθαν πριν από αυτά. Αυτός δεν είναι ένας καλός τρόπος για να χτίσετε μια κληρονομιά, και είναι ένας εξίσου κακός τρόπος για να χτίσετε ένα σύστημα.

Όταν έχετε μια νοοτροπία παλαιού τύπου, υποθέτετε ότι η υποδομή είναι ρυθμισμένη. Η πλατφόρμα είναι ασφαλής και η ασφάλεια είναι ενσωματωμένη. Η εμπιστοσύνη θεωρείται απλώς και μόνο επειδή η τεχνολογία ήταν εκεί πριν από τον διαχειριστή.

Αυτή η νοοτροπία κληρονομικότητας μαστίζει τις πλατφόρμες χαμηλού κώδικα και χωρίς κώδικα. Οι χρήστες βασίζονται στην ασφάλεια μιας πλατφόρμας για να τους μεταφέρουν μέσω μιας ολόκληρης εταιρικής υποδομής. Αντίθετα, η ασφάλεια αυτής της πλατφόρμας θα πρέπει να ισχύει μόνο για αυτήν την πλατφόρμα.

Ας υποθέσουμε ότι οι προγραμματιστές του Salesforce δημιουργούν ένα αυτοματοποιημένο πρόγραμμα ανάθεσης για νέους δυνητικούς πελάτες. Το χρησιμοποιούν στο Salesforce για εσωτερικές εργασίες και είναι εντάξει. Μπορούν να βασιστούν στην ασφάλεια της πλατφόρμας. Αποφασίζουν να το επεκτείνουν για να βελτιώσουν την αυτοματοποίηση. Συνδέουν αυτό το πρόγραμμα με ένα εξωτερικό CRM όπως το ServiceNow, το SAP ή το Oracle. Η νοοτροπία κληρονομικότητας αναλαμβάνει: Το Salesforce είναι ασφαλές. Το ServiceNow, το SAP ή το τρίτο μέρος είναι ασφαλές.

Άρα, Salesforce + τρίτο μέρος = χρηματοκιβώτιο.

Όμως, υπάρχει πολύ άγνωστο σε αυτό το σύμβολο συν. Πώς συνδέετε με ασφάλεια και συμμόρφωση το εσωτερικό πρόγραμμα που δημιουργήθηκε στο Salesforce με το εξωτερικό πρόγραμμα που δημιουργήθηκε στην πλατφόρμα τρίτων; Υπάρχουν πολλά περιθώρια λάθους σε αυτόν τον μοναδικό χαρακτήρα.  

Και αυτή είναι μόνο μια σύνδεση. Πολλά προγράμματα που δημιουργούνται στο Salesforce αγγίζουν εκατοντάδες άλλα. Αυτό είναι εκατοντάδες άγνωστα που αντιμετωπίζονται σαν το σύμβολο συν που περιγράφεται παραπάνω από άτομα που έχουν μικρή έως καθόλου εμπειρία ανάπτυξης.  

Η μόνη λύση είναι να επαναφέρετε αυτή την ανάπτυξη στη γη με μια επιστροφή στις αρχές του DevSecOps.

Δημιουργία του πλαισίου DevSecOps 

DevSecOps Τα πλαίσια γράφτηκαν, ξαναγράφτηκαν και γράφτηκαν ξανά από τότε που δημιουργήθηκε η ιδέα. Δεν χρειάζεται να εφεύρετε ξανά τον τροχό κατά την καθιέρωσή τους, ειδικά όταν SAFECode και το Cloud Security Alliance έχει χτίσει έξι πυλώνες:

