Cómo convertirse en un ingeniero DevSecOps de primera

Al igual que la tecnología misma, las herramientas, técnicas y procesos óptimos para desarrollar código evolucionan rápidamente. Los humanos tenemos una necesidad insaciable de más software, más funciones, más funcionalidad... y lo queremos más rápido que nunca, con mayor calidad y, además, seguro. Hace solo unos años, el desarrollo Agile era la gran novedad utilizada para dividir grandes volúmenes de trabajo en partes más pequeñas y ser capaces de adaptarse rápidamente a los ciclos de retroalimentación del cliente. Antes de eso, el método Waterfall era el rey.

Aunque muchas personas y organizaciones están pasando de Waterfall a Agile —y seamos realistas, no todos han llegado aún—, ya se están encontrando con un nuevo problema: los equipos de desarrollo y sus contrapartes de operaciones siguen trabajando en silos. En este entorno, ¿cómo pueden los equipos pequeños que trabajan de forma Agile cumplir esa promesa de un despliegue y una entrega más rápidos?

DevOps, un término que combina desarrollo y operaciones, se creó para fusionar las funciones tanto de los desarrolladores como de los equipos operativos al crear nuevo software. Esencialmente, esto ayudaba a los desarrolladores a asumir la responsabilidad de poner las cosas en producción, en lugar de lanzarlas por encima de la valla al equipo de operaciones y dejar que ellos se encargaran.

Ciertamente pueden realizar entregas más rápidas —incluso un par de veces al día—, lo cual parece encajar con la filosofía Agile. Sin embargo, DevOps sigue creando un gran equipo mixto de ingenieros y personal de operaciones, que en realidad puede no estar tan alineado con Agile. En última instancia, es mejor pensar en DevOps como una evolución de Agile, ya que las metodologías son similares en muchos aspectos y complementarias en sus diferencias. DevOps promueve un proceso automatizado de integración y despliegue continuos, lo cual es esencial para permitir lanzamientos frecuentes, pero no es suficiente a nivel de equipo; y aquí es donde entra Agile. Agile permite a los equipos, especialmente a los pequeños, seguir el ritmo de estos lanzamientos rápidos y requisitos cambiantes, mientras se mantienen enfocados y colaborativos. Parece ideal —y el proceso puede mantener a los equipos encaminados hacia el objetivo final—, pero no está exento de sus propios problemas.

El software creado utilizando las mejores prácticas de DevOps aún tiene el potencial de tropezar con el primer jefe final: el equipo de seguridad. Cuando el código es examinado por especialistas tradicionales en seguridad de aplicaciones (AppSec) o mediante el método Waterfall, ya sea con herramientas o revisiones manuales complejas, a menudo encuentran riesgos y vulnerabilidades inaceptables que deben corregirse a posteriori. El proceso de adaptar correcciones de seguridad en aplicaciones ya terminadas no es ni rápido ni fácil... y es mucho más costoso para la organización.

Entonces, si el mundo está dejando atrás Waterfall, Agile y ahora DevOps, ¿cuál es la solución? Y como desarrollador, ¿cuál es tu papel para seguir el ritmo de estos cambios de enfoque?

Las técnicas de desarrollo están en constante evolución, pero afortunadamente, este cambio no es tan drástico. Las organizaciones solo necesitan añadir la "Sec" a "DevOps"... y así nació DevSecOps. Un objetivo principal de DevSecOps es derribar barreras y abrir la colaboración entre los equipos de desarrollo, operaciones y, por último, pero no menos importante, seguridad. DevSecOps se ha convertido tanto en una táctica de ingeniería de software como en una cultura que aboga por la automatización y el monitoreo de la seguridad a lo largo de todo el ciclo de vida del desarrollo de software.

Esto podría parecer otro proceso a nivel organizacional, quizás uno con "demasiados cocineros" para un desarrollador que tiene una larga lista de funciones por construir. Sin embargo, la metodología DevSecOps abre una oportunidad para que los desarrolladores conscientes de la seguridad realmente brillen.

El brillante futuro de DevSecOps

Entonces, ¿por qué un programador querría convertirse en ingeniero de DevSecOps? Quizás ya tengas algo de experiencia con DevOps (o incluso Agile) pero quieras dar el siguiente paso para volverte competente en DevSecOps. Primero, es bueno saber que es una decisión muy inteligente, y no solo en la búsqueda de hacer que el mundo sea seguro frente a costosos ciberataques. Los expertos dicen que la demanda de personal talentoso en ciberseguridad se está disparando sin un final a la vista. Aquellos que dominen DevSecOps pueden esperar una carrera larga y rentable.

