Vijf concrete tips voor DevOps en security

Onderzoeksrapport CISO View:

Vijf concrete tips voor DevOps en security

Voor de derde keer is CISO View verschenen, een jaarlijks onderzoeksrapport waarvoor 1.000 CISO’s (Chief Information Security Officer) wereldwijd worden gevraagd naar hun praktijkervaringen met security-strategieën en best practices. Het onderzoek is een initiatief van CyberArk en wordt uitgevoerd door onderzoeksbureau Robinsons Insight. In deze editie is met name gekeken naar de beveiliging van DevOps-processen.

Security-strategieën moeten gericht zijn op privileged access, ofwel controle op het gebruik van gebruikersaccounts met extra rechten, en het afschermen van deze accounts, secrets en andere gevoelige informatie. Daarbij is het van belang dat de strategie wel aansluiting vindt bij de DevOpscultuur en bijbehorende methodes om te voorkomen dat ze de snelheid en wendbaarheid van productontwikkeling in de weg staat. Dat dit nog in de kinderschoenen staat, blijkt uit ander onderzoek van CyberArk, het Threat Landscape Report 2018. Dit wijst uit dat zo’n 73 procent van de organisaties nog geen strategie heeft ontwikkeld om accounts met extra toegangsrechten tot DevOps te beschermen.

Vijf aanbevelingen

Het rapport wordt samengevat in vijf aanbevelingen, gebaseerd op de praktijkervaringen van de deelnemende CISO’s. 1 Maak het security-team een DevOps-partner - Zorg ervoor dat security-specialisten en ontwikkelaars over de juiste kennis en kunde beschikken. Hierdoor is het voor ontwikkelaars makkelijker om rekening te houden met beveiligingsprincipes, wordt samenwerking gestimuleerd en kunnen agile DevOps-methodes ook binnen security worden toegepast.

2Focus op het beveiligen van DevOps tools en infrastructuur - Stel beleidsregels op (en zorg dat ze nageleefd worden) ten aanzien van de te gebruiken tools en hun configuratie, voer toegangscontrole bij DevOps tools in, gebruik het ‘least privilege’ principe en bescherm en monitor de infrastructuur. 3 Stel bedrijfsbreed eisen op voor de bescherming van login-gegevens en secrets - Maak het centraal beheer van secrets verplicht, breidt de auditing en monitoring mogelijkheden uit, verwijder credentials in tools en applicaties en ontwikkel herbruikbare code-modules.

4Verander processen om applicaties te testen - Het automatische testen van code moet geïntegreerd worden, ontwikkelaars moeten via een ‘break the build’ methode verplicht worden security-issues te repareren, en overweeg een bug bounty programma, waarin ontdekkers van kwetsbaarheden worden beloond.

5Evalueer de resultaten van DevOps security - Test de invoer van tools voor secrets management, meet resultaten, stimuleer verbeteringen en train auditors.

“Het CISO View-rapport geeft concrete ervaringen weer van directeuren en topmanagers die DevOps omarmen, zonder security uit het oog te verliezen”, aldus Renske Galema, regional director van CyberArk. “Voor organisaties die midden in digitale verandertrajecten zitten, is het van belang security en risico’s altijd langs nieuwe tools en technologie te leggen. Door de organisatie- en operationele uitdagingen te begrijpen, kunnen security-teams effectiever meepraten op het niveau van zowel topmanagement, security als ontwikkelaars.”

VAN DE REDACTIE