Basato sulla tecnologia IBM watsonx^™ IBM^® Concert è una soluzione progettata per ottimizzare le operazioni e la gestione delle applicazioni. E il team di sviluppo responsabile di questa offerta era sotto pressione per consegnare il prodotto alla disponibilità generale (GA), rispettando al contempo i severi requisiti di IBM per la mitigazione dei rischi di sicurezza nel codice del prodotto.

Si tratta di una sfida conosciuta ai team di sviluppo di prodotti di tutto il mondo: parallelamente allo sviluppo, gli strumenti di valutazione della sicurezza scansionano il codice e generano elenchi di centinaia o migliaia di vulnerabilità ed esposizioni comuni (CVE). La maggior parte delle CVE non risulta critica, ma il lavoro di andare a setacciare gli elenchi e dare priorità alle correzioni può rallentare notevolmente lo sviluppo. Se i problemi critici non vengono rilevati fino alla fine del ciclo di sviluppo, ricompilare ed eseguire nuovi test può far perdere molto tempo. Pertanto, la prontezza del prodotto e, in ultima analisi, i ricavi sono legati a una corretta gestione della CVE.

Fortunatamente per il team di sviluppo di Concert, una soluzione innovativa era proprio a portata di mano. Uno dei principali casi d'uso supportati da Concert è la semplificazione della gestione della CVE. Per questo motivo gli sviluppatori del prodotto sono diventati alcuni dei suoi primi clienti soddisfatti.

Utilizzando Concert, il team di sviluppo ha creato un approccio più intelligente e semplificato alla gestione CVE. In precedenza, il team si affidava a un paio di strumenti di valutazione della sicurezza di terze parti che generavano elenchi univoci di CVE, inclusi i punteggi di priorità. Il team analizzava e correlava quindi manualmente i due elenchi e, successivamente, comunicava con l'ufficio del Chief Information Security Officer (CISO) di IBM per concordare le priorità.

Ora, i dati provenienti dagli strumenti di terze parti confluiscono in Concert, che produce un elenco CVE unificato con una prioritizzazione più intelligente. L'AI alla base del software analizza il modo in cui ogni CVE si relaziona con l'intero ambiente dell'applicazione, comprese le connessioni e i punti di ingresso e ne tiene conto nella sua classifica di priorità.

I CVE e i punteggi di priorità vengono visualizzati anche su una mappa grafica, il che aiuta gli sviluppatori a capire rapidamente in che modo ogni CVE si riferisce all'applicazione e dove è necessario intervenire prima. "Concert va oltre gli altri strumenti di scansione", afferma Mahesh Dashora, Program Director of QA and Security and Release Engineering presso IBM. "Stiamo ottenendo un migliore insight delle esposizioni, così da poter risolvere gli elementi importanti più rapidamente."

Il team ha beneficiato anche di queste funzioni aggiuntive di Concert:

• Concert fa emergere le CVE duplicate, aiutando il team a risolvere i problemi in più punti con un'unica correzione.
  
  
• Concert fornisce una dashboard che mostra chiaramente le CVE, i punteggi di priorità e il contesto di supporto, consentendo un allineamento efficiente con l'ufficio del CISO.
  
  
• Concert può essere integrato con GitHub, facilitando così la rapida raccolta di ticket di servizio con dettagli sulla correzione, per contribuire ad accelerare le correzioni.
  
  
• Concert fornisce una memorizzazione Evidence per documentare tutte le decisioni relative ai CVE, a supporto della preparazione alla verifica.