Conciencia de seguridad certificada: Una orden ejecutiva para elevar a los desarrolladores

Si existe algo así como la oportunidad divina, hay que decir que la Administración Biden la ha clavado con el anuncio de su Orden Ejecutiva (OE ), que aborda el plan del gobierno de EE.UU. para endurecer las redes federales, así como mejorar las normas de ciberseguridad y las mejores prácticas en todo el país. Esta estrategia sigue a dos recientes y devastadores ciberataques: la actual violación de la cadena de suministro de SolarWinds, además del ataque a la infraestructura de gas de Colonial Pipeline.

Si bien estos acontecimientos causaron sin duda ondas en todos los niveles del gobierno, esta directiva marca un momento emocionante para el futuro de la ciberseguridad. Parece que por fin nos estamos tomando en serio la protección de nuestra existencia digital desde arriba, y no hay mejor momento para impulsar mejores normas y software de mayor calidad que este.

La OE toca muchos aspectos de la ciberseguridad funcional, pero por primera vez, destaca específicamente el impacto de los desarrolladores, y la necesidad de que tengan habilidades y conciencia de seguridad verificadas. Durante años, hemos gritado a los cuatro vientos que este es el camino a seguir para combatir las vulnerabilidades comunes que tan a menudo nos hacen tropezar, y que los mandatos gubernamentales se alineen con este enfoque es el camino hacia el éxito generalizado en la ciberdefensa.

¿Cómo deben responder las organizaciones -y los departamentos federales- a esta orden? Desgranemos algunas categorías principales.

El "tic-tac" está fuera de la mesa. 

Hace tiempo que señalamos la ineficacia de la mayoría de los tipos de formación en ciberseguridad para desarrolladores. A menudo es demasiado genérica, no se imparte de manera que atraiga e inspire el resultado deseado (léase: código más seguro), y se toca con muy poca frecuencia. Y lo que es peor, muchas empresas se contentan con una formación "de cajón": un enfoque que ofrece lo mínimo, lo básico "de una vez" para cumplir un requisito operativo y conseguir una marca junto al nombre del desarrollador. Estas estrategias de formación son las que mantienen a todos los CISO en el filo de la navaja, cruzando los dedos y esperando que su empresa no sea víctima de la próxima brecha de día cero. Simplemente no funcionan para reducir las vulnerabilidades y crear un código de mayor calidad. 

En la sección 4 del mandato de Biden, se aclara la necesidad de que una organización demuestre que sus desarrolladores muestran un cumplimiento de seguridad documentado y verificado:

‍

"Las directrices incluirán criterios que puedan utilizarse para evaluar la seguridad del software, incluirán criterios para evaluar las prácticas de seguridad de los propios desarrolladores y proveedores, e identificarán herramientas o métodos innovadores para demostrar la conformidad con las prácticas seguras.”

Hay un pequeño problema: actualmente no existe ninguna certificación estándar del sector específica para desarrolladores. Poder evaluar el nivel de conocimientos de codificación segura de los desarrolladores y trabajar con courses y evaluaciones para mejorar esas habilidades es fundamental, ya que permite a las empresas establecer objetivos y lograr el cumplimiento. Cuando los desarrolladores pueden demostrar sus competencias básicas en un entorno práctico, esto puede evaluarse y certificarse de forma significativa y fiable. Es el núcleo de nuestra oferta en Secure Code Warrior, y hemos trabajado duro para crear un sistema que pueda ser utilizado para una certificación fiable que se adapte a su pila tecnológica y a los requisitos de la organización. 

Estas habilidades son valiosas y no pueden automatizarse. La certificación puede transformar a los desarrolladores en una fuerza consciente de la seguridad que puede defender el código base contra amenazas insidiosas. 

‍

Un enfoque en las herramientas para desarrolladores (y herramientas en general).

Además de las directrices relativas a la verificación de las prácticas de codificación seguras, la OE profundiza bastante en el aspecto de la automatización y las herramientas de seguridad. 

