202408 DevOps y DevSecOps en la Nube: Mejores Prácticas desde el Primer Día
0 recomendaciones13 vistas
El documento aborda las mejores prácticas en la implementación de DevOps y DevSecOps en la nube, resaltando la importancia de la alineación organizacional, la cultura y la automatización en la entrega de software. Se discuten los diferentes niveles de madurez en la adopción de estas prácticas y se proporcionan recomendaciones para mejorar procesos y resultados. Además, se enfatiza la necesidad de un gobierno de nube eficaz que incluya políticas, controles y evaluaciones para optimizar recursos y seguridad.
202408 DevOps y DevSecOps en la Nube: Mejores Prácticas desde el Primer Día
- 1. Ricardo Gonzalez Vargas DevOps y DevSecOps en la Nube: Mejores Prácticas desde el Primer Día Chief Technology Officer Clouxter @rgon v
- 2. ¿Quien les habla? • Ricardo Gonzalez • Estratega de Tecnología y Negocios, Trusted Advisor para múltiples compañías en diferentes industrias, reconocido por múltiples fabricantes como experto en diferentes áreas. • Arquitecto de Soluciones especializado en Cloud Solutions y procesos de desarrollo de software • Ingeniero de Diseño y Automatización electrónica – MSc Ing Sistemas y Computación • 25+ años en arquitectura de soluciones, procesos de desarrollo de software y adopción de nube • Diferentes verticales: Financiera, Salud, Seguridad, Educación, Telecomunicaciones, Digital Marketing, Gobierno, Cloud Services, Industria @rgon v
- 3. DevOps: Todos dicen que lo aplican, aún cuando no todos lo entienden Ricardo Gonzalez Vargas
- 4. ● Necesidad de entrega de valor ● Tendencias Tecnológicas ● Procesos robustos y manuales ● Resistencia al Cambio ¿Por qué ?
- 5. ● Ambientes colaborativos ● Automatización ● Incremento en la entrega de Software ● Incremento en la calidad y seguridad ● Experimentación Continua ● Mejora continua Expectativa
- 7. Que NO ES DevOps • Una persona • Una tecnología particular • Simplemente automatizar • Una metodología que se use de forma aislada
- 8. El Ciclo de DevOps
- 9. El ciclo de DevSecOps
- 10. Factores que determinan la implementación practica de DevSecOps • Objetivos de negocio • Estrategia corporativa • Cultura organizacional • Marcos de cumplimiento y regulación • Definición de objetivos al aplicar la practica • Capacidades y preparación del equipo • Inversión requerida en el proceso de adopción
- 11. Ejemplos de desalineación estratégica • Startup con foco en clientes B2B/Enterprise • Sin practicas en torno a seguridad y cumplimiento. • Sin uso de marcos de cumplimiento • Sin practica interna de entrenamiento en estos temas • Empresa de desarrollo de software • Sin enfoque en la productividad • Sin enfoque en la calidad • Sin enfoque en la reutilización • Sin enfoque en la seguridad • Startup con foco B2C con mercado objetivo regional o global • Sin conocer los requerimientos particulares de cada mercado • Sin aproximación para personalización enfocada en geografías • Empresa consumidora de otros proveedores de tecnología • Sin definiciones claras sobre lo que espera
- 12. Que se puede hacer para mejorar la practica desde el día 1?
