ágil & appsec & tretas

Tretas do dia-a-dia com desenvolvimento seguro e ágil

Transcript

1. ágil & appsec & tretas Thiago Ribeiro thiago.ribeiro@c6bank.com github.com/ribeiroit twitter.com/ribeiroit
2. ágil & appsec & tretas Thiago Ribeiro / thiago.ribeiro@c6bank.com / github.com/ribeiroit / twitter.com/ribeiroit - appsec líder no C6 - hacker das antiga - impostor (ver síndrome) - sim, caipira carreira: - segurança (appsec, arquitetura, crypto, risco, iam) - arquiteto soluções - sysadm (linux, bsd) - dev (go, python, nodejs, javascript, perl, php) lugares: - itaú / oi / webforce / cineclick / unifatea # sobre
3. ágil & appsec & tretas Thiago Ribeiro / thiago.ribeiro@c6bank.com / github.com/ribeiroit / twitter.com/ribeiroit entregar software e mostrar valor de forma eficaz, simples. trabalhar recebendo feedbacks constantes do cliente mais código e menos documentação mais vulnerabilidades menos tempo para testes menos tempo para entender requisitos e aplicá-los menos governança: ausência de docs dificulta plano de continuidade # no ágil # na segurança
4. ágil & appsec & tretas Thiago Ribeiro / thiago.ribeiro@c6bank.com / github.com/ribeiroit / twitter.com/ribeiroit “se fizer com tudo isso de funcionalidade de segurança não vai estar sendo ágil”. anonymous developer at C6Bank #1 treta
5. ágil & appsec & tretas Thiago Ribeiro / thiago.ribeiro@c6bank.com / github.com/ribeiroit / twitter.com/ribeiroit “ágil é entender e antecipar os riscos, quanto mais maturidade e conhecimento seu time possui, melhor pra fazer certo da primeira vez”. não existe milagre. é muito improvável que vá diminuir o prazo colocando mais pessoas no projeto. mais gente, mais funcionalidade, mais treta. #1 reflexão sobre a treta
6. ágil & appsec & tretas Thiago Ribeiro / thiago.ribeiro@c6bank.com / github.com/ribeiroit / twitter.com/ribeiroit “a gente deixa uma sprint só pra ver as features de segurança”. por aí nas quebradas #2 treta
7. ágil & appsec & tretas Thiago Ribeiro / thiago.ribeiro@c6bank.com / github.com/ribeiroit / twitter.com/ribeiroit “segurança não é peça de lego que se encaixa no modelo, ela é a maneira de montar o modelo, logo não pode ser desacoplada ou isolada”. software sólido, exige fundação sólida. #2 reflexão sobre a treta
8. ágil & appsec & tretas Thiago Ribeiro / thiago.ribeiro@c6bank.com / github.com/ribeiroit / twitter.com/ribeiroit “não tivemos tempo de entregar no prazo pra vocês testarem, a gente precisa lançar logo pros clientes, eles são nossa prioridade”. por aí nas quebradas #3 treta
9. ágil & appsec & tretas Thiago Ribeiro / thiago.ribeiro@c6bank.com / github.com/ribeiroit / twitter.com/ribeiroit “se seu software não tem o devido tempo para ser testado adequadamente, outros testarão e descobrirão falhas por você”. testes de segurança devem ser regulares e seguir um plano baseado em riscos e mudanças. testes de qualidade devem ser mandatórios e executados massivamente. #3 reflexão sobre a treta
10. ágil & appsec & tretas Thiago Ribeiro / thiago.ribeiro@c6bank.com / github.com/ribeiroit / twitter.com/ribeiroit “precisamos trabalhar no modelo startup”. por aí nas quebradas #4 treta
11. ágil & appsec & tretas Thiago Ribeiro / thiago.ribeiro@c6bank.com / github.com/ribeiroit / twitter.com/ribeiroit “66% das startups podem falir ou fechar diante de vazamentos”. se você procura continuidade, pense bem sua estratégia. #4 reflexão sobre a treta https://www.techrepublic.com/article/66-of-smbs-would-shut-down-or- close-if-they-experienced-a-data-breach/
12. ágil & appsec & tretas Thiago Ribeiro / thiago.ribeiro@c6bank.com / github.com/ribeiroit / twitter.com/ribeiroit “corrigir essas vulnerabilidades vai nos impedir de lançar novas funcionalidades”. por aí nas quebradas #5 treta
13. ágil & appsec & tretas Thiago Ribeiro / thiago.ribeiro@c6bank.com / github.com/ribeiroit / twitter.com/ribeiroit “248 dias é a média para corrigir vulnerabilidades em softwares”. construir uma reputação leva um bom tempo e muito dinheiro, não corrigir uma vulnerabilidade é contar com a sorte. #5 reflexão sobre a treta https://www.helpnetsecurity.com/2016/06/08/whitehat-security-report/
14. ágil & appsec & tretas Thiago Ribeiro / thiago.ribeiro@c6bank.com / github.com/ribeiroit / twitter.com/ribeiroit - utilize a OWASP: ASVS / Mobile Security / Top 10 para lhe ajudar com requisitos e conhecimento - mantenha constante comunicação com o time de segurança. peça ajuda para priorizar suas estórias - antecipe sempre os requisitos de segurança durante o sdlc - venda o alicerce como parte importante do projeto. - ágil tem muitas vantagens, se usada de maneira consistente. #dicas para evitar tretas
15. contatos: thiago.ribeiro@c6bank.com github.com/ribeiroit twitter.com/ribeiroit #conte-me mais sobre outras tretas obrigado