L'ingegneria della piattaforma rende DevOps e DevSecOps irrilevanti?

Da: Mark Troester il 31 agosto 2023

Per quelli di noi abbastanza grandi da ricordare, il movimento DevOps è entrato in scena intorno al 2007/2008. I suoi sostenitori si scagliavano contro il modello software tradizionale dell’epoca, che prevedeva che gli sviluppatori che scrivevano il codice fossero organizzati e funzionalmente separati da coloro che lo distribuivano e lo supportavano. Il ragionamento alla base del movimento è che questi team isolati, preoccupati solo dei propri obiettivi, hanno provocato rilasci pasticciati, ritardi significativi, scarsa comunicazione e, in definitiva, clienti insoddisfatti. Ci sono voluti alcuni anni per guadagnare terreno, ma quando Gartner ha accettato il concetto nel 2011, l'adozione è aumentata vertiginosamente e le pratiche di sviluppo Agile come la creazione e il test automatizzati e l'integrazione e la distribuzione continua sono diventate la nuova norma.

Agile, DevOps e la sua promessa di integrazione continua e distribuzione continua... beh, mantenuto. I team di sviluppo e operativi erano finalmente sulla stessa lunghezza d'onda, ciascuno in grado di vedere l'obiettivo finale della fase corrente, fornendo la flessibilità necessaria per apportare modifiche e miglioramenti lungo il percorso, accelerando la consegna di software di qualità. Sfortunatamente, in questi primi anni di successo di DevOps, la sicurezza e la conformità sono rimaste generalmente isolate. Questo silo ha fatto sì che la sicurezza diventasse un ripensamento, bloccata verso la fine del ciclo di vita dello sviluppo dell'applicazione. Di conseguenza, la sicurezza si è presa la colpa dei colli di bottiglia che ritardano il rilascio.

L’anno 2014 è stato caratterizzato da un aumento esponenziale delle violazioni della sicurezza rispetto all’anno precedente. Secondo un articolo di Security Week, il 2014 ha segnato l’anno in cui, per la prima volta, un miliardo di record sono stati compromessi in più di 1.500 violazioni di dati degne di nota, con un aumento dell’80% rispetto al 2013. Home Depot, JP Morgan Chase ed eBay sono stati tra questi. i molti esposti agli aggressori. Considerate queste e altre violazioni di alto profilo, era giunto il momento di rivalutare i processi di sviluppo e di dare un posto al tavolo della sicurezza e della conformità.

Poiché una ricerca condotta da Microsoft e altri mostra che l'80% delle violazioni della sicurezza era correlata a errori di configurazione, il concetto di DevSecOps, ponendo la sicurezza al centro del processo di sviluppo Agile, garantisce che le risorse siano configurate correttamente in primo luogo, garantendo una conformità continua attraverso eseguendo scansioni costanti per identificare la deviazione della configurazione.

Questo approccio può essere esteso oltre il data center a qualsiasi cloud fino a qualsiasi edge, dove anche le applicazioni possono essere gestite e verificate rispetto agli standard di conformità e sicurezza. Puoi persino estendere un singolo framework di conformità DevSecOps alle risorse native del cloud, tra cui Kubernetes e i servizi cloud pubblici.

Oggi si può affermare con certezza che il termine “DevOps” sta probabilmente perdendo la sua rilevanza, ma “DevSecOps” è vivo e vegeto, purché l’organizzazione accolga i cambiamenti culturali, delle persone e dei processi necessari per il successo. Gli strumenti e la tecnologia sono essenziali per DevSecOps, così come lo è l'adozione di una cultura secondo cui la sicurezza è responsabilità di tutti. Questa cultura richiede l’instaurazione di una mentalità che metta al primo posto la sicurezza tra i team, nonché l’implementazione di strumenti essenziali di test di sicurezza automatizzati.

L'ingegneria della piattaforma ha recentemente catturato l'interesse e ora sta suscitando notevole interesse grazie alla sua attenzione alla creazione e alla gestione di piattaforme di sviluppo interno (IDP) self-service per la distribuzione del software e la gestione del ciclo di vita. La piattaforma è supportata da servizi o strumenti a più livelli, creati e gestiti da un team di prodotto dedicato, progettati per supportare le esigenze degli sviluppatori di software essenzialmente unendo insieme componenti per creare un'esperienza di sviluppo senza attriti.

Come afferma Gartner, “l’ingegneria della piattaforma è un approccio tecnologico emergente che può accelerare la fornitura di applicazioni e il ritmo con cui producono valore aziendale”. Gartner prevede infatti che “entro il 2026, l’80% delle organizzazioni di ingegneria del software istituirà team di piattaforma come fornitori interni di servizi, componenti e strumenti riutilizzabili per la distribuzione delle applicazioni. L’ingegneria della piattaforma risolverà infine il problema centrale della cooperazione tra sviluppatori di software e operatori”.