DevOps en security werken in de praktijk nauwelijks samen

DevOps wordt gemeengoed in het ontwikkelen en leveren van apps en diensten, maar de flexibiliteit gaat ten koste van de security. Terwijl DevOps-teams meer en meer privileged accounts en secrets aanmaken en delen via allerlei platformen, komt de druk bij security-teams te liggen om dit allemaal in veilige banen te leiden. In de praktijk is er nauwelijks samenwerking.

Dit blijkt uit het jaarlijkse Threat Landscape Report 2018 van CyberArk. Driekwart van de security-professionals geeft in het EMEA-onderzoek aan dat er geen security-strategie is voor privileged accounts in DevOps workflows. Een beheeroplossing voor secrets (zoals accountgegevens, SSH keys, API keys en andere gevoelige informatie) en privileged accounts ontbreekt. Slechts een derde stelt dat DevOps- en security-teams nauw samenwerken. Dit wereldwijde gemiddelde komt overeen met het beeld in Nederland. Hier werkt zo’n 28 procent nauw samen, terwijl een kwart aangeeft nauwelijks samen te werken, hooguit aan het einde van een workflow of pipeline.

Management van privileged accounts

Een andere zorg uit het rapport is dat ontwikkelaars en security-specialisten niet goed weten waar privileged accounts en secrets zich precies bevinden in de organisatie. Vrijwel niemand heeft een compleet overzicht. Dit is ook terug te vinden in de Nederlandse cijfers: een goede 41 procent gebruikt een beheertool voor privileged accounts, maar op de vraag hoe credentials worden opgeslagen heeft 10 procent geen idee, antwoordt een kwart dat het op papier wordt bewaard of simpelweg in het hoofd van een beheerder en staan er bij 16 procent wachtwoorden in een documentje ergens centraal op een server of op een USB-stick, dan wel externe schijf.

Hoewel veel DevOps-teams onderschatten hoeveel secrets er in de IT-infrastructuur aanwezig zijn, beseffen ze wel dat beveiliging beter moet. Meer dan een derde (37 procent) geeft aan dat gecompromitteerde DevOps-tools en omgevingen een ernstige kwetsbaarheid vormen in de organisatie, maar het lukt hen niet om de gaten te dichten.

DevOps en security werken nauwelijks samen

“Er komen twee zorgwekkende vindingen voort uit het onderzoek: DevOps en security werken nauwelijks samen, en het zicht op secrets en privileged accounts ontbreekt”, aldus Bart Bruijnesteijn (foto) van CyberArk. “Volgens Gartner gebruikt inmiddels meer dan helft van de bedrijven DevOps, maar het lijkt er sterk op dat we iets hebben omarmd zonder alle risico’s in te kaart te brengen. DevOps biedt volop voordelen, maar moet samengaan met een security-strategie en beheertools om de ontwikkeling en levering van apps en diensten veilig te houden. Pas dan pluk je echt de vruchten ervan en kun je een veilig, schaalbaar platform bouwen dat toekomstbestendig is.”