DevSecOps: Automatización de seguridad
- Inicio
- Seguridad de Aplicaciones
- DevSecOps en Colombia
¿QUÉ ES DEVSECOPS?
Los modelos tradicionales de desarrollo de software evolucionaron a metodologías ágiles, este mismo principio aplica para la seguridad que se ha adaptado a escenarios donde la automatización es clave. En Colombia cada vez más empresas han implementado DevSecOps como parte de un proceso que reduce costos y elimina cuellos de botella en modelos ágiles y DevOps.
Es común pensar que DevSecOps es únicamente para DevOps, sin embargo, la realidad es que la automatización se puede aplicar de forma independiente a cualquier modelo que se utilice.
DevSecOps vs Secure SDLC
Es también común escuchar que el DevSecOps es la evolución y el reemplazo del Secure SDLC, aunque no es del todo cierto.
El Secure SDLC involucra mucho más que aquello que se puede automatizar, por ejemplo, las capacitaciones o entrenamientos, modelado de amenazas, revisiones de diseño o arquitectura de software. Por otro lado, para DevSecOps es casi indispensable que se trate de procesos que se pueden automatizar e incluir dentro de "tuberías de entrega" (Delivery pipeline) con soluciones de Integración y Entrega continuos (CI/CD).
Iniciar con DevSecOps
El proceso para incluir prácticas de seguridad de forma automatizada es más sencillo de lo que crees y en Colombia cada vez son más los equipos de desarrollo ágiles que buscan incluir la seguridad apoyada en automatización.
Algunos puntos clave para no fallar en el intento:
- Crear un plan a largo y corto plazo.
Estos procesos requieren de orden, hitos y objetivos que sean claros y realistas. - Realizar la implementación por etapas.
Para evitar que se convierta en una bola de nieve inmanejable. - Implementar en cada repositorio por separado.
Tecnologías o equipos de trabajo diferentes poseen velocidades diferentes. - Seleccionar las herramientas según el presupuesto.
Open Source, bajo costo, costo intermedio o líderes del mercado. - Herramientas según las tecnologías utilizadas.
SCA, SAST, DAST, Network scans, Contenedores, orquestación, etc. - Administración y orquestación centralizada.
Sin esto será un desorden de datos que nadie va a poder organizar ni resolver.
