DevSecOps zyskuje na przyczepności — ale bezpieczeństwo wciąż słabnie

Twórcy oprogramowania i zespoły operacyjne nadal stosują metodyki DevOps i inne zwinne metodologie, a także automatyzację i usługi o niskim kodzie, ale nadal borykają się z bezpieczeństwem, skutkami pandemii COVID-19 i niedoborem wykwalifikowanych pracowników ochrony, według nowo opublikowana roczna ankieta z GitLab.

DevSecOps zapewnia lepszą jakość kodu, wyższą produktywność programistów i lepszą wydajność operacyjną, według ankiety przeprowadzonej wśród ponad 5,000 programistów, specjalistów operacyjnych i specjalistów ds. bezpieczeństwa aplikacji. Problemem jest jednak nadal bezpieczeństwo. Podczas gdy ponad połowa (57%) ankietowanych uważa bezpieczeństwo za wskaźnik wydajności, prawie ta sama liczba stwierdziła, że ​​„trudno jest nakłonić programistów do ustalenia priorytetów naprawiania luk w kodzie”.

Ankieta przeprowadzona przez dostawcę toolchain podkreśla, że ​​wszyscy uczestnicy procesu rozwoju i wdrażania wciąż muszą poprawić komunikację i relacje między grupami, mówi Johnathan Hunt, wiceprezes ds. bezpieczeństwa informacji i cyberbezpieczeństwa w GitLab.

„Pozyskanie programistów i specjalistów ds. bezpieczeństwa do lepszej współpracy wymaga podejścia opartego na kulturze do tworzenia oprogramowania poprzez stworzenie kultury DevOps”, mówi Hunt. „Platforma DevOps dobrze nadaje się do tego podejścia, zapewniając organizacjom bezproblemową współpracę między zespołami DevSecOps, współwłasność bezpieczeństwa i zgodności oraz strategiczne wykorzystanie technologii, takich jak automatyzacja i AI/ML”.

Mieszać i łączyć

Połączenia znaleziono ankietę że nie istnieje jedno dominujące podejście do tworzenia oprogramowania, a większość zespołów stosuje mieszankę podejść. Podczas gdy większość zespołów programistycznych (47%) korzystała z DevOps i DevSecOps, inne podejścia zwinne również miały znaczący udział: 34% zespołów używało Scrum, 24% używało Kanban, a 29% używało metodologii Lean. Zespoły rozszerzyły nawet wykorzystanie rozwoju Waterfall, przy czym ponad jedna czwarta (26%) przyjęła to podejście.

„Zespoły DevOps nie ograniczają się do jednego sposobu pracy”, mówi Hunt. „Są elastyczni i chętnie dostosowują swoje podejście do różnych potrzeb biznesowych i projektowych”.

Wzrost zwinnych podejść do tworzenia i wdrażania oprogramowania zaowocował szybszym wdrażaniem oprogramowania. Siedmiu na dziesięciu respondentów ankiety stwierdziło, że ich zespoły wdrażają co najmniej raz na kilka dni lub częściej, skok o 11 punktów od 2021. Integracja zautomatyzowanych testów, wdrażania i kontroli bezpieczeństwa z procesem rozwoju jest kluczowym czynnikiem przyspieszającym wdrażanie aplikacji, przy czym prawie połowa (47%) zespołów twierdzi, że ich testowanie jest obecnie w pełni zautomatyzowane, w porównaniu z 25% w 2021 r.

Przyjęcie interfejsów API z niskim kodem i bez kodu do programowania również zwiększyło wydajność zespołów. Dwie trzecie (66%) ankietowanych używa co najmniej jednego narzędzia low-code lub no-code w swojej praktyce DevOps, co stanowi znaczny wzrost w porównaniu z 25% ankietowanych w 2021 roku.

Jednak rosnąca liczba opcji rozwoju, wdrażania i zabezpieczania oprogramowania spowodowała więcej zamieszania, co skłoniło zespoły DevOps do uproszczenia swojego potoku i zestawów narzędzi, jak stwierdzono w badaniu GitLab. Podczas gdy 44% zespołów DevOps używa od dwóch do pięciu narzędzi do zarządzania procesem tworzenia oprogramowania, 41% używa od sześciu do 10 narzędzi.

„To dużo narzędzi, a 69% ankietowanych powiedziało nam, że chcieliby skonsolidować swoje łańcuchy narzędzi”, stwierdził GitLab w raporcie z ankiety.

Sztuczna inteligencja i uczenie maszynowe rosną w siłę

Technologie sztucznej inteligencji i uczenia maszynowego spotkały się z mieszanym przyjęciem wśród programistów i specjalistów ds. bezpieczeństwa aplikacji. Chociaż AI/ML znajduje się na samym dole listy priorytetów przyszłej kariery programistów, większość specjalistów ds. bezpieczeństwa (54%) twierdzi, że AI/ML pomoże im najbardziej w przyszłej karierze. AI/ML szczególnie pasuje do dziedziny bezpieczeństwa. Na przykład systemy AI/ML można przeszkolić w wykrywaniu zagrożeń i reagowaniu na nie, generowaniu alertów i uruchamianiu zestawów reguł.

„Ale AI/ML nie wypada z radarów programistów. W rzeczywistości jego użycie rośnie”, mówi Hunt, dodając: „Jest to szczególnie przydatne, jeśli chodzi o wykrywanie i obronę przed atakami i złośliwymi podmiotami, ponieważ specjaliści ds. Bezpieczeństwa nie mogą obserwować każdego pakietu i połączenia przechodzącego przez sieć”.

Bezpieczeństwo nadal odgrywa większą rolę w procesie tworzenia oprogramowania, a 57% firm przesuwa odpowiedzialność za bezpieczeństwo „w lewo” i sprawia, że ​​programiści są bardziej odpowiedzialni za luki w ich kodzie. Jednak wciąż jest wiele do zrobienia, ponieważ znaczna liczba programistów obwinia zabezpieczenia za opóźnienia, a podział odpowiedzialności za bezpieczeństwo oprogramowania bardzo się zmienia.

„Podczas gdy deweloperzy i operatorzy przejmują większą część własności bezpieczeństwa, nie jest to takie proste dla zespołu sec”, stwierdził GitLab w raporcie. „W 2020 i 2021 r. odsetek specjalistów ds. bezpieczeństwa, którzy stwierdzili, że są w pełni odpowiedzialni za bezpieczeństwo, był mniej więcej taki sam, jak tych, którzy twierdzili, że wszyscy są odpowiedzialni”.