La metodologia DevSecOps (ovvero, Development, Security e Operations) garantisce uno sviluppo agile degli applicativi e degli aggiornamenti e riduce i rischi che l’azienda possa essere esposta ad attacchi informatici. Applicare i dettami del DevSecOps significa realizzare la visione di uno sviluppo che coinvolga gli aspetti legati alla sicurezza fin dal principio e, successivamente, in tutte le successive fasi che portano al deployment.
Implementare nuovi livelli di sicurezza o verificare la presenza di vulnerabilità solo alla fine del ciclo di sviluppo del software significa trovarsi in una condizione in cui lo sviluppo viene rallentato. Le organizzazioni ormai applicano frequentemente lo sviluppo agile per ridurre il time-to-market degli applicativi e per assicurarsi che siano aggiunte nuove funzionalità rapidamente.
Se sviluppo e sicurezza non vanno di pari passo – ovvero, se non sono integrati e parlano due lingue diverse – l’organizzazione ne esce indebolita.
Non bisogna pensare al DevSecOps come a un prodotto o a un risultato: deve essere un processo metabolizzato dall’azienda a vari livelli per ottimizzare l’integrazione fra i reparti e migliorare la qualità del proprio software.
Perché si parla di DevSecOps
Le DevSecOps sono un’evoluzione della metodologia DevOps, figlia del cloud e dello sviluppo agile. Nel momento in cui le imprese hanno realizzato che il ciclo di sviluppo del software poteva – e doveva – essere accelerato, hanno riorganizzato le proprie strategie per sfruttare le DevOps come leva per ottimizzare il software e realizzare aggiornamenti più velocemente; anzi, è diventata una precisa aspettativa del mercato. Chi non lo fa resta indietro.
Allo stesso tempo, se alle DevOps non viene affiancato un ripensamento del ruolo della sicurezza, si rischia di creare un collo di bottiglia: lo sviluppo del software è più veloce, ma prima di essere implementato e distribuito un altro team deve occuparsi di verificare che non siano vulnerabilità facili da sfruttare o che il software non sia facilmente attaccabile dall’esterno, magari dopo operazioni di social engineering (cioè traendo in inganno i dipendenti, per esempio).
Le DevSecOps sono quindi la naturale evoluzione di un percorso di ottimizzazione volto a trasformare lo sviluppo del software in un processo multi-dipartimentale che integri le competenze dei vari reparti affinché il processo di sviluppo comprenda la sicurezza dal primo momento. È per questo che si parla di “shift left”, vale a dire di un approccio per cui la valutazione e il testing della sicurezza di un software vengono spostati verso sinistra, ossia all’inizio del ciclo di sviluppo.
Interpretare le DevSecOps come un processo
Integrare un approccio DevSecOps significa, quindi, innestare dinamiche operative che prendano in considerazione la sicurezza e ne valutino l’aderenza alle policy aziendali in ogni fase del ciclo di sviluppo. Ciò concretizza la visione di un software affidabile, performante e sicuro, ma innesta anche una responsabilità condivisa fra tutti i team coinvolti. anziché delegare la componente di sicurezza a un team singolo che potrebbe non avere visibilità sul processo di ideazione e sviluppo del software.
In altre parole, le DevSecOps sono un processo, non un prodotto.
La sicurezza non può più essere interpretata come un semplice valore aggiunto facoltativo di un applicativo: è l’essenza stessa di qualsiasi offerta software che possa definirsi al passo degli standard moderni di sviluppo. Fra le diverse implicazioni del metodo DevSecOps, le aziende devono provvedere a integrare processi finalizzati al miglioramento della tracciabilità delle operazioni e alla visibilità delle varie fasi di processo. In tal modo, le organizzazioni possono più facilmente identificare le cause sottostanti un bug o un problema di sicurezza.
I benefici del DevSecOps
I vantaggi di applicare la metodologia DevSecOps sono molteplici:
- Anticipando alle prime fasi dello sviluppo l’identificazione delle vulnerabilità, le aziende impiegano meno tempo e meno costi per correggerle;
- Ottimizzando il processo di verifica della sicurezza, le organizzazioni possono accelerare il time-to-market, alimentando dinamiche virtuose che migliorano la qualità percepita dell’applicativo
- La sicurezza diventa conoscenza (e responsabilità) condivisa fra vari reparti, creando un ambiente di sviluppo più coerente e produttivo dove tutti gli attori coinvolti seguono gli standard aziendali
- L’approccio “shift left” riduce i problemi di sicurezza
Ormai la metodologia DevSecOps è inevitabile. Le aziende hanno compreso che la minaccia informatica non può più essere sottovalutata: applicare un approccio più agile, più intelligente e più integrato allo sviluppo del software è il modo migliore per prevenire anziché curare.