Pesquisa realizada pela CA Veracode, empresa adquirida pela CA Technologies, esclarece as diferenças entre a segurança e higiene dos componentes de código aberto. De acordo com o levantamento, quase metade dos programadores (48%) não atualiza soluções de código aberto ou comerciais quando o mercado divulga uma vulnerabilidade de segurança. Este e outros dados destacam a falta de conscientização das organizações em segurança, colocando-as sob risco de violação.
Novas técnicas para o desenvolvimento de software, como o DevSecOps, que trabalha com a segurança desde o início melhoram a qualidade dos códigos. Contudo, esta é uma metodologia que valoriza a velocidade e eficiência, para acompanhar as demandas do mercado, e faz com que os desenvolvedores busquem recursos e funcionalidades de projetos já existentes. Segundo a pesquisa, 83% dos entrevistados usam, em média, 73 componentes de terceiros durante o a produção de um software.
Embora os componentes aumentem a eficiência dos desenvolvedores e o seu uso seja recomendado, eles apresentam riscos de segurança. Apesar de 71% das companhias afirmarem que possuem um programa formal de segurança de aplicativos (AppSec), apenas 23% dos entrevistados testam as vulnerabilidades dos componentes em cada lançamento. São encontradas uma média de 71 vulnerabilidades, inseridas por códigos de terceiros, em cada aplicativo.
Além disso, apenas 53% das organizações mantêm um inventário de todos os componentes usados em seus aplicativos. De acordo com o The State of Software Security Report 2017, menos de 28% das empresas realizam análises regulares sobre a composição do seus softwares para entender quais componentes estão incorporados em seus aplicativos.
O relatório mostra que as equipes de desenvolvimento (44%) ou de segurança (31%) são os principais responsáveis pela manutenção de componentes de terceiros, o que aumenta a responsabilidade da equipe de desenvolvimento.
Com a conscientização sobre o risco de código aberto cada vez maior, é importante fornecer soluções, treinamento e visibilidade aos desenvolvedores para mitigar riscos, como um elemento fundamental da abordagem de desenvolvimento da Moderna Fábrica de Software, que ajuda a desenvolver aplicativos melhores, mais seguros e com mais rapidez.
