Impulsando iniciativas de seguridad por diseño para empresas con éxito significativo
Ha sido alentador ver cómo el movimiento Secure-By-Design (SBD) de CISA ha cobrado impulso en todo el mundo, ya que Estados Unidos, Australia, Nueva Zelanda, Canadá, Singapur, Japón, Alemania y el Reino Unido se han comprometido a incorporar directrices similares en sus estrategias de ciberseguridad más amplias, y muchas de estas naciones también han contribuido a las recomendaciones originales.
Desde abril de 2024, más de 200 empresas, entre ellas Secure Code WarriorDesde abril de 2024, más de 200 empresas, entre las que se incluye el Reino Unido, han firmado el compromiso "Secure-by-Design", lo que indica un compromiso más amplio de la industria para mejorar la calidad del software y las normas de seguridad. Vemos estas directrices como un momento crucial para los líderes de la ciberseguridad que, por primera vez, cuentan con el apoyo de un gobierno mundial para un cambio cultural significativo en el desarrollo de software. Aunque estas recomendaciones aún no son obligatorias fuera de los proveedores de software que venden directamente al gobierno de EE.UU., veo esto no sólo como el futuro, sino como una oportunidad de oro para empezar a luchar contra los actores de amenazas. Un aspecto central de las directrices es el esfuerzo por eliminar las categorías de vulnerabilidades, y la concentración de toda la industria en este objetivo podría suponer el impacto positivo más significativo en la seguridad digital en décadas.
Creemos que este movimiento es fundamental, y nuestro último documento de investigación, Benchmarking Security Skills: Racionalización de la seguridad por diseño en la empresa es el resultado de un análisis en profundidad de iniciativas reales de Secure-by-Design a nivel empresarial, y de la derivación de enfoques de mejores prácticas basados en conclusiones basadas en datos.
Medición del ROI de los esfuerzos de seguridad por diseño de las organizaciones
La revisión de las prácticas de desarrollo de software establecidas desde hace mucho tiempo no es una tarea fácil. Los CISO suelen enfrentarse a desafíos cuando intentan demostrar el retorno de la inversión (ROI) y el valor comercial de las actividades del programa de seguridad, tanto a nivel de personal como de empresa, y muchos expresan una creciente frustración por la reducción presupuestaria y la falta de aceptación por parte de los altos ejecutivos de las nuevas iniciativas cibernéticas. Sin embargo, una propuesta respaldada por datos marcará la diferencia en este caso.
En los últimos años, la ausencia de un parámetro de referencia de habilidades que permita a las organizaciones evaluar su desempeño en relación con los estándares de la industria ha sido un desafío clave. Esto ha dificultado enormemente la creación e implementación de programas de seguridad que impacten en las áreas adecuadas y fomenten la mejora continua del grupo de desarrollo, un elemento crucial para el éxito de las prácticas de seguridad de software.
La clave para que las iniciativas de seguridad por diseño funcionen no es solo brindarles a los desarrolladores las habilidades necesarias para garantizar la seguridad del código, sino también garantizarles a los reguladores que esas habilidades están en su lugar. Por eso, decidimos analizar la preparación del equipo de desarrolladores y los resultados pueden sorprender.
Cómo las empresas que intentan acelerar sus iniciativas de SBD pueden aprovechar el índice de confianza
Es prácticamente imposible mejorar de manera eficiente sin una idea clara de dónde se comienza y hacia dónde se debe llegar. Sin embargo, cientos de clientes empresariales utilizan de manera eficaz SCW Trust Score (una referencia global que cuantifica las competencias de seguridad de los equipos de desarrolladores) para proporcionar estos puntos de datos útiles y granulares. Estos conocimientos dan forma a programas de seguridad altamente efectivos, impulsados por los desarrolladores, que favorecen el éxito de las iniciativas Secure-by-Design.
El análisis revelado en nuestro informe técnico muestra que las organizaciones de las principales industrias de infraestructura crítica están avanzando en la preparación de sus desarrolladores para avanzar en sus iniciativas de SBD. También descubrimos que los equipos de desarrolladores de estas industrias poseen una postura de seguridad promedio.
Secure Code Warrior El análisis de la capacitación de desarrolladores en las industrias de infraestructura crítica se basa en información obtenida de más de 20 millones de puntos de datos, de 600 clientes empresariales y más de 250.000 desarrolladores activos en todo el mundo. El análisis concluyó que:
- El número total de desarrolladores que actualmente participan en iniciativas de capacitación de SBD centradas en el desarrollador es menos del 4% de todos los desarrolladores a nivel mundial;
- La industria de servicios financieros tuvo el puntaje de confianza más alto, 336;
- La mayoría de las iniciativas de capacitación a gran escala de Secure-by-Design tienen éxito, mientras que las iniciativas a menor escala tienden a ser dispersas. Sin embargo, cuando se les da un mandato, se ha demostrado que ofrecen un retorno de la inversión (ROI) mensurable más rápidamente;
- Cuando las iniciativas de capacitación están firmemente en marcha, los riesgos introducidos por los desarrolladores en las aplicaciones son considerablemente menores. El análisis determinó que los desarrolladores que participan en grandes iniciativas de capacitación (más de 7000 desarrolladores en una sola empresa) pueden reducir de manera previsible las vulnerabilidades entre un 47 y un 53 %.
