DevSecOps набирает обороты, но безопасность по-прежнему отстает

Разработчики программного обеспечения и операционные группы продолжают внедрять DevOps и другие гибкие методологии, а также автоматизацию и услуги с низким кодом, но они по-прежнему борются с безопасностью, последствиями пандемии COVID-19 и нехваткой квалифицированных специалистов по безопасности. недавно опубликованный ежегодный опрос от GitLab.

Согласно опросу более 5,000 разработчиков программного обеспечения, специалистов по эксплуатации и специалистов по безопасности приложений, DevSecOps обеспечивает лучшее качество кода, более высокую производительность разработчиков и повышенную эффективность работы. Однако безопасность по-прежнему остается проблемой. В то время как более половины (57%) опрошенных считают безопасность показателем производительности, почти столько же заявили, что «трудно заставить разработчиков действительно расставить приоритеты по исправлению уязвимостей кода».

Опрос, проведенный поставщиком набора инструментов, подчеркивает, что всем участникам процесса разработки и развертывания по-прежнему необходимо улучшать коммуникации и отношения между группами, — говорит Джонатан Хант, вице-президент по информационной безопасности и кибербезопасности в GitLab.

«Чтобы улучшить совместную работу разработчиков и специалистов по безопасности, требуется культурный подход к разработке программного обеспечения посредством создания культуры DevOps», — говорит Хант. «Платформа DevOps хорошо подходит для этого подхода, предоставляя организациям беспрепятственное сотрудничество между командами DevSecOps, совместное владение безопасностью и соответствием требованиям, а также стратегическое использование таких технологий, как автоматизация и AI/ML».

Смешивать и сочетать

Ассоциация опрос найден что не существует единого доминирующего подхода к разработке программного обеспечения, и большинство команд используют сочетание подходов. В то время как большинство команд разработчиков (47 %) использовали DevOps и DevSecOps, другие гибкие подходы также составляли значительную долю: 34 % команд использовали Scrum, 24 % — Kanban и 29 % — методологию Lean. Команды даже расширили использование разработки Waterfall: более четверти (26%) приняли этот подход.

«Команды DevOps не ограничивают себя каким-то одним способом работы, — говорит Хант. «Они гибкие и готовы корректировать свои подходы для удовлетворения различных потребностей бизнеса и проектов».

Увеличение числа гибких подходов к разработке и развертыванию программного обеспечения привело к более быстрому развертыванию программного обеспечения. Семь из десяти респондентов опроса заявили, что их команды проводят развертывание не реже одного раза в несколько дней или чаще. скачок на 11 пунктов с 2021 года. Интеграция автоматизированного тестирования, развертывания и элементов управления безопасностью в конвейер разработки является ключевым фактором ускорения развертывания приложений: почти половина (47%) команд утверждают, что их тестирование полностью автоматизировано сегодня, по сравнению с 25% в 2021 году.

Внедрение API с низким кодом и без кода для разработки также сделало команды более эффективными. Две трети (66%) участников опроса используют по крайней мере один инструмент с низким кодом или без кода в своей практике DevOps, что значительно больше, чем 25% опрошенных в 2021 году.

Тем не менее, как показало исследование GitLab, растущее количество вариантов разработки, развертывания и защиты программного обеспечения привело к еще большей путанице, что побудило команды DevOps упростить свои конвейеры и наборы инструментов. В то время как 44% команд DevOps используют от двух до пяти инструментов для управления процессом разработки программного обеспечения, 41% используют от шести до десяти инструментов.

«Это много инструментов, и 69% участников опроса сказали нам, что хотели бы консолидировать свои наборы инструментов», — говорится в отчете GitLab.

ИИ и машинное обучение «на подъеме»

Технологии искусственного интеллекта и машинного обучения получили неоднозначное признание среди разработчиков и специалистов по безопасности приложений. Хотя AI/ML находится в конце списка приоритетов будущей карьеры разработчиков, большинство специалистов по безопасности (54%) заявили, что AI/ML больше всего поможет им в будущей карьере. AI/ML особенно подходит для области безопасности. Например, системы AI/ML можно обучить обнаруживать угрозы и реагировать на них, генерировать оповещения и запускать наборы правил.

«Но AI/ML далеко не исчезают с радаров разработчиков. На самом деле его использование растет», — говорит Хант, добавляя: «Это особенно полезно, когда речь идет об обнаружении и защите от атак и злоумышленников, поскольку специалисты по безопасности не могут отслеживать каждый пакет и соединение, проходящее через сеть».

Безопасность по-прежнему играет все более важную роль в конвейере разработки программного обеспечения: 57% компаний перекладывают ответственность за безопасность «влево» и делают разработчиков более ответственными за уязвимости в их коде. Тем не менее, еще многое предстоит сделать, поскольку значительное количество разработчиков обвиняет безопасность в задержках, а разделение ответственности за безопасность программного обеспечения сильно меняется.

«В то время как разработчики и операторы берут на себя большую долю ответственности за безопасность, в команде безопасности все не так просто», — говорится в отчете GitLab. «В 2020 и 2021 годах процент профессионалов в области безопасности, которые заявили, что несут полную ответственность за безопасность, был примерно таким же, как и тех, кто сказал, что все несут ответственность».