Meno del 25 per cento degli sviluppatori testa le componenti Open Source per verificare eventuali vulnerabilità prima di una nuova release
CA Veracode, la cui offerta è integrata nel portfolio di soluzioni di sicurezza di CA Technologies, presenta una nuova ricerca che evidenzia il disallineamento fra sicurezza e operatività delle componenti. L’analisi condotta da Vanson Bourne mostra che solamente il 52 per cento degli sviluppatori che utilizza componenti Open Source o commercial per le applicazioni aggiorna tali componenti ogni volta che viene rivelata una nuova vulnerabilità, a testimonianza della mancata consapevolezza in materia di sicurezza che espone le aziende al rischio di violazioni.
I processi di sviluppo software basati su metodologie come DevSecOps hanno contribuito a migliorare la sicurezza del codice scritto dagli sviluppatori; nonostante questo, i processi di sviluppo puntano a ottenere una velocità ed efficienza ancora maggiore per tenere il passo con l’Application Economy. Ne risulta spesso che molti sviluppatori facciano ricorso a componenti che mutuano le proprie caratteristiche e funzionalità da progetti e library già esistenti. Lo studio ha dimostrato che l’83 per cento degli intervistati utilizza componenti commercial e/o Open Source, impiegando una media di 73 componenti per applicazione.
Sebbene contribuiscano a rendere più efficienti gli sviluppatori e nonostante il loro impiego sia ritenuto una best practice, queste componenti comportano alcuni rischi intrinseci. Pur avendo individuato una media di 71 vulnerabilità per applicazione derivanti dall’utilizzo di componenti di terze parti, solo il 23 per cento degli intervistati ha dichiarato di avere testato le componenti in occasione di ogni release per isolare eventuali vulnerabilità. Potrebbe dipendere dal fatto che solo il 71 per cento delle organizzazioni dichiari di possedere un programma di Application Security (AppSec) vero e proprio.
Inoltre, solo il 53 per cento delle organizzazioni mantiene un inventario di tutte le componenti delle proprie applicazioni e, secondo lo studio The State of Software Security Report 2017 (SOSS), meno del 28 per cento delle aziende esegue analisi regolari sulla composizione delle applicazioni per capire quali componenti siano presenti al loro interno.
“Sappiamo che gli sviluppatori desiderano creare codice di qualità, e questo significa ‘codice sicuro’ – ha dichiarato Pete Chestna, Director of Developer Engagement di CA Veracode -. Per avere successo, gli sviluppatori devono fare chiarezza sulle proprie policy di sicurezza e sui tool di misurazione. Una volta definito chiaramente l’obiettivo e predisposto l’accesso agli appositi tool, gli sviluppatori potranno integrare la scansione all’inizio del ciclo di sviluppo del software, in modo da prendere decisioni informate sulla sicurezza e ottenere così miglioramenti consistenti dal punto di vista dello sviluppo di software sicuro e di quello che ne consegue”.
Lo studio dimostra che i team addetti allo sviluppo (44%) o alla sicurezza (31%) tendono spesso a occuparsi della manutenzione delle componenti commercial e Open Source di terze parti, il che sembrerebbe suggerire un’assunzione di responsabilità da parte dei team di sviluppo. Di fronte alla crescente consapevolezza del rischio associato all’Open Source, è fondamentale mettere a disposizione degli sviluppatori le soluzioni, la formazione e la visibilità necessarie a mitigare i rischi, quale aspetto fondamentale dell’approccio della Modern Software Factory allo sviluppo finalizzato a creare più rapidamente applicazioni migliori e più sicure.
