DevSecOps saa pitoa – mutta turvallisuus viivästyy edelleen

Ohjelmistokehittäjät ja operatiiviset tiimit jatkavat DevOpsin ja muiden kettereiden menetelmien sekä automaation ja matalan koodin palvelujen käyttöönottoa, mutta he kamppailevat edelleen turvallisuuden, COVID-19-pandemian seurausten ja ammattitaitoisten turvallisuustyöntekijöiden puutteen kanssa. äskettäin julkaistu vuotuinen kysely GitLabilta.

DevSecOps parantaa koodin laatua, kehittäjien tuottavuutta ja toiminnan tehokkuutta yli 5,000 57 ohjelmistokehittäjän, operatiivisen asiantuntijan ja sovellusturva-ammattilaisen kyselyn mukaan. Turvallisuus on kuitenkin edelleen ongelma. Vaikka yli puolet (XNUMX %) kyselyyn vastanneista piti turvallisuutta suorituskykymittarina, lähes sama määrä sanoi, että "on vaikea saada kehittäjiä priorisoimaan koodin haavoittuvuuksien korjaamista".

Työkaluketjun toimittajan tekemä kysely korostaa, että kaikkien kehitys- ja käyttöönottoprosessiin osallistujien on edelleen parannettava ryhmien välistä viestintää ja suhteita, sanoo GitLabin tietoturva- ja kyberturvallisuusjohtaja Johnathan Hunt.

"Kehittäjien ja tietoturva-ammattilaisten saaminen työskentelemään paremmin yhdessä edellyttää kulttuurin ensisijaista lähestymistapaa ohjelmistokehitykseen luomalla DevOps-kulttuuri", Hunt sanoo. "DevOps-alusta soveltuu hyvin tähän lähestymistapaan, koska se tarjoaa organisaatioille saumattoman yhteistyön DevSecOps-tiimien välillä, jaetun tietoturvan ja vaatimustenmukaisuuden omistuksen sekä automaation ja tekoälyn/ML:n kaltaisten teknologioiden strategisen käytön."

Sekoita ja Match

- tutkimuksessa että ohjelmistokehitykseen ei ole olemassa yhtä hallitsevaa lähestymistapaa, ja useimmat tiimit käyttävät erilaisia ​​lähestymistapoja. Suurin osa kehitystiimeistä (47 %) käytti DevOpsia ja DevSecOpsia, mutta myös muilla ketterillä lähestymistavoilla oli merkittävä osuus: 34 % tiimeistä käytti Scrumia, 24 % Kanbania ja 29 % Lean-menetelmiä. Tiimit jopa laajensivat Waterfall-kehityksen käyttöä, ja yli neljäsosa (26 %) omaksui tämän lähestymistavan.

"DevOps-tiimit eivät rajoita toimintaansa yhteen tapaan", Hunt sanoo. "He ovat joustavia ja valmiita mukauttamaan toimintatapojaan erilaisiin liiketoiminta- ja projektitarpeisiin."

Kettereiden lähestymistapojen lisääntyminen ohjelmistokehitykseen ja käyttöönottoon on johtanut ohjelmistojen nopeampaan käyttöönottoon. Seitsemän kymmenestä kyselyyn vastanneesta sanoi, että heidän tiiminsä ottaa käyttöön vähintään kerran muutaman päivän välein tai useammin, 11 pisteen hyppy vuodesta 2021. Automaattisen testauksen, käyttöönoton ja suojausohjauksen integrointi kehitysprosessiin on avaintekijä sovellusten käyttöönoton nopeuttamisessa, ja lähes puolet (47 %) tiimeistä väittää, että heidän testauksensa on nykyään täysin automatisoitu, kun vuonna 25 vastaava luku oli 2021 %.

Matalakoodin ja ilman koodia sisältävien API:iden käyttöönotto kehitystyössä on myös tehostanut tiimejä. Kaksi kolmasosaa (66 %) kyselyyn vastanneista käyttää DevOps-käytännöissään vähintään yhtä matalakoodia tai ei-koodia sisältävää työkalua, mikä on merkittävä kasvu vuoden 25 2021 prosentista.

Ohjelmistojen kehitys-, käyttöönotto- ja suojausvaihtoehtojen lisääntyminen on kuitenkin johtanut sekaannukseen, mikä on johtanut DevOps-tiimien pyrkimyksiin yksinkertaistaa putkistoaan ja työkalusarjojaan, GitLabin tutkimus totesi. Vaikka 44 % DevOps-tiimeistä käyttää kahdesta viiteen työkalua ohjelmistokehitysprosessin hallintaan, 41 % käyttää kuudesta kymmeneen työkalua.

"Se on paljon työkaluja, ja 69% kyselyyn osallistuneista sanoi meille, että he haluaisivat vahvistaa työkaluketjunsa", GitLab totesi kyselyraportissa.

Tekoäly ja koneoppiminen "nousemassa"

Tekoäly ja koneoppimisteknologiat ovat omaksuneet vaihtelevasti kehittäjien ja sovellusturvallisuuden asiantuntijoiden keskuudessa. Vaikka AI/ML on kehittäjien tulevan uran prioriteettien listan lopussa, suurin osa tietoturva-ammattilaisista (54 %) sanoi, että AI/ML auttaa heitä eniten heidän tulevalla urallaan. AI/ML sopii erityisen hyvin tietoturva-alueelle. Esimerkiksi AI/ML-järjestelmiä voidaan kouluttaa havaitsemaan uhkia ja reagoimaan niihin, luomaan hälytyksiä ja käynnistämään sääntöjoukkoja.

"Mutta AI/ML ei ole kaukana kehittäjien tutkasta. Itse asiassa sen käyttö on kasvussa", Hunt sanoo ja lisää: "Tämä on erityisen hyödyllistä hyökkäysten ja haitallisten toimijoiden havaitsemisessa ja niiltä suojaamisessa, koska tietoturva-ammattilaiset eivät voi tarkkailla jokaista verkon poikki kulkevaa pakettia ja yhteyttä."

Tietoturvalla on edelleen suurempi rooli ohjelmistokehitysputkessa, ja 57% yrityksistä siirtää tietoturvavastuuta "vasemmalle" ja tekee kehittäjistä enemmän vastuuta koodinsa haavoittuvuuksista. Matkaa on kuitenkin vielä jäljellä, sillä huomattava määrä kehittäjiä syyttää tietoturvaa viivästyksistä ja vastuunjaosta ohjelmistojen tietoturvan alalla.

"Vaikka kehittäjät ja operaattorit ottavat suuremman osuuden tietoturvan omistuksesta, se ei ole niin yksinkertaista sec-tiimissä", GitLab totesi raportissa. "Vuosina 2020 ja 2021 tietoturva-ammattilaisten prosenttiosuus, jotka sanoivat olevansa täysin vastuussa turvallisuudesta, oli suunnilleen sama kuin niiden, jotka sanoivat kaikkien olevan vastuussa."