Treinamento escrito de DevOps

Como proteger seu pipeline de implantação DevOps?

Depois de criar um pipeline de implantação funcional para a entrega contínua da organização de TI, seguindo os princípios anteriores, você e a equipe DevOps poderão implantar em produção com baixo risco sem aprovações externas. A maioria das implantações passa a dispensar a aprovação de mudanças. Isso é possível porque a equipe se apoia em um bom processo de entrega de software, testes e monitoramento automatizados e alertas dos ambientes. Segurança e conformidade continuam sendo responsabilidades importantes da equipe DevOps, tanto para cumprir as exigências legais quanto para cuidar dos clientes. A equipe continuará a recorrer aos especialistas em segurança e conformidade da organização e a colaborar com eles. Projetar sistemas seguros e em conformidade com as leis que regem a organização, porém, passa a fazer parte do trabalho diário.

Tipos de mudança nos sistemas de produção

• Mudanças padrão São mudanças de baixo risco que dispensam aprovação. A implantação é rápida, pois é totalmente automatizada e registrada. Alguns exemplos são atualizações de tabelas de referência do banco de dados, atualizações de conteúdo, mudanças de estilo e correções padrão de sistemas operacionais, bancos de dados ou outros componentes externos.
• Mudanças normais São mudanças de alto risco que exigem aprovação do Comitê Consultivo de Mudanças (CAB). O comitê espera receber um formulário de solicitação de mudança (RFC) para avaliá-las. Os prazos são longos porque, na maioria das vezes, os integrantes do comitê não conhecem suficientemente o trabalho. As mudanças ficam aguardando uma decisão baseada, em última instância, na experiência, na intuição e em preferências ligadas a quem fez a solicitação.
• Mudanças urgentes São mudanças de alto risco que exigem aprovação da alta gerência. Alguns exemplos são erros críticos nos sistemas de produção que afetam clientes, correções de implantações problemáticas, correções de segurança e restauração de serviços.

Independentemente do tipo, documente todas as mudanças nos sistemas de gerenciamento de mudanças e planejamento de trabalho, como Remedy e Jira. Assim, o trabalho ficará visível dentro e fora da equipe DevOps.

Use o histórico de implantações automatizadas bem-sucedidas para converter mudanças normais em mudanças padrão

Aumentar a proporção de mudanças padrão em relação às normais permite dispensar aprovações do Comitê Consultivo de Mudanças (CAB), acelerar o fluxo e melhorar a qualidade do pipeline de implantação.

Use seu histórico de implantações automatizadas bem-sucedidas para converter o máximo possível de mudanças normais em mudanças padrão. Mostre ao CAB o histórico de implantações e a lista de incidentes de produção. Demonstre que as implantações automatizadas não causam incidentes ou que os incidentes são insignificantes.

Acelere a implantação de mudanças normais

Para mudanças que precisem continuar sendo normais, automatize a elaboração do formulário de solicitação de mudança (RFC). Vincule ao RFC os resultados de testes automatizados e manuais, incidentes resolvidos e em aberto, registros de monitoramento e logs de ambientes de não produção. Facilite o trabalho do CAB fornecendo, já na primeira versão do RFC, todas as informações solicitadas para acelerar as aprovações.

Após a aprovação, permita implantar as mudanças normais com um clique. Revise regularmente os tipos de mudanças normais com o CAB e defina os critérios que convenceriam o comitê a convertê-las em mudanças padrão. Assim, você poderá automatizar a implantação da maioria das mudanças na organização DevOps.

Reduza a burocracia e a dependência de outras equipes na organização DevOps

Quanto maior a organização, mais espaço a burocracia encontra para crescer. Ela tem a capacidade invisível de crescer exponencialmente e durar para sempre. Ao depender de uma autoridade ou de controles hierárquicos para aprovar seu próprio trabalho, você perde a autonomia e o senso de responsabilidade pelos resultados. Isso leva a autoridade acima de você a falhar com frequência.

Por fim, essa autoridade também passa a depender de outra e a precisar de auditoria. A espiral de deterioração se prolonga até a próxima reorganização da empresa. Depois dela, a chance de uma nova espiral, com uma forma um pouco diferente, substituir a anterior é de quase 100%.

A empresa precisa lembrar que a segregação de funções e os controles e dependências fora da equipe reduzem a velocidade e a qualidade da entrega de software e deixam a organização menos segura. Uma grande instituição financeira dos EUA foi vítima de fraude em caixas eletrônicos por causa de um backdoor inserido no software por um desenvolvedor. Auditores, especialistas em segurança, responsáveis por conformidade e autoridades do CAB, todos externos à equipe, não conseguiram identificar o código fraudulento implantado em produção. A fraude só poderia ter sido identificada na própria equipe que desenvolveu o código, com técnicas básicas de DevOps, como inspeção dos envios e revisão de código.

Para entregar com rapidez e segurança, reduza a dependência de outras pessoas e a segregação de funções, pois elas dificultam que a equipe DevOps assuma a responsabilidade. Adote na equipe outros controles, como inspeção dos envios de código, programação em pares, revisão por pares, testes automatizados e monitoramento. Se a segregação de funções for exigida por lei, os controles integrados à equipe ainda permitirão que auditores e responsáveis por conformidade tomem decisões mais rápidas e bem informadas.

CONCLUSÃO

O DevOps muda a forma de lidar com conformidade e segurança da informação. Quando a infraestrutura é definida em código, os sistemas são criados e removidos pelo código e as implantações são automáticas, é difícil para os auditores entenderem o que está acontecendo. Isso cria um desafio e uma oportunidade de tornar os mecanismos e o trabalho das equipes de auditoria e conformidade mais simples e eficazes.

Na sua equipe DevOps, segurança da informação, conformidade e agilidade do pipeline são responsabilidades de todos. Um objetivo importante é dar à equipe de conformidade acesso por autosserviço a informações, logs, relatórios e métricas que demonstrem a qualidade das entregas. Isso simplifica os processos burocráticos de aprovação e pode até eliminá-los por completo.