Cara Shift-Left dan menangkap risiko keamanan lebih awal di seluruh aplikasi dan infrastruktur

Masalah keamanan yang ditemukan dalam produksi membawa risiko bisnis yang nyata. Pemadaman, kegagalan kepatuhan, dan rilis yang tertunda sering dimulai dengan kerentanan yang diperkenalkan jauh lebih awal dalam siklus pengembangan.

Tantangannya adalah pengaturan waktu. Pemeriksaan keamanan sering terjadi setelah kode telah ditulis, digabungkan, atau digunakan. Pada saat itu, kerentanan tidak lagi terisolasi; mereka tertanam di seluruh aplikasi, infrastruktur, dan dependensi, yang membuat remediasi menjadi lebih kompleks.

Data membuat dampaknya jelas:

• Memperbaiki masalah dalam produksi dapat menghabiskan biaya hingga 30 kali lebih banyak daripada menyelesaikannya selama desain.
• Organisasi yang menerapkan manajemen paparan berkelanjutan memiliki kemungkinan tiga kali lebih kecil untuk pengalaman pelanggaran keamanan.
• Bahkan celah dasar, seperti manajemen sertifikat, menciptakan risiko, dengan 25% sertifikat SSL/TLS kedaluwarsa kapan saja.

Pada saat yang sama, kecepatan pengembangan semakin cepat. AI, otomatisasi, dan DevOps memungkinkan tim bergerak lebih cepat dari sebelumnya, sementara sistem terus tumbuh lebih kompleks, mencakup aplikasi, infrastruktur, dependensi, dan lingkungan cloud. Tinjauan kode manual dan pemeriksaan kebijakan terkenal tidak dapat diandalkan—25% peringatan yang dipicu oleh alur kerja manual adalah positif palsu, meningkatkan risiko kesalahan manusia dan memperlambat siklus penerapan.

Hasilnya adalah jendela paparan yang semakin besar di mana kerentanan dapat masuk, menyebar, dan menjadi lebih sulit untuk dikendalikan.

Model pengembangan modern telah melampaui pendekatan keamanan tradisional. Apa yang pernah bekerja dalam siklus rilis yang lebih lambat tidak dapat lagi mengimbangi pengiriman berkelanjutan.

Beberapa faktor yang mendorong kesenjangan ini:

• Penemuan di tahap akhir mengganggu proses pengiriman: Masalah keamanan sering muncul setelah penggabungan atau penerapan, memaksa pengerjaan ulang, pengembalian ke versi sebelumnya, dan penundaan rilis.
• AI mempercepat kecepatan dan risiko: Sekitar 40% kode dihasilkan AI, meningkatkan output tetapi juga kemungkinan memperkenalkan kerentanan dalam skala besar.
• Pengerjaan ulang menghabiskan sumber daya: Antara 20–30% anggaran TI dihabiskan untuk mempertahankan kode berkualitas rendah dan mengatasi utang teknis.

Pola-pola ini memperkuat masalah inti: keamanan sebagian besar masih reaktif.

Ketika deteksi terjadi terlambat, tim dipaksa untuk memadamkan kebakaran, mengalihkan waktu, anggaran, dan fokus dari inovasi. Ketika sistem menjadi lebih saling berhubungan, kerentanan dapat menyebar di beberapa lapisan sebelum tertangkap.

Sementara itu, keamanan tidak dapat lagi berfungsi sebagai pos pemeriksaan akhir di akhir penerapan. Platform modern menghadapi tantangan seperti infrastruktur yang berubah dengan cepat, tata kelola yang digerakkan oleh manusia yang tertunda, meluasnya penggunaan kredensial yang berumur panjang dan statis dan penyimpangan konfigurasi yang disebabkan oleh proses manual. Untuk mengimbangi, keamanan harus berkembang menjadi praktik yang dapat diprogram, otomatis, dan berkelanjutan yang disematkan sepanjang siklus penerapan.

Untuk mengimbangi pengiriman perangkat lunak modern, organisasi mengadopsi pendekatan shift-left, memindahkan keamanan lebih awal ke siklus pengembangan perangkat lunak (SDLC).

Alih-alih memperlakukan keamanan sebagai pemeriksaan lanjutan, keamanan menjadi bagian dari bagaimana tim merancang, membangun, dan menerapkan perangkat lunak. Pendekatan ini mengurangi waktu antara pengenalan kerentanan dan remediasi—dan mencegah masalah bertambah.