Desde el punto de vista de la seguridad, se produce demasiado código para que los seres humanos puedan manejarlo solos, y la automatización -como parte de una amplia pila tecnológica- es una parte importante de todo programa de seguridad, como debería ser. Sin embargo, no todas las herramientas son iguales, y no hay "una herramienta que los gobierne a todos" que detecte todas las vulnerabilidades, en todos los lenguajes de programación. Un gran programa de seguridad adopta un enfoque matizado, especialmente cuando se trata de herramientas y servicios dirigidos a los desarrolladores.

La sección 3 de la OE resume las expectativas de los proveedores que crean programas informáticos susceptibles de ser utilizados por el gobierno federal, así como directrices instructivas en torno al uso de herramientas en el proceso de desarrollo:

‍

"iii) el empleo de herramientas automatizadas, o procesos comparables, para mantener cadenas de suministro de código fuente de confianza, garantizando así la integridad del código;
iv) el empleo de herramientas automatizadas, o procesos comparables, que comprueben las vulnerabilidades conocidas y potenciales y las corrijan, que funcionarán regularmente, o como mínimo antes del lanzamiento de productos, versiones o actualizaciones.”

Las herramientas de seguridad en la pila tecnológica de los desarrolladores son una de las formas de mejorar las mejores prácticas de seguridad a gran velocidad, garantizando que los lanzamientos tengan la mejor oportunidad de cumplir con los plazos y que no se retrasen por fallos de seguridad y otros obstáculos. Sin embargo, la cuestión es que los desarrolladores seguirán necesitando un aprendizaje contextual para hacer el mejor uso de las herramientas más potentes. Es crucial que entiendan lo que se ha marcado, por qué es peligroso y cómo remediarlo, y hará que las herramientas identifiquen menos errores en primer lugar. 

Las mejores herramientas se integrarán en el entorno de los desarrolladores, ayudándoles a producir un código de mayor calidad (y más seguro), y garantizando que la seguridad se mantenga en primer plano. 

‍

Asegurar la cadena de suministro.

Una de mis partes favoritas de la OE son los planes integrales para asegurar la cadena de suministro de software. Esto no es sorprendente, dado el evento de SolarWinds, pero es un punto importante:

"La seguridad del software utilizado por el Gobierno Federal es vital para la capacidad de éste de realizar sus funciones críticas. El desarrollo de software comercial carece a menudo de transparencia, de una atención suficiente a la capacidad del software para resistir los ataques y de controles adecuados para evitar la manipulación por parte de agentes maliciosos. Hay una necesidad apremiante de implementar mecanismos más rigurosos y predecibles para garantizar que los productos funcionen de forma segura y según lo previsto... el Gobierno Federal debe tomar medidas para mejorar rápidamente la seguridad y la integridad de la cadena de suministro de software, con una prioridad en el tratamiento del software crítico.”

Este fallo afectará a cualquier empresa de software que quiera hacer negocios con el gobierno de Estados Unidos, pero debería aplicarse como norma en todas partes. La falta de transparencia de los proveedores de terceros (por no hablar de los desarrolladores que hacen uso de componentes de terceros) sobre sus medidas de seguridad hace que sea increíblemente difícil evaluar, validar y declarar que se cumplen las mejores prácticas de ciberseguridad. Debemos analizar los proveedores que utilizamos y el software que escriben. Estas acciones pueden verse como la "milla extra", pero deberían ser inherentes a un estándar de oro de las mejores prácticas de ciberseguridad.

El envío de código seguro con confianza ha sido un punto de dolor en nuestra industria durante mucho tiempo, pero esta es la oportunidad perfecta para evaluar los procesos actuales y liderar la carga hacia el software reforzado y la infraestructura en la nube que es la envidia de los que se quedan atrás. Hable con nosotros ahora y descubra cómo puede aprovechar Coursesy las herramientas para desarrolladores para certificar a su próximo equipo de desarrolladores conscientes de la seguridad.

‍