Formazione scritta DevOps

Come garantire la sicurezza delle informazioni in DevOps?

Nella maggior parte delle organizzazioni, le preoccupazioni sulla sicurezza delle informazioni sono tra le obiezioni più frequenti all'adozione di DevOps. Eppure la metodologia DevOps è una delle tecniche migliori per realizzare sistemi tra i più sicuri al mondo.

In molte organizzazioni, forse anche nella tua, il rapporto tra specialisti di sicurezza delle informazioni e l'intero team di ingegneria del software è di 1 a 100. In altre parole, in un team di 100 persone di solito trovi un solo specialista. Ne conseguono tempi lunghi per risolvere i problemi di sicurezza del software, ritardi nei rilasci e, peggio ancora, un livello di sicurezza delle informazioni inadeguato per i clienti.

Se c'è una lezione da trarre dalla tua esperienza di rilascio software, è che i problemi bloccanti alla fine dei progetti sono gravi, e quelli di sicurezza lo sono ancora di più. Ogni membro del team DevOps dovrebbe quindi fare della sicurezza delle informazioni una parte del lavoro quotidiano di ingegneria, senza ridurla a una casella da spuntare o lasciare vuota alla fine del progetto.

Coinvolgi gli specialisti di sicurezza delle informazioni nelle prime fasi dell'ingegneria del software

Per evitare che un problema di sicurezza delle informazioni diventi bloccante e rallenti il progetto subito prima del deployment, coinvolgi gli specialisti fin dalle prime fasi del processo. Invitali alle dimostrazioni e alle prime sessioni di pianificazione e revisione, così che comprendano l'attività aziendale a cui serve il software. Potranno valutare meglio rischi e problemi potenziali e aiutare il team DevOps a definire gli obiettivi di sicurezza e conformità da gestire durante il processo di ingegneria del software.

La sicurezza delle informazioni fa parte del lavoro quotidiano

Tu e il team DevOps dovete tenere traccia delle funzionalità di sicurezza e degli incidenti con i consueti strumenti di pianificazione delle attività e gestione degli incidenti, senza relegarli a strumenti di conformità a cui il team presta poca attenzione. Quando emerge un problema di sicurezza nell'architettura, nella progettazione o nei sistemi in funzione, istruisci il team DevOps sul problema. Aiutalo a capirne le cause alla radice e a ragionare su come affrontare situazioni simili in futuro senza ricreare lo stesso problema.

Per la sicurezza delle informazioni, l'approccio tattico del team DevOps consiste nel:

• Evitare che gli errori di sicurezza si ripetano.
• Integrare gli obiettivi di sicurezza negli obiettivi del progetto e negli strumenti di pianificazione e monitoraggio.
• Includere i test di sicurezza tra i test automatizzati nella pipeline di deployment.
• Definire strumenti self-service e librerie software riutilizzabili che integrino le buone pratiche di sicurezza delle informazioni dell'organizzazione, dopo un'analisi completa di tutti gli aspetti della sicurezza di determinate funzionalità dei prodotti e servizi.
• Formare i DevOps Developer e i DevOps Operations Engineer e dare loro fiducia, anche se la sicurezza delle informazioni non è necessariamente la loro competenza principale.

Crea librerie, procedure, modelli, architetture e progetti sicuri per il software

Creando queste risorse riutilizzabili, il team DevOps dovrebbe standardizzare gli aspetti della sicurezza delle informazioni del software in aree critiche come:

• Comunicazione e trasferimento di dati tra i client e il software.
• Archiviazione dei dati.
• Ambienti sicuri.
• Sistemi operativi, database e configurazioni di strumenti di terze parti, componenti e altre interfacce, per evitare vulnerabilità.
• Archiviazione delle password.
• Gestione delle password dimenticate.
• Gestione della registrazione di informazioni sensibili sui clienti nei log.
• Prevenzione del cross-site scripting (XSS).
• Iniezioni SQL.
• Altre vulnerabilità di sicurezza delle informazioni specifiche dell'attività e del quadro normativo in cui opera.

Tecniche di sicurezza delle informazioni raccomandate nella metodologia DevOps

• Analisi statica: Analisi del codice per individuare backdoor e vulnerabilità di sicurezza.
• Analisi dinamica: Analisi di backdoor e vulnerabilità mentre il sistema è in funzione. Monitoraggio e analisi continui di CPU, RAM, operazioni di I/O di rete e su disco negli ambienti di produzione e non di produzione.
• Analisi delle dipendenze: Analisi statica e dinamica di strumenti e dipendenze esterni con codice sorgente su cui non hai controllo. Quando l'organizzazione usa strumenti, librerie o servizi di terzi, ne eredita anche i problemi di sicurezza delle informazioni. Esamina gli incidenti di sicurezza aperti dei componenti di terze parti e verifica quanto rapidamente il fornitore li abbia risolti in passato.
• Sicurezza dell'accesso al codice sorgente: Il team DevOps dovrebbe usare un'infrastruttura a chiave pubblica in cui tutti hanno una chiave pubblica e una privata. Tutte le operazioni di check-in, check-out e lettura del repository sono così autorizzate e monitorate e ogni modifica è firmata da chi la esegue.
• Integra il monitoraggio della sicurezza (telemetria) negli ambienti: Serve a esaminare l'utilizzo del sistema per individuare violazioni di sicurezza. Queste sono di solito segnalate da un numero eccessivo di eventi critici generati dagli utenti, come tentativi di accesso falliti, richieste di recupero password e acquisti dallo stesso utente con diverse carte di credito.

CONCLUSIONE

In questo capitolo hai trovato alcuni suggerimenti su come DevOps affronta la sicurezza delle informazioni. La sicurezza è un'arte e una scienza. L'obiettivo del capitolo è spiegarti come la metodologia DevOps per lo sviluppo e il rilascio del software la affronta, senza pretendere di formarti come specialista.

DevOps integra gli obiettivi di sicurezza delle informazioni e conformità dell'organizzazione nel lavoro quotidiano degli ingegneri DevOps, rendendo la sicurezza un compito di tutti. Le aziende più dinamiche al mondo hanno già dimostrato che è un modo sicuro di servire i clienti.