Como arquitecto jefe de seguridad en Red Hat, Mike Bursell pasa sus días hablando de seguridad tanto dentro como fuera de la empresa. Su trabajo, nos dijo al margen de la Cumbre Open Source Europe 2019 en Lyon, Francia, es alentar a las personas a pensar en la seguridad. Hablando de los desafíos de seguridad en el mundo contenedorizado de hoy, Mike dijo que el cambio de cultura no se limita a la tecnología. La gente olvida que esto es un cambio cultural: es el tiempo de desarrollo, el tiempo de prueba y el tiempo de aprovisionamiento, así como el cierre de los contenedores. "
Su consejo para las personas es seguir la antigua regla y pensar en la seguridad desde la etapa de diseño: "Si usa DevOps para una metodología ágil, no puede esperar dos semanas antes de implementar para configurar la seguridad. despliega cada dos semanas, por ejemplo. Entonces, tienes que hacer que sea parte del ciclo. "
La única solución es integrar la seguridad en el proceso de CI / CD:
"Si, por ejemplo, tiene la política de aceptar solo imágenes de contenedor de un repositorio de confianza, debe asegurarse de que esté automatizado. No puede esperar que sus ingenieros sepan cuáles deberían ser estas cosas buenas. Del mismo modo, podría decir que me aseguraré de que ninguno de mis contenedores dure más de 24 horas, siempre los reinicio. Pero desea asegurarse de que cuando reinicie los contenedores, tome la última imagen porque es posible que se hayan proporcionado parches. Por lo tanto, debe asegurarse de que funcione en su conjunto de pruebas automatizadas. "
Piensa más allá de las hojas de ruta
Parte del trabajo de Mike es ir más allá de las hojas de ruta. Trabaja con varios gerentes de productos de Red Hat en "lo que viene, lo que es interesante, lo que es interesante" y piensa en cómo pueden incorporar elementos que tengan sentido. sus hojas de ruta.
A la larga, Mike habla sobre la importancia de Enarx, un proyecto que cofundó, para permitir que las aplicaciones se ejecuten en entornos de ejecución confiables, completamente independientes de plataformas y SDK.
Además de Enarx, también supervisa varios proyectos de seguridad:
"Algunos algoritmos de resistencia cuántica se están volviendo importantes. Creo que algunos de los proyectos informáticos de múltiples partes se están volviendo importantes. Creo que hay algunas preguntas interesantes sobre IA y seguridad. Cuando combina sus modelos de capacitación, cómo gestiona, posiblemente los datos personales, sin compartirlos con todos, y existe un cruce entre la informática multiparte y algunos de los entornos de confianza y otros entornos de ejecución, muchas cosas diferentes en el mismo espacio en este momento y eso ciertamente me mantiene interesado.