La situazione classica nelle aziende in cui non è implementata la metodologia DevSecOps prevede che gli sviluppatori creino le applicazioni rapidamente senza preoccuparsi troppo dei requisiti infrastrutturali e di sicurezza; i responsabili delle operation cerchino di contenere l’esosità degli sviluppatori quanto a richieste di risorse infrastrutturali e velocità di provisioning; gli esperti di risk e security impongano prudenza agli sviluppatori e agli amministratori dei sistemi e delle reti, adottano soluzioni di sicurezza, e corrono ai ripari allorquando insorgano degli incidenti.
Il viaggio verso applicazioni di valore e sicure per il business
DevSecOps significa che tutte queste problematiche sono affrontate contestualmente attraverso una comunicazione e una collaborazione continua fra le risorse di questi tre team. E qui siamo al primo dei quattro step necessari in un processo di adozione della metodologia che è, secondo DXC, un vero e proprio viaggio.
Si tratta di un cambiamento culturale che ha due facce: una top-down e una bottom-up.
La prima è lo sponsorship da parte del top management nei confronti del DevSecOps, che non può che nascere dal riconoscimento del ruolo abilitatore di questa metodologia ai fini dello sviluppo veloce di applicazioni sicure e di valore; la seconda è rappresentata dalla fiducia, da parte di tutte e tre le figure professionali coinvolte nel DevSecOps, che i loro colleghi stanno impegnandosi a svolgere la loro parte nell’adozione di questo nuovo approccio. Per aiutare le aziende e i team a compiere questo cambiamento culturale, DXC ha messo a punto dei programmi interattivi di awareness e training che prevedono anche workshop pratici.
Il secondo step è costituito dall’integrazione vera e propria dei processi di sviluppo, release management e messa in sicurezza verso l’obiettivo della messa a punto di un processo singolo, integrato ed end-to-end che aiuta i team a lavorare insieme e ad identificare le aree in cui si possono automatizzare delle attività per rendere più agile e veloce il lavoro.
L’adozione di tool di automazione rappresenta il terzo step. È una fase importante perché gli strumenti disponibili sono molti, in parte sovrapponibili e cambiano nel tempo. DXC consiglia di scegliere tool che utilizzino API (application programming interface) ben definite per una semplice e flessibile integrazione, nonché per il riuso laddove possibile: un esempio è il servizio di application security testing DXC Application Security on Demand, basato su cloud di DXC.
L’ultimo, ma non meno importante step, è l’innalzamento continuo della visibilità delle informazioni che scaturiscono nei cicli di DevSecOps, identificate, analizzate e condivise dalle diverse competenze dei team congiunti. Informazioni che consentono di misurare i livelli di eccellenza raggiunti sotto i diversi profili delle applicazioni e di aumentare il valore di queste per il business.
*Fonte dell’articolo è il blog di DXC.
