Apenas 52% dos componentes de código aberto recebem atualizações de segurança

Segurança

Quase metade dos programadores (48%) não atualiza soluções de código aberto ou comerciais quando o mercado divulga uma vulnerabilidade de segurança.

Pesquisa realizada pela CA Veracode, empresa adquirida pela CA Technologies, esclarece as diferenças entre a segurança e higiene dos componentes de código aberto. De acordo com o levantamento, quase metade dos programadores (48%) não atualiza soluções de código aberto ou comerciais quando o mercado divulga uma vulnerabilidade de segurança. Este e outros dados destacam a falta de conscientização das organizações em segurança, colocando-as sob risco de violação.

Novas técnicas para o desenvolvimento de software, como o DevSecOps, que trabalha com a segurança desde o início melhoram a qualidade dos códigos. Contudo, esta é uma metodologia que valoriza a velocidade e eficiência, para acompanhar as demandas do mercado, e faz com que os desenvolvedores busquem recursos e funcionalidades de projetos já existentes. Segundo a pesquisa, 83% dos entrevistados usam, em média, 73 componentes de terceiros durante a produção de um software.

Embora os componentes aumentem a eficiência dos desenvolvedores e o seu uso seja recomendado, eles apresentam riscos de segurança. Apesar de 71% das companhias afirmarem que possuem um programa formal de segurança de aplicativos (AppSec), apenas 23% dos entrevistados testam as vulnerabilidades dos componentes em cada lançamento. São encontradas uma média de 71 vulnerabilidades, inseridas por códigos de terceiros, em cada aplicativo.

Além disso, apenas 53% das organizações mantêm um inventário de todos os componentes usados em seus aplicativos. De acordo com o The State of Software Security Report 2017, menos de 28% das empresas realizam análises regulares sobre a composição do seus softwares para entender quais componentes estão incorporados em seus aplicativos.

“Sabemos que os desenvolvedores se preocupam em criar um código excelente, e isso significa criar código seguro”, comenta Pete Chestna, diretor de engajamento de desenvolvedores da CA Veracode. “Para ter sucesso, os desenvolvedores precisam conhecer claramente a política de segurança e as ferramentas de medição. Quando a meta é clara e damos aos profissionais acesso a essas ferramentas, eles podem integrar os testes desde o início do desenvolvimento e tomar melhores decisões, que levem a segurança em consideração. Com isso, vemos uma melhora significativa na qualidade e nos resultados.”

O relatório mostra que as equipes de desenvolvimento (44%) ou segurança (31%) são os principais responsáveis pela manutenção de componentes de terceiros, o que aumenta a responsabilidade da equipe de desenvolvimento. Com a conscientização sobre o risco de código aberto cada vez maior, é importante fornecer soluções, treinamento e visibilidade aos desenvolvedores para mitigar riscos, como um elemento fundamental da abordagem de desenvolvimento da Moderna Fábrica de Software, que ajuda a desenvolver aplicativos melhores, mais seguros e com mais rapidez.

Read also :