Formación escrita en DevOps

¿Cómo proteger su canalización de despliegue con DevOps?

Una vez que su equipo de DevOps y usted crean una canalización que permite la entrega continua en la organización de TI, aplicando los principios que ya aprendieron, pueden realizar despliegues de bajo riesgo en producción sin aprobaciones externas. La mayoría de los despliegues ya no requiere un proceso de aprobación de cambios. Esto se debe a que confían en un buen diseño de la metodología de entrega, las pruebas y la monitorización automatizadas y las alertas inteligentes de los entornos, en vez de depender solo de responsables externos. Recuerde que la seguridad y el cumplimiento normativo siguen siendo una responsabilidad importante del equipo de DevOps. Esto sirve tanto para cumplir los requisitos legales como para cuidar a los clientes. Su equipo seguirá colaborando con especialistas de seguridad y cumplimiento de la organización. Diseñar sistemas seguros y conformes con la legislación aplicable debe ser parte del trabajo y de los hábitos diarios.

Tipos de cambios en los sistemas de producción

• Cambios estándar: Son de bajo riesgo, no requieren aprobación y se despliegan rápidamente porque se automatizan y registran por completo. Algunos ejemplos son las actualizaciones de tablas de consulta de la base de datos y de contenido, los cambios de estilo y los parches estándar de sistemas operativos, bases de datos u otros componentes externos.
• Cambios normales: Son de alto riesgo y requieren la aprobación del Comité Asesor de Cambios (CAB). El CAB exige un formulario de solicitud de cambio (RFC) para evaluarlos. Suelen tardar mucho porque, en muchos casos, los miembros del comité no tienen conocimientos suficientes para evaluarlos. Retienen los cambios y terminan decidiendo según su experiencia, su intuición y los sesgos respecto de quien los solicita.
• Cambios urgentes: Son de alto riesgo y requieren la aprobación de la alta dirección. Algunos ejemplos son errores críticos en producción que afectan a los clientes, correcciones de despliegues problemáticos, parches de seguridad y restauraciones de servicios.

Sea cual sea el tipo de cambio, usted y su equipo de DevOps deben documentarlo en los sistemas de gestión de cambios y planificación del trabajo, como Remedy y Jira. Así el trabajo queda visible para todos, dentro y fuera del equipo.

Aproveche el historial de despliegues automatizados exitosos para convertir cambios normales en estándar

Aumentar la proporción de cambios estándar frente a los normales permite evitar las aprobaciones del Comité Asesor de Cambios (CAB) y conseguir un flujo más rápido y una canalización de mayor calidad.

Su equipo de DevOps y usted pueden aprovechar el historial de despliegues automatizados exitosos para convertir tantos cambios normales en estándar como sea posible. Muestre al CAB el historial y la lista de incidentes en producción para demostrar que los despliegues automatizados no provocan incidentes o solo provocan incidentes insignificantes.

Acelere el despliegue de cambios normales

En los cambios que deban seguir siendo normales, automatice la elaboración del formulario de solicitud de cambio (RFC). Enlace todos los resultados de las pruebas automatizadas y manuales, los incidentes resueltos y pendientes, y los registros de monitorización y de actividad de entornos ajenos a producción. Facilite el trabajo del CAB incluyendo toda la información que necesita en la primera versión del formulario para agilizar al máximo su aprobación.

Una vez aprobado el cambio, habilite el despliegue en un clic. Revise periódicamente con el CAB los tipos de cambios normales e identifique y defina las condiciones que lo convencerían de convertirlos en estándar. Así podrá desplegar automáticamente la mayoría de los cambios en su organización DevOps.

Reduzca la burocracia y la dependencia de otras personas en su organización DevOps

Cuanto más crece una organización, más oportunidades encuentra la burocracia para crecer. Tiene la capacidad invisible de crecer exponencialmente y durar para siempre. Si depende de la autoridad y los controles de un nivel superior para aprobar su propio trabajo, dejará de sentirse facultado y responsable de sus resultados. Esto hará que el nivel superior falle habitualmente.

Al final, esa autoridad necesitará otra de la que depender y que la audite. La espiral descendente continúa hasta la próxima reorganización. Después, hay casi un 100 % de probabilidad de que otra espiral ligeramente distinta sustituya a la actual.

Su empresa debe recordar que la separación de funciones y los mecanismos externos de supervisión y control ralentizan la entrega de software, reducen su calidad y hacen que la organización sea menos segura. Una gran institución financiera de Estados Unidos sufrió un fraude en cajeros automáticos por una puerta trasera que un desarrollador había introducido en el software. Ni los auditores externos, ni los especialistas en seguridad, ni los responsables de cumplimiento, ni los miembros externos del CAB detectaron el código fraudulento que se había desplegado en producción. Solo se habría podido detectar dentro del equipo que lo desarrolló, mediante técnicas básicas de DevOps como la inspección de cambios registrados y las revisiones de código.

Para entregar con rapidez y seguridad, reduzca la dependencia de terceros y la separación de funciones, ya que impiden que el equipo de DevOps asuma la responsabilidad. Aplique otros mecanismos de control dentro del equipo, como la inspección de cambios registrados, la programación en pareja, las revisiones entre pares, las pruebas automatizadas y la monitorización. Si la separación de funciones es obligatoria por ley, los controles integrados seguirán ayudando a los auditores y responsables de cumplimiento a tomar decisiones más rápidas e informadas.

CONCLUSIÓN

DevOps añade una dimensión dinámica al cumplimiento y la seguridad de la información. Cuando la infraestructura es código, el código hace aparecer y desaparecer sistemas y se despliega de forma automática, a los auditores les cuesta comprender lo que ocurre. Es un nuevo reto, pero también una oportunidad para contar con mecanismos y responsables de auditoría y cumplimiento más ágiles y eficaces.

En el equipo de DevOps, la seguridad de la información, el cumplimiento y la agilidad de la canalización son responsabilidad de todos. Un objetivo importante es que los responsables de cumplimiento puedan consultar por su cuenta la información, los registros, los informes y las métricas que demuestran la calidad de las entregas. Esto simplifica los procesos de aprobación burocráticos o, mejor aún, permite eliminarlos por completo.