Pelatihan Tertulis DevOps

Bagaimana Cara Memastikan Keamanan Informasi DevOps?

Di kebanyakan organisasi, kekhawatiran tentang keamanan informasi adalah salah satu keberatan yang paling sering diajukan terhadap adopsi DevOps. Namun, DevOps adalah salah satu teknik terbaik untuk menghasilkan sistem yang sangat aman.

Di banyak organisasi, mungkin termasuk organisasi Anda, perbandingan spesialis keamanan informasi terhadap seluruh tim rekayasa adalah 1/100. Dalam tim beranggotakan 100 orang biasanya hanya ada satu spesialis. Akibatnya, masalah keamanan perangkat lunak membutuhkan waktu lama untuk diselesaikan, pengiriman tertunda, dan keamanan bagi klien kurang optimal.

Satu pelajaran penting dari pengiriman perangkat lunak adalah bahwa hambatan besar pada akhir proyek sudah cukup buruk, dan hambatan yang berkaitan dengan keamanan jauh lebih buruk. Karena itu, semua anggota tim DevOps perlu menjadikan keamanan informasi bagian dari pekerjaan rekayasa sehari-hari, bukan sekadar kotak yang dicentang atau dibiarkan kosong di akhir proyek.

Libatkan Spesialis Keamanan Informasi sejak Tahap Awal Rekayasa Perangkat Lunak

Libatkan spesialis sejak awal agar masalah keamanan tidak menghalangi penerapan. Undang mereka ke demonstrasi, perencanaan awal, dan sesi tinjauan agar memahami bisnis yang didukung perangkat lunak. Dengan demikian, mereka lebih mampu menilai potensi risiko dan membantu tim menetapkan sasaran keamanan informasi dan kepatuhan yang harus ditangani sepanjang proses rekayasa.

Keamanan Informasi Merupakan Bagian dari Pekerjaan Sehari-hari

Lacak fitur dan insiden keamanan dengan alat perencanaan tugas dan manajemen insiden yang biasa digunakan. Jangan sekadar memindahkannya ke alat manajemen kepatuhan yang jarang diperhatikan tim. Ketika ada masalah keamanan pada arsitektur, desain, atau sistem yang berjalan, ajari tim tentang masalah itu. Bantu mereka memahami akar penyebab dan cara menilai serta menangani situasi serupa agar masalahnya tidak terulang.

Pendekatan taktis tim DevOps dalam keamanan informasi mencakup:

• Mencegah terulangnya kesalahan keamanan.
• Mengintegrasikan sasaran keamanan ke dalam tujuan proyek serta alat perencanaan dan pelacakan.
• Menjadikan uji keamanan bagian dari pengujian otomatis dalam pipeline penerapan.
• Menetapkan alat layanan mandiri dan pustaka perangkat lunak yang dapat digunakan kembali serta memadukan praktik terbaik keamanan informasi organisasi setelah menganalisis secara menyeluruh semua aspek keamanan fitur produk dan layanan tertentu.
• Melatih dan memercayai pengembang dan teknisi operasi DevOps yang keahlian utamanya belum tentu keamanan informasi.

Bangun Pustaka, Prosedur, Cetak Biru, Arsitektur, dan Desain yang Aman

Dengan membuat aset yang dapat digunakan kembali, tim DevOps sebaiknya menstandardisasi keamanan informasi perangkat lunak dalam beberapa aspek penting:

• Komunikasi dan transfer data antara klien dan perangkat lunak.
• Penyimpanan data.
• Lingkungan yang aman.
• Sistem operasi, basis data, dan konfigurasi alat pihak ketiga, komponen, serta antarmuka lain untuk menghindari kerentanan.
• Penyimpanan kata sandi.
• Penanganan kata sandi yang terlupa.
• Pengelolaan pencatatan informasi sensitif klien.
• Pencegahan cross-site scripting (XSS).
• Injeksi SQL.
• Kerentanan keamanan informasi lain yang khusus bagi bisnis dan peraturan yang berlaku.

Teknik Keamanan Informasi yang Disarankan dalam DevOps

• Analisis statis: Analisis kode untuk menemukan pintu belakang dan kerentanan keamanan.
• Analisis dinamis: Analisis pintu belakang dan kerentanan saat sistem berjalan. Pantau dan analisis terus-menerus operasi CPU, RAM, I/O jaringan, dan I/O disk di lingkungan produksi dan nonproduksi.
• Analisis dependensi: Analisis statis dan dinamis untuk alat dan dependensi eksternal yang kode sumbernya tidak dapat Anda kendalikan. Ketika organisasi menggunakan alat, pustaka, atau layanan pihak ketiga, masalah keamanan mereka ikut menjadi tanggung jawab Anda. Tinjau insiden keamanan komponen pihak ketiga yang masih terbuka dan rekam jejak kecepatan penyedia dalam memperbaikinya.
• Keamanan akses kode sumber: Tim DevOps sebaiknya menggunakan infrastruktur kunci publik. Setiap orang memiliki satu kunci publik dan satu kunci privat. Dengan begitu, semua check-in, check-out, dan pembacaan dari repositori diotorisasi dan dipantau, dan setiap perubahan ditandatangani oleh orang yang melakukannya.
• Integrasikan pemantauan keamanan (telemetri) ke dalam lingkungan Anda: Periksa rincian penggunaan sistem untuk mendeteksi pelanggaran keamanan. Pelanggaran sering ditandai banyaknya peristiwa penting yang dipicu pengguna, seperti kegagalan login, permintaan pemulihan kata sandi, dan pembelian oleh satu pengguna dengan berbagai kartu kredit.

KESIMPULAN

Bab ini memberikan sejumlah saran tentang pendekatan DevOps terhadap keamanan informasi. Keamanan informasi merupakan seni sekaligus ilmu. Tujuannya menjelaskan cara metodologi pengembangan dan pengiriman DevOps menangani keamanan, bukan menjadikan Anda pakar keamanan informasi.

DevOps mengintegrasikan sasaran keamanan informasi dan kepatuhan ke pekerjaan harian teknisi dengan menjadikan keamanan tanggung jawab semua orang. Perusahaan paling dinamis di dunia telah membuktikan bahwa cara ini aman untuk melayani klien.