Onderzoeksrapport CISO View levert vijf concrete tips voor DevOps en security
Voor de derde keer is het CISO View verschenen, een jaarlijks onderzoeksrapport waarvoor 1.000 CISO’s (Chief Information Security Officer) wereldwijd worden gevraagd naar hun praktijkervaringen met security-strategieën en best practices. Het onderzoek is een initiatief van CyberArk en wordt uitgevoerd door onderzoeksbureau Robinsons Insight. In deze editie is met name gekeken naar de beveiliging van DevOps-processen.
Security-strategieën moeten gericht zijn op privileged access, ofwel controle op het gebruik van gebruikersaccounts met extra rechten, en het afschermen van deze accounts, secrets en andere gevoelige informatie. Daarbij is het van belang dat de strategie wel aansluiting vindt bij de DevOps-cultuur en bijbehorende methodes om te voorkomen dat ze de snelheid en wendbaarheid van productontwikkeling in de weg staat. Dat dit nog in de kinderschoenen staat, blijkt uit ander onderzoek van CyberArk, het Threat Landscape Report 2018. Dit wijst uit dat zo’n 73 procent van de organisaties nog geen strategie heeft ontwikkeld om accounts met extra toegangsrechten tot DevOps te beschermen.
Het rapport wordt samengevat in vijf aanbevelingen, gebaseerd op de praktijkervaringen van de deelnemende CISO’s.
- Maak het security-team een DevOps-partner
Zorg ervoor dat security-specialisten en ontwikkelaars over de juiste kennis en kunde beschikken. Hierdoor is het voor ontwikkelaars makkelijker om rekening te houden met beveiligingsprincipes, wordt samenwerking gestimuleerd en kunnen agile DevOps-methodes ook binnen security worden toegepast.
- Focus op het beveiligen van DevOps tools en infrastructuur
Stel beleidsregels op (en zorg dat ze nageleefd worden) ten aanzien van de te gebruiken tools en hun configuratie, voer toegangscontrole bij DevOps tools in, gebruik het ‘least privilege’ principe en bescherm en monitor de infrastructuur.
- Stel bedrijfsbreed eisen op voor de bescherming van login-gegevens en secrets
Maak het centraal beheer van secrets verplicht, breidt de auditing en monitoring mogelijkheden uit, verwijder credentials in tools en applicaties en ontwikkel herbruikbare code-modules.
- Verander processen om applicaties te testen
Het automatische testen van code moet geïntegreerd worden, ontwikkelaars moeten via een ‘break the build’ methode verplicht worden security-issues te repareren, en overweeg een bug bounty programma, waarin ontdekkers van kwetsbaarheden worden beloond.
- Evalueer de resultaten van DevOps security
Test de invoer van tools voor secrets management, meet resultaten, stimuleer verbeteringen en train auditors.
“Het CISO View rapport geeft concrete ervaringen weer van directeuren en topmanagers die DevOps omarmen, zonder security uit het oog te verliezen”, aldus Renske Galema, regional director van CyberArk. “Voor organisaties die midden in digitale verandertrajecten zitten, is het van belang security en risico’s altijd langs nieuwe tools en technologie te leggen. Door de organisatie- en operationele uitdagingen te begrijpen, kunnen security-teams effectiever meepraten op het niveau van zowel topmanagement, security als ontwikkelaars.”