La seguridad laboral para los ingenieros de DevSecOps está aún más garantizada, porque a diferencia de las tácticas tradicionales de ciberseguridad, como el escaneo de vulnerabilidades con una variedad de herramientas basadas en software, DevSecOps requiere personas que sepan cómo implementar la seguridad mientras programan. Como señalaron los analistas de Booz, Allen and Hamilton en su blog titulado 5 mitos sobre la adopción de DevSecOps, las organizaciones quieren e incluso necesitan DevSecOps, pero simplemente no pueden comprarlo. DevSecOps es una metodología que permite a los equipos multifuncionales integrar tecnologías y colaborar durante todo el ciclo de vida del desarrollo de software, y eso requiere personas capacitadas, gestión del cambio y un compromiso continuo de múltiples partes interesadas.

Según Booz, Allen and Hamilton, las empresas pueden comprar aplicaciones y herramientas para ayudar con ciertos aspectos de DevSecOps, como el software de gestión de lanzamientos, "pero son realmente tus equipos de entrega los que hacen que suceda". Ellos son quienes impulsan la mejora continua que ofrece DevSecOps y su cambio cultural y de paradigma.

Las organizaciones no pueden "comprar" un programa de DevSecOps viable; debe construirse y mantenerse utilizando una variedad de herramientas, conocimiento interno y orientación que eleve la cultura de seguridad, al tiempo que tenga sentido comercial. No es fácil, pero está lejos de ser imposible.

Cómo puedes destacar en el movimiento DevSecOps

Uno de los primeros pasos en el camino para convertirse en ingeniero de DevSecOps es darse cuenta de que es tanto una cultura como un conjunto de técnicas. Requiere la voluntad de implementar la seguridad como parte de cada fragmento de código que creas, y el deseo de proteger proactivamente a tu organización buscando activamente fallas y vulnerabilidades de seguridad mientras programas, corrigiéndolas mucho antes de que lleguen a producción. La mayoría de los ingenieros de DevSecOps se toman su profesión y sus habilidades muy en serio. La organización profesional de DevSecOps incluso tiene un manifiesto que establece sus creencias.

El manifiesto es un poco denso, ya que los manifiestos rara vez son una lectura ligera. Pero en su núcleo hay algunas verdades que todos los grandes ingenieros de DevSecOps deberían aprender a adoptar, como:

• Date cuenta de que el equipo de seguridad de aplicaciones es tu aliado. En la mayoría de las organizaciones, los especialistas en AppSec están en desacuerdo con los desarrolladores, ya que siempre devuelven el código terminado para que se realicen más cambios. Los equipos de AppSec tampoco suelen tener mucho aprecio por los desarrolladores, ya que pueden retrasar la puesta en producción del código terminado al introducir errores de seguridad comunes. Sin embargo, un ingeniero de DevSecOps inteligente se dará cuenta de que los objetivos de los equipos de seguridad son, en última instancia, los mismos que los de los desarrolladores y programadores. No tienen que ser mejores amigos, pero formar una relación de trabajo tranquila y colaborativa es vital para el éxito.
• Practica y perfecciona tus técnicas de codificación segura. Si puedes encontrar formas en las que las aplicaciones son vulnerables mientras aún se están construyendo, cerrar esas brechas puede detener a los futuros hackers en seco. Por supuesto, esto requiere tanto una comprensión de las vulnerabilidades como las herramientas para ayudar a corregirlas. Las páginas del blog de Secure Code Warrior pueden darte una idea de las vulnerabilidades más comunes y peligrosas que encontrarás, así como consejos prácticos y desafíos para poner a prueba tus conocimientos. El aspecto más importante es mantener la seguridad como prioridad y dedicar tiempo a una formación breve que te ayude a aprovechar los conocimientos existentes. Es común que las interacciones de un desarrollador con la seguridad sean bastante mediocres —incluso negativas—, pero mejorar tus habilidades en seguridad es un gran paso profesional y no tiene por qué ser una tarea tediosa.
• Recuerda: los superestrellas de DevSecOps contribuyen a una cultura de seguridad positiva en su organización. En lugar de centrarse en los objetivos del pasado, como entregar aplicaciones rápidamente sin importar sus problemas inherentes, es importante hacer que encontrar y corregir vulnerabilidades en el código en desarrollo sea una prioridad máxima. La seguridad debe verse como el trabajo de todos, y todos deberían compartir los elogios y las recompensas que provienen de desplegar aplicaciones efectivas y altamente seguras una y otra vez.

Puedes ayudar a cultivar una cultura de seguridad increíble en tu organización promoviendo la programación segura y las mejores prácticas desde la base, recomendando soluciones de formación y asegurándote de que ningún programador se quede atrás en el vertiginoso mundo de DevSecOps. El único código bueno es el código seguro, y los desarrolladores cualificados y conscientes de la seguridad son piezas vitales del rompecabezas. Las recompensas personales y profesionales merecen la pena y, con miles de millones de registros de datos personales comprometidos cada año (y aumentando), te necesitamos. Ocupa tu lugar en primera línea y ayuda a defender nuestro mundo digital de los malos.

Matias Madou, Ph.D. es el CTO y cofundador de Secure Code Warrior. Es un experto en seguridad, desarrollador desde hace mucho tiempo y adicto al Fortnite.