Model shift-left biasanya memperkenalkan beberapa praktik utama:

• Deteksi kerentanan pada titik pembuatan kode, bukan setelah penerapan.
• Prioritaskan risiko berdasarkan dampak dan konteks dunia nyata, bukan hanya skor keparahan.
• Memungkinkan pengembang untuk memperbaiki masalah segera, tanpa mengganggu alur kerja mereka.
• Integrasikan pemeriksaan keamanan langsung ke pipeline CI/CD.

Untuk infrastruktur, pendekatan yang sama ini berlaku sebelumnya dalam siklus hidup penyediaan:

• Menegakkan kebijakan kepatuhan sebelum Sumber daya menerapkan. 
• Kelola rahasia dengan aman untuk mengurangi eksposur kredensial.
• Pertahankan jejak audit dan tata kelola di seluruh lingkungan. 
• Standardisasi konfigurasi untuk mengurangi risiko penyimpangan dan kesalahan konfigurasi.

Bersama-sama, praktik-praktik ini membantu organisasi mengurangi biaya remediasi, mempercepat pengiriman, dan mengecilkan permukaan serangan mereka tanpa memperlambat pengembangan.

Mengadopsi prinsip shift-left membutuhkan lebih dari sekadar perubahan proses. Hal ini membutuhkan pendekatan berkelanjutan dan terintegrasi untuk manajemen eksposur di seluruh tumpukan teknologi.

Dalam praktiknya, tim berkinerja tinggi bergerak menuju model yang menekankan:

• Deteksi dini: Mengidentifikasi kerentanan saat kode sedang ditulis, mencegah kegagalan hilir. 
• Remediasi otomatis: Mengurangi upaya manual dengan menyelesaikan masalah berulang secara langsung dalam alur kerja.
• Pembelajaran berkelanjutan: Meningkatkan prioritas dan mengurangi kebisingan dengan setiap siklus rilis.
• Visibilitas terpadu: Menghubungkan wawasan di seluruh kode, infrastruktur, dependensi, dan waktu proses.
• Kolaborasi lintas fungsi: Memungkinkan pengembang, operasi, dan tim keamanan untuk bekerja sama dengan akuntabilitas bersama untuk penegakan keamanan menyeluruh—mulai dari pengembangan kode hingga penerapan dan waktu proses.
• Praktik terbaik yang terstandardisasi dan alur kerja ideal: Membangun pola penerapan yang konsisten, pembatas keamanan, serta alur kerja otomatisasi yang telah disetujui untuk mengurangi celah keamanan, meminimalkan penyimpangan konfigurasi, dan meningkatkan keandalan produksi serta efisiensi operasional.

Praktik ini menciptakan loop masukan di mana keamanan terus dinilai, disempurnakan, dan ditegakkan melalui seluruh siklus hidup dari pengembangan hingga penerapan—daripada diterapkan secara sporadis di akhir pengiriman.

Hasilnya adalah perubahan terukur dengan kejutan tahap akhir yang lebih sedikit, risiko operasional yang berkurang, rilis yang lebih cepat dan lebih dapat diprediksi, dan penggunaan sumber daya rekayasa yang lebih efisien.

Seiring perkembangan terus Lanjutkan berakselerasi—dan AI meningkatkan kecepatan dan kompleksitas—keamanan harus berkembang untuk mengimbangi kecepatan.

Perubahan ini pada prinsipnya cukup sederhana: pindahkan aspek keamanan ke tahap awal dan jadikan itu bagian dari cara tim membangun, bukan sesuatu yang terjadi setelahnya.

Organisasi yang berhasil menerapkan pendekatan ini dapat mendeteksi kerentanan sebelum berkembang menjadi masalah operasional, meminimalkan pekerjaan ulang yang mahal dan gangguan di lingkungan produksi, serta menjaga kepatuhan tanpa menimbulkan kemacetan. Praktik ini memungkinkan mereka untuk menghadirkan perangkat lunak yang aman sejak awal perancangan.

Pada akhirnya, perangkat lunak tangguh tidak dibangun dalam produksi. Ini dibangun ke dalam setiap tahap siklus hidup—dari baris pertama kode hingga infrastruktur yang menjalankannya.

Pelajari cara mengidentifikasi risiko perangkat lunak di awal siklus pengembangan dan penerapan

Pelajari bagaimana IBM® Concert mengubah manajemen eksposur

Jelajahi bagaimana Terraform menegakkan infrastruktur yang aman dalam skala besar

Lihat cara mengalihkan keamanan ke kiri di seluruh SDLC Anda

Jelajahi IBM® Secure Coder