O desenvolvimento de software seguro não é apenas uma...

Q3713055

Tecnologia da Informação Engenharia de Software

O desenvolvimento de software seguro não é apenas uma prática recomendada, mas uma responsabilidade. Cada linha de código escrita pode ser a diferença entre segurança e vulnerabilidade. A segurança deve estar presente desde o início do desenvolvimento e ser um processo contínuo, afinal ela é fundamental para a proteção de dados e usuários. É preciso investir tempo em práticas de codificação segura, testes rigorosos e atualizações regulares.

Internet: <blog.rarecrew.com> (com adaptações).

Considerando que o fragmento de texto acima tem caráter unicamente motivador, redija um texto dissertativo acerca da importância da cultura DevSecOps e do modelo OWASP SAMM para a segurança no desenvolvimento de software, abordando os seguintes aspectos:

1 dois pressupostos fundamentais do DevSecOps; [valor: 2,50 pontos]

2 dois objetivos do OWASP SAMM no contexto do DevSecOps; [valor: 10,00 pontos]

3 dois benefícios da integração contínua e da entrega contínua no DevSecOps; [valor: 10,00 pontos]

4 dois benefícios da colaboração entre diferentes equipes promovida pelo SAMM. [valor: 6,00 pontos]

Baixar arquivos

Padrão de resposta

No desenvolvimento de aplicações modernas, a estratégia DevSecOps permite: (i) integrar as práticas de segurança ao longo de todo ciclo de vida de desenvolvimento de um software; (ii) estabelecer uma cultura na qual a segurança seja responsabilidade de todos os envolvidos no projeto; (iii) garantir que as práticas de segurança sejam aplicadas em cada estágio do desenvolvimento; (iv) identificar e corrigir vulnerabilidades e problemas de segurança rapidamente; e (v) promover a colaboração entre equipes de desenvolvimento, operações e segurança. Com essa estratégia, a segurança não representa mero elemento adicional, mas é parte integrante desde o desenvolvimento até a entrega e manutenção do software.

No contexto do DevSecOps, o modelo OWASP SAMM (Software Assurance Maturity Model) permite que as instituições: (i) avaliem e melhorem, de forma contínua, suas práticas de segurança de software; (ii) obtenham uma visão clara do estado atual da segurança dentro da organização; (iii) analisem e mapeiem práticas existentes em segurança; (iv) realizem comparações com as melhores práticas do setor; e (v) introduzam melhorias de forma organizada, a fim de definir metas de segurança, medir o avanço ao longo do tempo e identificar áreas de melhoria, em perfeito alinhamento com os princípios de integração contínua e entrega contínua (CI/CD).

No DevSecOps, a integração e a entrega contínuas permitem: (i) melhoria na qualidade do software, ao se identificarem e corrigirem problemas de segurança e bugs de forma rápida e contínua; (ii) redução do tempo de lançamento desde a codificação inicial, passando por testes automatizados, deploys, até a implementação e o monitoramento em produção; (iii) otimização da produtividade do fluxo de trabalho, limitando-se a quantidade em andamento; (iv) comunicação constante e eficiente entre as equipes; e (v) redução de riscos de vulnerabilidades. Assim sendo, no âmbito da integração continuada, qualquer vulnerabilidade ou problema de segurança pode ser identificado e corrigido rapidamente.

Com uma atuação colaborativa, as equipes de desenvolvimento, operações e segurança podem garantir que as aplicações sejam mais bem desenvolvidas, o que gera benefícios, como: (i) redução dos riscos de vulnerabilidades; (ii) melhoria geral da eficiência do processo de desenvolvimento; (iii) comunicação e alinhamento em torno das metas de segurança; (iv) trabalho conjunto das equipes; e (v) garantia de desenvolvimento das aplicações com foco na segurança.