La adopción de DevSecOps en empresas aún es baja, pero causa impacto positivo

La adopción de una estrategia DevSecOps en las empresas, que integre la seguridad en los procesos de ciclo de vida del desarrollo de software no es todavía muy elevada. Solo un 22% de las organizaciones la han desarrollado, según un informe del proveedor de plataformas de observabilidad de datos Mezmo. No obstante, las que la han puesto en marcha han conseguido un impacto muy positivo en cuanto a la aceleración en detección de incidentes, algo que aseguran un 95% de las empresas encuestadas para el informe que cuentan con una estrategia de DevSecOps. Otro 96% asegura también que gracias a esta estrategia ha mejorado en la respuesta ante incidentes.

A pesar de que su adopción es baja, el estudio confirma que hay un gran potencial de crecimiento para el sector. El 62% de los encuestados, pertenecientes a 200 organizaciones y que trabajan en áreas relacionadas con tecnología, DevOps y seguridad, aseguran que su organización está evaluando de manera activa casos de uso, o tiene planes para implementar DevSecOps. El estudio ha confirmado también que más de la mita de quienes utilizan herramientas y procesos de DevSecOps han experimentado una reducción de incidentes en producción significativa.

No obstante, todavía hay diferencias entre las percepción de cómo es la implementación de DevSecoOps y sus desafíos. Las empresas creen que establecer una cultura de colaboración y animar a los desarrolladores a aprovechar las mejores prácticas de seguridad son casi tan importantes como adoptar las herramientas de DevSecOps. Aunque es habitual esperar transformaciones culturales antes de la adopción de DevSecOps, los que lo han adoptado señalan que las limitaciones técnicas, como la captura de datos y el análisis, son obstáculos todavía mayores para el éxito.

Un 84% de los encuestados creen que proporcionar a los desarrolladores los datos y herramientas adecuadas es clave para el éxito. Pero a medida que las organizaciones aumenten la velocidad y el volumen de los lanzamientos para dar servicio a más clientes, recopilan grandes cantidades de datos. Las empresas que han respondido a la encuesta capturan de varios TB (un 54%) a cientos de TB (un 32%) al mes. Un 6% capturan un Petabyte o más al mes.

Recoger, almacenar y examinar para identificar incidentes estos datos es caro, y lleva tiempo. De media, 17,5 horas por persona es lo que lleva rastrear y comprender los incidentes de seguridad, un tiempo que al 82% de encuestados les gustaría reducir. Un 69% de las organizaciones no capturan determinadas fuentes de datos, por el elevado coste del almacenamiento. Esto es problemático si hay un incidente y si la entidad tiene datos incompletos de cara a su análisis o a la respuesta ante el incidente.

Un 91% de las organizaciones usa varias herramientas para conseguir el máximo valor de sus datos, lo que dificulta a varios grupos tener acceso a los datos que necesitan para su trabajo. No contar  una sola fuente de datos es uno de los principales problemas para el avance de los equipos.

En la actualidad, un 87% de las empresas utilizan herramientas open source como parte de sus activos de observabilidad, porque son más personalizables. Pero un 84% cree que se convertirá en algo complicado de gestionar, así como de adoptar y escalar con estas herramientas. Eso sí, un 98% de los encuestados aseguran que investigarán la posibilidad de adoptar una solución de observabilidad gestionada a lo largo de los próximos 12 meses.