Apenas 52% de componentes de código aberto em aplicativos recebem atualizações de segurança

Uma pesquisa realizada pela CA Veracode, adquirida pela CA Technologies, esclarece a segurança dos componentes de código aberto. De acordo com o levantamento, quase metade dos programadores (48%) não atualiza soluções open source ou comerciais quando o mercado divulga uma vulnerabilidade. Este e outros dados destacam a falta de conscientização das empresas que ficam sob risco.

Segundo a pesquisa, 83% dos entrevistados usam, em média, 73 componentes de terceiros durante a produção de um software e embora os componentes aumentem a eficiência dos desenvolvedores e o seu uso seja recomendado, eles apresentam riscos de segurança.

71 vulnerabilidades de códigos de terceiros por app

Apesar de 71% das companhias afirmarem que possuem um programa formal de segurança de aplicativos (AppSec), apenas 23% dos entrevistados testam as vulnerabilidades dos componentes em cada lançamento. O levantamento aponta, ainda que são encontradas uma média de 71 vulnerabilidades, inseridas por códigos de terceiros, em cada aplicativo.

Apenas 53% das organizações mantêm um inventário de todos os componentes usados em seus aplicativos. De acordo com o The State of Software Security Report 2017, menos de 28% das empresas realizam análises regulares sobre a composição do seus softwares para entender quais componentes estão incorporados e podem causar problemas.

Pete Chestna, diretor de engajamento de desenvolvedores da CA Veracode, afirma que, para ter sucesso, os desenvolvedores precisam conhecer a política de segurança e as ferramentas de medição. “Quando a meta é clara e damos aos profissionais acesso a essas ferramentas, eles podem integrar os testes desde o início do desenvolvimento e tomar melhores decisões, que levem a segurança em consideração”, explica.

O relatório mostra que as equipes de desenvolvimento (44%) ou segurança (31%) são os principais responsáveis pela manutenção de componentes de terceiros, o que aumenta a responsabilidade da equipe de desenvolvimento. Com a conscientização sobre o risco de código aberto cada vez maior, é importante fornecer soluções, treinamento e visibilidade aos desenvolvedores para mitigar os riscos, para desenvolver aplicativos melhores e mais rápido.