Salvatore Marcis, Technical Director Trend Micro Italia affronta il tema della security by design come approccio corretto di una strategia DevOps.
I DevOps stanno diventando sempre più importanti in azienda, coinvolgendo i processi di business e tutte le aree, dalle risorse umane al finance, passando per le vendite. Realizzare le applicazioni migliori, farlo con rapidità per accrescere il time to market è una prassi di successo per i DevOps, ma la cloud adoption, l’utilizzo di container applicativi, la CI/CD pipeline, necessitano controlli di sicurezza efficaci e affidabili, per difendere i processi anche dalle tecniche di attacco più sofisticate.
È quindi fondamentale avere la flessibilità per lavorare su ambienti ibridi e multicloud, per questo abbiamo creato Deep Security Smart Check, che rileva le criticità di sicurezza prima della messa in esercizio di una applicazione. Questa soluzione effettua una continua scansione dell’immagine del container, ovvero il software virtuale che contiene l’applicazione e, in genere, tutto quello che occorre per utilizzarla, dati compresi, migliorando così la protezione in runtime. Per riconoscere le vulnerabilità e i malware in maniera più efficace, la scansione viene realizzata prima della messa in produzione dell’applicazione. Così facendo, i problemi di sicurezza possono essere risolti più facilmente nel ciclo di sviluppo e non, come tipicamente accade, dopo aver rilasciato l’applicazione in produzione.
Smart Check può essere richiamato dai tool di orchestrazione, il che è molto utile per quelle aziende che hanno basato lo sviluppo applicativo su task automatizzati. In questo modo, infatti, è possibile richiamare la piattaforma per lanciare un’analisi del codice e identificare eventuali malware o vulnerabilità. Terminata l’analisi viene inviato un report all’orchestratore e il cliente può decidere se mandare l’applicativo in produzione o se rispedirlo agli sviluppatori con le indicazioni necessarie a ristabilire le vulnerabilità riscontrate in base al punteggio di rischio definito.
Il team degli sviluppatori e delle operation potranno avere visibilità immediata di quelle che possono essere piccole modifiche o aggiornamenti da fare al software e poter correggere problemi di malware con grande rapidità già nella fase di sviluppo. In questo contesto, gli strumenti di sicurezza tradizionali già in essere presso le aziende, potranno adottare politiche di sicurezza meno rigide e avere un peso minore sulle performance dei sistemi e degli applicativi stessi. Si calcola che il controllo preventivo delle applicazioni, prima del loro rilascio, permette di risparmiare fino all’80% dei costi di sistemazione eventuali in seguito al rilascio dell’app. Questo approccio porta al concetto di DevSecOps. In una logica di Security by Design, la security diventa parte del processo.