- 13. Ciclo de mejoramiento Planear Mejoras Implementar Evaluar Ciclo de Mejoramiento
- 14. EVALUAR
- 15. Cultural ● Retroalimentación continua ● Innovación ● Mejora continua ● Visibilidad- Trazabilidad ● Aprendizaje Continuo Evaluación de madurez Procesos ● Gestión del conocimiento ● Flujo de colaboración ● Construcción de Software ● Certificación ● Despliegue ● Monitoreo ● Seguridad
- 16. Tecnologia ● SCM ● CI/CT/CD ● SCA,SAST,DAST,IAST ● IAC ● APM ● SRE Evaluación de madurez Gobierno ● Métricas ● Politicas y controles ● Aseguramiento de las prácticas ● Artefactos ● Resultados
- 17. Nivel Cultura Proceso Tecnología 1 Equipos en silos Mala comunicación Entornos hostiles No se puede innovar Desconexión con el negocio Gestión tradicional Procesos Robustos Documentación excesiva No se poseen métricas e indicadores No se tienen procesos de mejora continua No hay control de versiones Procesos manuales de construcción y despliegue de software. Pruebas manuales Aprovisionamiento manual de Infraestructura Monitoreo bajo demanda 2 Equipos de trabajo integrados por DEV y QA. Se presentan barreras de comunicación Se planifican actividades de innovación Solo se recibe la necesidad del usuario Gestión híbridos entre ágil - tradicional Procesos robustos Documentación excesiva se poseen pocos indicadores Pocas iniciativas de Mejora continua Existe un control de versiones (sin estándar de trabajo) Pruebas unitarias Construcción y despliegues basados en scripts Monitoreo de infraestructura Aprovisionamiento de infraestructura basado en script 3 Equipos base con roles del proyecto y a demanda OPS y SEC Se pueden presentar barreras de comunicación Ambiente neutral poco espacio para la innovación Participación a demanda del usuario Gestión ágil Procesos ligeros y efectivos Transición a Documentación efectiva Métricas e indicadores Se tiene plan anual de mejora continua. Control de versiones (Estrategias de ramificación) Pruebas unitarias automatizadas CI / CD validación manual implementación base de APM Aprovisionamiento de infraestructura basado en herramientas. 4 Equipos base con roles a demanda Se pueden presentar barreras de comunicación Ambiente seguro poco espacio para la innovación Participación en principales reuniones del usuario Gestión ágil Procesos ligeros y efectivos Documentación efectiva Métricas e indicadores Mejora continua Control de versiones de diferentes tipos de software CI/CD Automático Pruebas funcionales, de rendimiento y de seguridad SCA,SAST Identificación de incidentes y problemas con base en las métricas recolectadas Aprovisionamiento de entornos automatizados 5 Equipos interdisciplinarios Comunicación asertiva Ambiente seguro Fomento de la innovación Participación activa del usuario final Gestión ágil Procesos ligeros y efectivos Documentación efectiva Toma de decisiones en base a Métricas e indicadores Mejora continua iterativa como producto de la retroalimentación Control de versiones de todo artefacto de código CI/CD Automático Pruebas funcionales, de rendimiento y de seguridad SCA,SAST, DAST e IAST automáticas Remediación automática de incidentes en base al monitoreo. Aprovisionamiento de entornos automatizados y dinámico Niveles de madurez en DevSecOps
- 18. PLANEAR MEJORAS
- 19. Resultados y accionables (Ejemplo)
- 20. Resultados y accionables (Ejemplo) • Assessment : Code (1.17 a nivel cuantitativo): • El equipo no tiene una herramienta para la gestión de código fuente. Manejan repositorio de archivos. Solo manejan Bitbucket para los proyectos nuevos por parte de un miembro del equipo. • Propuesta Code: • Pasar de 1.17 a 2.5 cuantitativo • Definir, habilitar y configurar herramienta para gestión de código • Definir y entrenar en el flujo de desarrollo estándar para gestión de código • Capacitar a los equipos frente al manejo del repositorio de código fuente y las prácticas de codificación que quiera seguir la compañía. • Tener un flujo de colaboración en desarrollo estándar y de conocimiento del equipo. • Fortalecer las prácticas de versionamiento de los componentes de software.
- 21. IMPLEMENTAR
- 23. Que practicas generan mayor impacto en la adopción de DevOps?
- 24. • Plan: • Objetivos de negocio Primero • Proceso Iterativo/incremental • Code: • Uso de Frameworks de desarrollo • GenAI Assisted Development • Source Control • SAST Practicas de mayor impacto en DevOps/DevSecOps Valor Productividad Seguridad
- 25. Gen AI assisted Development - Demo
- 27. • Build: • CI – Continuous Integración (incluyendo Unit Testing) • SCA/SAST • Test: • Automatic Testing: Unit, Integration Practicas de mayor impacto en DevOps/DevSecOps Calidad - Velocidad Productividad - Calidad
- 28. • Release: • CD – Continuous Delivery (En Ambientes Precios) • Runtime Testing • IaC • DAST • Deployment: • CD – Continuous Deployment ( Producción) • IaC – Policy Controls • Blue/Green - Canary Practicas de mayor impacto en DevOps/DevSecOps Calidad – Productividad - Consistencia Productividad - Consistencia Seguridad - Cumplimiento Confiabilidad
- 29. • Operar: • Gestión de Logs • Operaciones como código • Observabilidad • Monitoreo: • Acciones por Alerta • Respuesta automática a eventos Practicas de mayor impacto en DevOps/DevSecOps Calidad - Velocidad Seguridad Confiabilidad
- 30. Como aplico políticas y controles desde el día 1?
