0 
0 As empresas que se concentram em confiar em seus desenvolvedores, olhar além da culpa e lutar por uma forte cooperação tendem a ter uma maior adoção de medidas que contribuem para cadeias de fornecimento de software mais seguras.
De acordo com o Accelerate State of DevOps anual de 2022 publicado em 28 de setembro pela equipe DevOps Research and Assessment (DORA) do Google Cloud também descobriu que as equipes de DevOps que se concentravam em boas práticas de segurança tinham uma taxa menor de burnout, com equipes de baixa segurança com 1,4 vezes mais chances de expressar altos níveis de estresse.
Embora a infraestrutura técnica tenha ajudado, a pesquisa mostra que começar ou desenvolver a cultura certa é extremamente importante.
Por exemplo, a pesquisa DORA no centro do relatório mediu a adesão das equipes de DevOps a 13 aspectos diferentes medidos pela estrutura de segurança Níveis da Cadeia de Suprimentos para Artefatos de Software (SLSA), que exige a criação de lançamentos de produtos usando integração contínua centralizada/desenvolvimento contínuo (CI/CD), armazenando históricos de alterações indefinidamente, definindo compilações de software por meio de scripts e isolando o processo de compilação. E mesmo que a maioria das empresas tenha implementado completa ou moderadamente todas as 13 práticas, aquelas que tinham culturas mais colaborativas e menos orientadas para a culpa se saíram melhor, segundo a pesquisa DORA.
“Culturas mais abertas e generativas… tendem a ter efeitos positivos para o desempenho organizacional, bem como para as pessoas que trabalham lá”, diz Todd Kulesza, um dos autores do relatório e pesquisador sênior de experiência do usuário (UX) da Google Cloud. “O que queremos ver é – se houver um problema de segurança – queremos que os engenheiros se sintam capacitados e seguros para chamar a atenção para isso. Você não quer que seus desenvolvedores varrem as coisas para debaixo do tapete, especialmente em termos de segurança .”
Infelizmente, a pesquisa descobriu que há trabalho a ser feito na frente colaborativa: muitos desenvolvedores de software sentem que há um abismo entre os programadores e as equipes de segurança de aplicativos.
“As abordagens de segurança de alto atrito podem ser frustrantes para os desenvolvedores e ineficazes em geral, pois as pessoas tentam evitar os pontos de atrito”, afirmou o relatório. “Os desenvolvedores com quem conversamos queriam fazer a coisa certa e muitas vezes discutiam a frustração de que o envio de recursos ou correções sempre tiveram prioridade sobre possíveis problemas de segurança”.
Segurança da Cadeia de Suprimentos: Barômetro Crítico para o Desempenho de DevOps
Em seu oitavo ano, o relatório anual da equipe DevOps Research and Assessment (DORA) se esforçou para identificar as melhores práticas entre as equipes que usam a abordagem DevOps para o desenvolvimento de software. Em 2021, o grupo DORA descobriu que a segurança da cadeia de suprimentos de software havia se tornado um componente crítico das organizações de DevOps de alto desempenho, portanto, este ano, os pesquisadores se concentraram em determinar o que levou a resultados bem-sucedidos nessa frente.
Na pesquisa, o Google focou na adoção de práticas de segurança que fazem parte das cadeias de suprimentos.
Além da adesão das equipes de DevOps à estrutura SLSA, a pesquisa perguntou aos desenvolvedores até que ponto eles cumprem dezenas de práticas de segurança que formam o Secure Software Development Framework (SSDF) criado pelo Instituto Nacional de Padrões e Tecnologia dos EUA (NIST). .
As organizações que tinham equipes altamente cooperativas que compartilhavam riscos e responsabilidades e priorizavam o aprendizado sobre a culpa – as chamadas culturas “generativas” – eram mais propensas a adotar mais de duas dúzias dessas práticas de segurança, descobriu a pesquisa com profissionais de DevOps.
“Muitas dessas práticas – não vou dizer que estão 100% estabelecidas em todas as organizações – mas muitas dessas práticas têm 50% ou mais de praticantes relatando que estão estabelecidas ou muito bem estabelecidas”, diz John Speed Meyers, coautor do relatório e cientista de dados de segurança da empresa de segurança da cadeia de suprimentos de software Chainguard. “Há muito espaço para melhorias, mas essas coisas não são tão difíceis que ninguém está fazendo.”
A pesquisa também mediu o esgotamento do desenvolvedor, com base em quão bem eles avaliaram sua concordância com declarações como “meus sentimentos sobre o trabalho afetam negativamente minha vida fora do trabalho” e “sou indiferente ou cínico em relação ao meu trabalho”. As equipes que não focavam na segurança eram 40% mais propensas a concordar ou concordar fortemente com essas declarações.
Além disso, as equipes que tiveram as piores taxas de falha de mudança e levaram mais tempo para implantar – de uma vez por mês a uma vez a cada seis meses – também tiveram altas taxas de esgotamento.
FONTE: DARK READING