En tant qu'architecte en chef de la sécurité chez Red Hat, Mike Bursell passe ses journées à parler de sécurité à la fois à l'intérieur et à l'extérieur de l'entreprise. Son travail, nous dit-il en marge du Sommet Open Source Europe 2019 à Lyon, en France, consiste à encourager les gens à réfléchir à la sécurité. Parlant des défis de la sécurité dans le monde conteneurisé d’aujourd’hui, Mike a déclaré que le changement de culture ne se limitait pas à la technologie. Les gens oublient qu’il s’agit d’un changement culturel: Il s’agit du temps de développement, du temps de test et du temps de provisionnement, ainsi que de la fermeture des conteneurs. ”
Son conseil aux gens est de suivre la règle séculaire et de penser à la sécurité dès la phase de conception: «Si vous utilisez DevOps pour une méthodologie agile, vous ne pouvez pas attendre deux semaines avant de vous déployer pour mettre en place la sécurité. vous déployez toutes les deux semaines, par exemple. Donc, vous devez en faire une partie du cycle. "
La seule solution consiste alors à intégrer la sécurité dans le processus CI / CD:
«Si, par exemple, vous avez pour règle de n'accepter que les images de conteneur d'un référentiel de confiance, vous devez vous assurer que cela est automatisé. Vous ne pouvez pas vous attendre à ce que vos ingénieurs sachent ce que ces bonnes choses devraient être. De même, vous pourriez dire que je vais m'assurer qu'aucun de mes conteneurs ne dure plus de 24 heures, je les redémarre toujours. Mais vous voulez vous assurer que lorsque vous redémarrez les conteneurs, vous prenez la dernière image, car des correctifs ont peut-être été fournis. Donc, vous voulez vous assurer que cela fonctionne dans votre suite de tests automatisés. ”
Sommaire
Penser au-delà des feuilles de route
Une partie du travail de Mike consiste à aller au-delà des feuilles de route. Il travaille avec un certain nombre de responsables de produits de Red Hat sur «ce qui va arriver, ce qui est intéressant, ce qui est intéressant», et à réfléchir à la manière dont ils peuvent intégrer des éléments qui ont un sens. leurs feuilles de route.
Parlant à long terme, Mike parle de l’importance de Enarx, un projet qu'il a cofondé, vise à permettre aux applications de s'exécuter dans des environnements d'exécution de confiance, complètement indépendantes des plates-formes et des kits de développement logiciel (SDK).
Outre Enarx, il surveille également plusieurs projets de sécurité:
«Certains algorithmes de résistance quantique deviennent importants. Je pense que certains des projets de calcul multipartites deviennent importants. Je pense qu'il y a des questions intéressantes sur l'IA et la sécurité. Lorsque vous mettez vos modèles de formation ensemble, comment vous gérez, éventuellement des données personnelles, sans les partager avec tout le monde, et il y a un croisement entre le calcul multipartite et certains des environnements d'exécution de confiance et autres, beaucoup de choses différentes en quelque sorte dans le même espace pour le moment et cela me tient certainement intéressé.