- 31. Pipeline de validación de IaC
- 32. ¿Qué es el Gobierno de Nube? • Se refiere a los procesos, las políticas y los controles utilizados para administrar, supervisar y proteger los recursos en un entorno de nube. • Esto incluye: • Gestión de identidad y Acceso • Políticas y Controles Organizacionales • Cumplimiento y Auditoria • Gestión de recursos • Gestión de Costos • Otros
- 33. ¿Qué se logra con una estrategia de Gobierno de nube?
- 34. Ambiente de Gobierno de Nube Listo para Migrar * Listo para Escalar * Optimizado y Eficiente Pilares de Well Architected Excelencia Operativa Seguridad Confiabilidad Rendimiento Optimización de Costos Retirar/Retener Recomprar Re-platforma (Lift, Tinker & Shift) Re-hospedar (Lift & Shift) Re-factorizar/Re- arquiitectar (Transformar & Modernizar) Funciones Interoperables de Gobierno y Gestión Controls & Guardrails Network Connectivity Identity Management Security Operations Service Mgmt (ITSM) Observability Cloud Financial Mgmt Sourcing & Distribution Sostenibilidad
- 35. • Tipos de Controles • 32 - Preventivos • 31 - Detectivos (De detección) • 390+ Proactivos • Guía de Controles: • 22 - Mandatorios • 14 - Altamente recomendados • 27 - Electivos Controles desde una implementación de Gobierno de Nube Selección de Guardrails = Línea base Catalogo controles personalizados (Clouxter) Artefacto CloudFormation Guardrails Personalización Aceleración Establecer controles base de manera incremental Artefacto CloudFormation Personalizados
- 36. Conclusiones • El mayor reto con la aplicación de buenas practicas son las personas • La alineación organizacional es clave para el éxito de la adopción de DevOps/DevSecOps • Es clave entender en que punto se encuentra de la adopción de la practica • Un modelo de Gobierno simplifica y facilita la aplicación de controles que alinean la teoría con la practica. • El uso de múltiples tecnologías incluyendo GenAI tienen un impacto importante en el proceso
- 37. ¡GRACIAS!
Notas del editor
- #6: Esperan que esto se logre en un corto tiempo
- #7: Equipos sin capacidad Aplicaciones Recursos limitados Cultura
- #36: (2min) Inicia +24 Pasamos ahora al escenario final o To Be donde veremos los beneficios que obtuvieron nuestros clientes, en este caso estoy haciendo zoom a la gestión de cumplimiento donde abordamos principalmente los controles Pero primero es importante comprender o tener una idea de lo que son esos controles: Básicamente son reglas de alto nivel que actúan como un límite o directriz para asegurar que las cuentas en la nube operen dentro de los parámetros establecidos por la organización Estos controles pueden ser preventivos (evitan que se realicen acciones no permitidas), detectivos (monitorean y alertan sobre actividades que no cumplen con las políticas) o proactivos, aquellos que se ejecutan durante el proceso de despliegue de recursos, por ejemplo, a través de CloudFormation Que obtuvieron nuestros clientes como beneficio en esta función? Aceleración: Definir los controles con los que debo comenzar puede suponer un gran reto, sin embargo, nosotros facilitamos el proceso disponiendo a nuestros clientes una selección de controles debidamente probados que constituyeron una línea base sólida de cumplimiento y que han sido validados exitosamente en más de 20 clientes Personalización: Luego se presentó un catálogo de controles que han sido construidos por nosotros y que fueron personalizados para cada uno de ellos