DevSecOps in pratica: CI/CD security che funziona davvero

DevSecOps e un altro termine che rischia di diventare solo marketing. "Shift left," "security as code," "automate everything" - bei concetti sulla carta. Ma nella pratica, troppi team implementano DevSecOps aggiungendo uno scanner SAST al pipeline e dichiarando vittoria. La realta e piu sfumata.

Ho costruito sei piattaforme di sicurezza, ognuna con il proprio pipeline di deployment. Ogni volta ho dovuto bilanciare la velocita di sviluppo con la sicurezza del processo. La lezione chiave: la security nei pipeline deve essere veloce, specifica e azionabile. Un security check che impiega 20 minuti e produce 500 finding di cui 490 sono falsi positivi non e security - e rumore.

Cosa funziona davvero

Prima cosa: secret scanning pre-commit. Un hook che blocca il commit se contiene credenziali, API key, o token. Costa zero in termini di tempo (gira in millisecondi) e previene il problema piu comune e piu pericoloso. Lo implemento su ogni progetto, senza eccezioni.

Seconda cosa: dependency scanning con soglie pragmatiche. Non bloccare il build per una vulnerabilita low in una dipendenza transitiva. Blocca per critical ed high nelle dipendenze dirette. Il triage automatico basato sulla reachability - la vulnerabilita e effettivamente raggiungibile nel mio codice? - riduce i falsi positivi del 70%.

Terza cosa: infrastructure as code scanning. Se usi Terraform, Docker, o Kubernetes manifest, verifica che non ci siano misconfiguration prima del deploy. Container che girano come root, security group troppo permissivi, secret hardcoded nei manifest. Questi check sono deterministici (niente falsi positivi) e prevengono problemi reali. La vera DevSecOps non e fare piu check - e fare i check giusti, nei momenti giusti, con il minimo friction possibile.