Jika keamanan aplikasi DevOps terancam maka Perusahaan dan organisasi menunda pengiriman software sampai masalah kritis diatasi. Demikian Synopsys menyimpulkan berdasarkan survei terbaru.
Penulis/editor: Marinus L Toruan
mmINDUSTRI.co.id – Synopsys, Inc. (sumber): Apa jaminan keamanan aplikasi DevOps yang akan dikirimkan oleh perusahaan atau organisasi? Pertanyaan ini mengemuka pada tahun 2022 yang disimpulkan dalam laporan Global State of DevSecOps 2023.
Produsen perangkat lunak Synopsys, Inc. meneliti strategi, alat, dan praktik yang berdampak pada keamanan perangkat lunak milik sejumlah Perusahaan dan organisasi.
Penelitian itu diinisiasi oleh Synopsys Inc. pada tahun 2022 dan hasil laporan diungkap dalam Synopsys Cybersecurity Research Center disusun berdasarkan hasil survei yang dilakukan oleh Censuswide.
Tim peneliti mensurvei lebih dari 1.000 profesional Teknologi Informasi di seluruh dunia seperti pengembang, profesional keamanan aplikasi, insinyur DevOps dan CISO, serta pakar di bidang teknologi, keamanan siber, dan perangkat lunak perkembangan. Apakah Indonesia termasuk yang disurvei?
Lebih dari 80 persen responden yang disurvei menunjukkan bahwa masalah keamanan kritis pada perangkat lunak yang diterapkan berdampak pada jadwal pengiriman aplikasi DevOps milik organisasi selama tahun 2022.
Menerapkan keamanan aplikasi DevSecOps, sebuah kerangka kerja yang berfokus pada penyematan pengujian keamanan di setiap fase siklus hidup software development life cycle (SDLC).
Pengembangan perangkat lunak (SDLC) itu merupakan salah satu cara yang tepat untuk mengurangi volume kerentanan terhadap kritis dan masalah keamanan yang dapat dieksploitasi dalam aplikasi produksi.
“Meskipun sebagian besar atau 91 persen organisasi mengadopsi praktik aplikasi DevSecOps pada tingkat tertentu, namun pengguna terus menghadapi hambatan dalam menerapkan metode secara efektif, terutama pada skala perusahaan,” beber Jason Schmitt, Manajer Umum grup Synopsys Software Integrity.
Menurut Jason Schmitt, pihaknya memerhatikan organisasi di seluruh dunia yang kesulitan dalam mengintegrasikan dan memprioritaskan hasil dari berbagai alat pengujian keamanan aplikasi yang digunakan oleh tim perusahaan.
Perusahaan kesulitan untuk menegakkan kebijakan keamanan dan kepatuhan secara otomatis melalui infrastruktur sebagai kode, sebuah praktik yang paling sering disebut oleh responden sebagai faktor kunci keberhasilan program keamanan Perusahaan secara keseluruhan lanjur Jason Schmitt.
Temuan utama dari laporan survei meliputi
Sebagian besar profesional keamanan sudah menggunakan AI namun lebih banyak lagi yang mewaspadai risikonya. Mayoritas atau 52 persen responden survei menyatakan bahwa mereka secara aktif menggunakan AI untuk meningkatkan langkah-langkah keamanan perangkat lunak organisasi mereka.
Akan tetapi, lebih banyak lagi atau 76 persen yang sangat atau agak khawatir tentang potensi kesalahan atau masalah pada solusi keamanan siber berbasis AI.
Jangka waktu remediasi bagi sebagian besar organisasi membutuhkan waktu berminggu-minggu. Dua puluh delapan persen responden mengatakan organisasi mereka membutuhkan waktu hingga tiga minggu untuk menambal risiko/kerentanan keamanan penting dalam aplikasi yang diterapkan.
Sebanyak 20 persen lainnya mengatakan bahwa hal ini dapat memakan waktu hingga satu bulan, meskipun sebagian besar eksploitasi muncul dalam hitungan hari.