1. Συλλογική ευθύνη: Η ασφάλεια είναι ευθύνη κάθε ατόμου στην επιχείρηση — αλλά οι άνθρωποι δεν μπορούν να πληρούν πρότυπα που δεν γνωρίζουν. Θα πρέπει να εκχωρούνται δυνητικοί πελάτες για την καθοδήγηση της πολιτικής για την ασφάλεια στον κυβερνοχώρο και τη διασφάλιση της διάδοσής της σε όλη την επιχείρηση.  
2. Συνεργασία και ενσωμάτωση: Η γνώση πρέπει να μοιράζεται και να μεταφέρεται. Ο μισός λόγος για τον οποίο οι επιχειρήσεις εμπίπτουν στην κληρονομική νοοτροπία είναι ότι όλοι όσοι γνώριζαν το παλιό σύστημα έχουν φύγει. Η συνεχής ανταλλαγή γνώσεων βοηθά στην εξάλειψη αυτού του ζητήματος.
3. Πραγματική εφαρμογή: Η ρεαλιστική υλοποίηση συνδέεται με την εμπειρία του προγραμματιστή. Οι διαδικασίες που είναι δύσκολες, εγκόσμιες και δυσκίνητες δεν ακολουθούνται για πολύ. Η ασφάλεια θα πρέπει να ενσωματωθεί στις πρακτικές ανάπτυξης — δηλαδή, κάθε γραμμή κώδικα απαιτεί μια γραμμή δοκιμής. Μια επιχείρηση με υψηλές επιδόσεις θα το έκανε περαιτέρω χρησιμοποιώντας ένα εργαλείο για την αυτοματοποίηση κάθε γραμμής κώδικα δοκιμής.
4. Συμμόρφωση και ανάπτυξη: Οι απαιτήσεις συμμόρφωσης θα πρέπει να καθοδηγούν τη διαδικασία ανάπτυξης με τρόπο που να μην επιτρέπει στους προγραμματιστές να αποκλίνουν από αυτές. Ένας προγραμματιστής για ένα χρηματοπιστωτικό ίδρυμα, για παράδειγμα, θα εργαζόταν σε μια πλατφόρμα που έχει σχεδιαστεί για να συμμορφώνεται με τον νόμο Gramm-Leach-Bliley. Ο προγραμματιστής δεν χρειάζεται να γνωρίζει τα μεμονωμένα στοιχεία της πράξης για να συμμορφώνεται, επειδή είναι ενσωματωμένα στην πλατφόρμα.  
5. Αυτοματισμοί: Οι εργασίες που είναι προβλέψιμες, επαναλαμβανόμενες και μεγάλου όγκου θα πρέπει να αυτοματοποιούνται όποτε είναι δυνατόν, ώστε να αφαιρείται το βάρος από τους προγραμματιστές και να μειωθεί ο κίνδυνος ανθρώπινου λάθους.
6. Monitor: Οι σύγχρονες υποδομές cloud αλλάζουν και αναπτύσσονται. Είναι ζωτικής σημασίας να το παρακολουθείτε — ιδανικά, μέσω κάποιας μορφής ενορχήστρωσης που επιτρέπει μια άμεση προβολή όλων των διαφόρων διασυνδέσεων.

Σε χαμηλό ή χωρίς κωδικό περιβάλλον, αυτοί οι πυλώνες δεν είναι τόσο απλοί όσο θα περίμενε κανείς. Τα άτομα που χρησιμοποιούν αυτά τα εργαλεία είναι συχνά ειδικοί στις επιχειρήσεις με μικρή εξοικείωση με τα βασικά στοιχεία του DevSecOps.

Φέρνοντας μαζί ανθρώπους, διαδικασίες και τεχνολογία

Η χρήση πλατφορμών χαμηλού κώδικα και πλατφορμών χωρίς κώδικα μπορεί πραγματικά να συμβάλει στην κάλυψη αυτού του κενού δεξιοτήτων. Οι εργαζόμενοι θέλουν να μάθουν νέες δεξιότητες. Οι επιχειρήσεις μπορούν να το υποστηρίξουν δημιουργώντας ένα πλαίσιο DevSecOps που εστιάζει στους ανθρώπους, τις διαδικασίες και την τεχνολογία. 

• Διαδικασίες: Σε ένα περιβάλλον μηδενικής εμπιστοσύνης, οι προγραμματιστές χαμηλού κώδικα και χωρίς κώδικα δεν χρειάζεται να ανησυχούν για τη δημιουργία συνδέσεων που θέτουν σε κίνδυνο την ακεραιότητα του συστήματος, επειδή δεν είναι σε θέση να το κάνουν. Δεν έχουν καμία βασική αρχή εκτός του απομονωμένου συστήματός τους.  
• άνθρωποι: Η κουλτούρα της λογοδοσίας είναι διαφορετική από την κουλτούρα της ευθύνης. Υπευθυνότητα σημαίνει ότι τα άτομα αισθάνονται άνετα να αντιμετωπίσουν ένα πρόβλημα ή ένα λάθος επειδή η εστίαση είναι στο θέμα και όχι στο άτομο.
• Τεχνολογία: Η τεχνολογία είναι το μοναδικό μεγαλύτερο εμπόδιο για τη σωστή εφαρμογή των αρχών του DevSecOps, επειδή είναι έξω από τα χέρια των προγραμματιστών. Πρέπει να χρησιμοποιήσουν αυτό που τους δίνει ο οργανισμός. Εάν αυτή η τεχνολογία δεν λειτουργήσει, οι προγραμματιστές θα βρουν λύσεις που δεν είναι ούτε ασφαλείς ούτε ασφαλείς. Ουσιαστικά, η τεχνολογία γίνεται μια μεγάλη σκιώδης γεννήτρια IT.

Ζούμε σε μια συναρπαστική εποχή για ανάπτυξη. Όλο και περισσότεροι άνθρωποι έχουν την ευκαιρία να δημιουργήσουν λογισμικό, να δοκιμάσουν στρατηγικές και να βελτιώσουν την επιχειρηματική αξία. Αλλά μαζί με αυτό έρχεται και ο κίνδυνος. Οι επιχειρήσεις που αναζητούν τρόπους για να εκφορτώσουν αυτόν τον κίνδυνο στην τεχνολογία θα διατηρήσουν την ανάπτυξή τους σταθερή, αφήνοντας παράλληλα χώρο για εξερεύνηση.