Programadores falham e deixam aplicações em código aberto vulneráveis
Quase metade dos programadores (48%) não atualiza soluções de código aberto ou comerciais quando o mercado divulga uma vulnerabilidade de segurança. Este e outros dados destacam a falta de conscientização das organizações em segurança, colocando-as sob risco de violação, revela uma pesquisa realiada pela CA Veracode, empresa de segurança adquirida pela CA Technologies.
Novas técnicas para o desenvolvimento de software, como o DevSecOps, que trabalha com a segurança desde o início melhoram a qualidade dos códigos. Contudo, esta é uma metodologia que valoriza a velocidade e eficiência, para acompanhar as demandas do mercado, e faz com que os desenvolvedores busquem recursos e funcionalidades de projetos já existentes. Segundo a pesquisa, 83% dos entrevistados usam, em média, 73 componentes de terceiros durante o a produção de um software.
Embora os componentes aumentem a eficiência dos desenvolvedores e o seu uso seja recomendado, eles apresentam riscos de segurança. Apesar de 71% das companhias afirmarem que possuem um programa formal de segurança de aplicativos (AppSec), apenas 23% dos entrevistados testam as vulnerabilidades dos componentes em cada lançamento. São encontradas uma média de 71 vulnerabilidades, inseridas por códigos de terceiros, em cada aplicativo.
Além disso, apenas 53% das organizações mantêm um inventário de todos os componentes usados em seus aplicativos. De acordo com o The State of Software Security Report 2017, menos de 28% das empresas realizam análises regulares sobre a composição do seus softwares para entender quais componentes estão incorporados em seus aplicativos.
“Sabemos que os desenvolvedores se preocupam em criar um código excelente, e isso significa criar código seguro”, comenta Pete Chestna, diretor de engajamento de desenvolvedores da CA Veracode. “Para ter sucesso, os desenvolvedores precisam conhecer claramente a política de segurança e as ferramentas de medição. Quando a meta é clara e damos aos profissionais acesso a essas ferramentas, eles podem integrar os testes desde o início do desenvolvimento e tomar melhores decisões, que levem a segurança em consideração. Com isso, vemos uma melhora significativa na qualidade e nos resultados.”
O relatório mostra que as equipes de desenvolvimento (44%) ou segurança (31%) são os principais responsáveis pela manutenção de componentes de terceiros, o que aumenta a responsabilidade da equipe de desenvolvimento. Com a conscientização sobre o risco de código aberto cada vez maior, é importante fornecer soluções, treinamento e visibilidade aos desenvolvedores para mitigar riscos, como um elemento fundamental da abordagem de desenvolvimento da Moderna Fábrica de Software, que ajuda a desenvolver aplicativos melhores, mais seguros e com mais rapidez.
A CA Veracode contratou a Vanson Bourne para pesquisar 400 desenvolvedores de aplicativos dos Estados Unidos (200 entrevistados), do Reino Unido (100 entrevistados) e da Alemanha (100 entrevistados) para entender a maturidade da segurança dos componentes das organizações. A pesquisa foi realizada online em fevereiro de 2018.
