DevSecOps ganha força - mas a segurança ainda fica atrasada

Os desenvolvedores de software e as equipes de operações continuam adotando DevOps e outras metodologias ágeis, bem como serviços de automação e low-code, mas ainda lutam com segurança, as consequências da pandemia de COVID-19 e a escassez de profissionais de segurança qualificados, de acordo com um relatório. pesquisa anual recém-publicada do GitLab.

O DevSecOps resulta em melhor qualidade de código, maior produtividade do desenvolvedor e eficiência operacional aprimorada, de acordo com a pesquisa com mais de 5,000 desenvolvedores de software, especialistas em operações e profissionais de segurança de aplicativos. A segurança ainda é um problema, no entanto. Embora mais da metade (57%) dos entrevistados considerasse a segurança uma métrica de desempenho, quase o mesmo número disse que era “difícil fazer com que os desenvolvedores realmente priorizassem a correção de vulnerabilidades de código”.

A pesquisa realizada pelo provedor da cadeia de ferramentas ressalta que todos os participantes do processo de desenvolvimento e implantação ainda precisam melhorar as comunicações e relacionamentos entre os grupos, diz Johnathan Hunt, vice-presidente de segurança da informação e segurança cibernética do GitLab.

“Fazer com que desenvolvedores e profissionais de segurança trabalhem melhor juntos requer uma abordagem cultural ao desenvolvimento de software por meio da criação de uma cultura DevOps”, diz Hunt. “Uma plataforma de DevOps se presta bem a essa abordagem, garantindo às organizações uma colaboração perfeita entre as equipes de DevSecOps, propriedade compartilhada de segurança e conformidade e usos estratégicos de tecnologias como automação e IA/ML.”

Misturar e combinar

A pesquisa encontrada que não existe uma única abordagem dominante para o desenvolvimento de software e que a maioria das equipes usa uma mistura de abordagens. Enquanto a maioria das equipes de desenvolvimento (47%) usou DevOps e DevSecOps, outras abordagens ágeis também foram responsáveis ​​por compartilhamentos significativos: 34% das equipes usaram Scrum, 24% usaram Kanban e 29% usaram metodologias Lean. As equipes até expandiram o uso do desenvolvimento Waterfall, com mais de um quarto (26%) adotando essa abordagem.

“As equipes de DevOps não estão se limitando a uma única maneira de trabalhar”, diz Hunt. “Eles são flexíveis e dispostos a ajustar suas abordagens para atender a várias necessidades de negócios e projetos.”

O aumento das abordagens ágeis para desenvolvimento e implantação de software resultou em uma implantação mais rápida de software. Sete em cada 10 participantes da pesquisa disseram que suas equipes implantam pelo menos uma vez a cada poucos dias ou com mais frequência, um salto de 11 pontos a partir de 2021. A integração de testes automatizados, implantação e controles de segurança no pipeline de desenvolvimento é um fator-chave para acelerar a implantação de aplicativos, com quase metade (47%) das equipes afirmando que seus testes são totalmente automatizados hoje, acima dos 25% em 2021.

A adoção de APIs low-code e no-code para desenvolvimento também tornou as equipes mais eficientes. Dois terços (66%) dos participantes da pesquisa estão usando pelo menos uma ferramenta de código baixo ou sem código em sua prática de DevOps, um aumento significativo em relação aos 25% dos pesquisados ​​em 2021.

No entanto, o número crescente de opções para desenvolvimento, implantação e segurança de software resultou em mais confusão, levando as equipes de DevOps a procurar simplificar seu pipeline e conjuntos de ferramentas, descobriu o estudo do GitLab. Enquanto 44% das equipes de DevOps usam de duas a cinco ferramentas para gerenciar o processo de desenvolvimento de software, 41% usam entre seis e 10 ferramentas.

“São muitas ferramentas, e 69% dos respondentes da pesquisa nos disseram que gostariam de consolidar suas cadeias de ferramentas”, afirmou o GitLab no relatório da pesquisa.

IA e aprendizado de máquina 'em ascensão'

As tecnologias de inteligência artificial e aprendizado de máquina tiveram adoção mista entre desenvolvedores e especialistas em segurança de aplicativos. Embora AI/ML esteja no final da lista de prioridades para as carreiras futuras dos desenvolvedores, a maioria dos profissionais de segurança (54%) disse que AI/ML os ajudará mais em suas futuras carreiras. AI/ML se adequa particularmente ao domínio de segurança. Por exemplo, os sistemas de IA/ML podem ser treinados para detectar e responder a ameaças, gerar alertas e acionar conjuntos de regras.

“Mas AI/ML está longe de sair do radar dos desenvolvedores. Na verdade, seu uso está aumentando”, diz Hunt, acrescentando: “Isso é especialmente útil quando se trata de detectar e defender contra ataques e agentes mal-intencionados, já que os profissionais de segurança não podem monitorar todos os pacotes e conexões que atravessam uma rede”.

A segurança continua a ter um papel maior no pipeline de desenvolvimento de software, com 57% das empresas mudando a responsabilidade de segurança para “esquerda” e tornando os desenvolvedores mais responsáveis ​​pelas vulnerabilidades em seu código. No entanto, ainda há um caminho a percorrer, com um número significativo de desenvolvedores culpando a segurança por atrasos e a divisão de responsabilidade pela segurança de software muito em fluxo.

“Enquanto o desenvolvimento e as operações estão assumindo uma parcela maior da propriedade de segurança, não é tão simples na equipe de segurança”, afirmou o GitLab no relatório. “Em 2020 e 2021, a porcentagem de profissionais de segurança que disseram ser totalmente responsáveis ​​pela segurança foi praticamente a mesma daqueles que disseram que todos eram responsáveis.”