Alat pengujian keamanan aplikasi dipandang bermanfaat bagi setidaknya dua pertiga responden.
Ketika diminta untuk mengukur kegunaan alat dan praktik keamanan—termasuk pengujian keamanan aplikasi dinamis atau dynamic application security testing (DAST), pengujian keamanan aplikasi interaktif atau interactive application security testing (IAST).
Selanjutnya pengujian keamanan aplikasi statis atau static application security testing (SAST), dan analisis komposisi perangkat lunak atau interactive application security testing (IAST), dan software composition analysis (SCA).
Setiap alat disertakan dalam survei ini dianggap bermanfaat setidaknya bagi dua pertiga responden. Laporan tersebut mengidentifikasi SAST sebagai alat AST yang paling disukai dengan 72 persen menyatakan bahwa mereka merasakan manfaatnya. Diikuti oleh IAST (69 persrn), SCA (68 persen), dan DAST (67 persen).
Tanggung jawab pengujian keamanan dibagi rata antara tim keamanan internal dan pengembangan/rekayasa.
Pengembang dan insinyur perangkat lunak (45 persen) kemungkinan besar ditugaskan untuk melakukan uji keamanan pada aplikasi penting bisnis dan jalur perbaikan berkelanjutan (CI) di organisasi mereka seperti halnya anggota tim keamanan internal (46 persen).
Sepertiga (33 persen) organisasi merekrut konsultan eksternal untuk melengkapi upaya tim internal. Untuk mempelajari lebih lanjut, unduh salinan laporan Global State of DevSecOps 2023.
Pusat Penelitian Keamanan Siber (CyRC)
Misi Cybersecurity Research Center (CyRC) adalah untuk memajukan keamanan perangkat lunak melalui penelitian, inovasi, dan penyebaran.
CyRC memanfaatkan keahlian, teknologi, dan sumber daya milik Synopsys untuk melakukan penelitian keamanan perangkat lunak primer dan sekunder berkualitas tinggi, dan mempublikasikan temuannya untuk kepentingan komunitas keamanan, pengembang, dan DevSecOps yang lebih luas.
Beroperasi dalam misi Synopsys yang lebih besar untuk membangun kepercayaan pada perangkat lunak yang mendukung kehidupan kita, CyRC membantu meningkatkan kesadaran akan berbagai masalah dengan menerbitkan penelitian yang mendukung praktik keamanan siber yang kuat.
CyRC memanfaatkan keahlian inti yang ada di tim keamanan perangkat lunak global. Keahlian Perusahaan mencakup analisis kode statis, fuzzing, pengujian keamanan aplikasi interaktif, pengujian penetrasi, pengembangan sumber terbuka, dan penerapan produksi.
Dengan perangkat lunak yang menjadi inti kehidupan modern—mulai dari perangkat wearable, otomatisasi rumah, blockchain, aplikasi seluler, dan teknologi otomotif—akses terhadap informasi keamanan yang dapat ditindaklanjuti harus mengalir seiring dengan inovasi.
Sementara DevSecOps merupakan sebuah kerangka kerja yang mengintegrasikan keamanan ke dalam semua tahap siklus hidup pengembangan perangkat lunak. Aplikasi DevSecOps memperkenalkan proses keamanan siber dari awal siklus pengembangan.
Selama siklus pengembangan, kode direview, diaudit, dipindai, dan diuji untuk masalah keamanan. Masalah keamanan diatasi segera setelah diidentifikasi dan masalah keamanan diperbaiki sebelum dependensi tambahan diperkenalkan.
Dengan terjaminnya keamanan aplikasi DevSecOps memungkinkan pengiriman perangkat lunak yang aman tanpa memperlambat siklus pengembangan perangkat lunak, demikian laman ibm.com, microsoft.com dan javatpoint.com menyimpulkan.
Rancangan Fasad Bangunan untuk Menahan Cuaca dan Hujan 