La solución | Conclusión
SCW Trust Score es una herramienta poderosa en el arsenal de cualquier líder de seguridad, que permite un análisis exhaustivo de áreas específicas dentro de una organización. Los informes se pueden filtrar según idiomas, equipos o categorías, lo que genera informes personalizados que permiten a las empresas abordar las necesidades específicas de los desarrolladores o equipos e identificar las áreas en las que se necesita capacitación o entrenamiento adicional. Después de todo, la seguridad es una tarea interminable; una evaluación comparativa eficaz del rendimiento ayudará a identificar oportunidades para la mejora continua.
El desarrollo y la implementación acelerados de software, junto con un panorama de amenazas cibernéticas cada vez más amenazador y unos reguladores cada vez más atentos, han puesto la ciberseguridad en primer plano. Las organizaciones, si aún no lo han hecho, deben priorizar el desarrollo de una cultura de seguridad en toda la empresa.
Nuestro último documento de investigación, Benchmarking Security Skills: Streamlining Secure-by-Design in the Enterprise, es el resultado de un análisis profundo de iniciativas reales de Secure-by-Design a nivel empresarial y de la derivación de enfoques de mejores prácticas basados en hallazgos basados en datos.
Matias Madou, Ph.D. es experto en seguridad, investigador y CTO y cofundador de Secure Code Warrior. Matias obtuvo su doctorado en Seguridad de Aplicaciones en la Universidad de Gante, centrándose en soluciones de análisis estático. Más tarde se incorporó a Fortify en EE.UU., donde se dio cuenta de que no bastaba con detectar problemas de código sin ayudar a los desarrolladores a escribir código seguro. Esto le inspiró para desarrollar productos que ayuden a los desarrolladores, alivien la carga de la seguridad y superen las expectativas de los clientes. Cuando no está en su escritorio como parte de Team Awesome, le gusta estar en el escenario presentando en conferencias como RSA Conference, BlackHat y DefCon.
Secure Code Warrior está a disposición de su organización para ayudarle a proteger el código a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados a un código inseguro.
Reservar una demostración
Matias Madou, Ph.D. es experto en seguridad, investigador y CTO y cofundador de Secure Code Warrior. Matias obtuvo su doctorado en Seguridad de Aplicaciones en la Universidad de Gante, centrándose en soluciones de análisis estático. Más tarde se incorporó a Fortify en EE.UU., donde se dio cuenta de que no bastaba con detectar problemas de código sin ayudar a los desarrolladores a escribir código seguro. Esto le inspiró para desarrollar productos que ayuden a los desarrolladores, alivien la carga de la seguridad y superen las expectativas de los clientes. Cuando no está en su escritorio como parte de Team Awesome, le gusta estar en el escenario presentando en conferencias como RSA Conference, BlackHat y DefCon.
Matías es un investigador y desarrollador con más de 15 años de experiencia práctica en seguridad de software. Ha desarrollado soluciones para empresas como Fortify Software y su propia empresa Sensei Security. A lo largo de su carrera, Matías ha dirigido múltiples proyectos de investigación sobre seguridad de aplicaciones que han dado lugar a productos comerciales y cuenta con más de 10 patentes en su haber. Cuando está lejos de su escritorio, Matias ha servido como instructor para la formación de seguridad de aplicaciones avanzadas courses y regularmente habla en conferencias mundiales como la Conferencia RSA, Black Hat, DefCon, BSIMM, OWASP AppSec y BruCon.
Matías es doctor en Ingeniería Informática por la Universidad de Gante, donde estudió la seguridad de las aplicaciones mediante la ofuscación de programas para ocultar el funcionamiento interno de una aplicación.
Ha sido alentador ver cómo el movimiento Secure-By-Design (SBD) de CISA ha cobrado impulso en todo el mundo, ya que Estados Unidos, Australia, Nueva Zelanda, Canadá, Singapur, Japón, Alemania y el Reino Unido se han comprometido a incorporar directrices similares en sus estrategias de ciberseguridad más amplias, y muchas de estas naciones también han contribuido a las recomendaciones originales.
Desde abril de 2024, más de 200 empresas, entre ellas Secure Code WarriorDesde abril de 2024, más de 200 empresas, entre las que se incluye el Reino Unido, han firmado el compromiso "Secure-by-Design", lo que indica un compromiso más amplio de la industria para mejorar la calidad del software y las normas de seguridad. Vemos estas directrices como un momento crucial para los líderes de la ciberseguridad que, por primera vez, cuentan con el apoyo de un gobierno mundial para un cambio cultural significativo en el desarrollo de software. Aunque estas recomendaciones aún no son obligatorias fuera de los proveedores de software que venden directamente al gobierno de EE.UU., veo esto no sólo como el futuro, sino como una oportunidad de oro para empezar a luchar contra los actores de amenazas. Un aspecto central de las directrices es el esfuerzo por eliminar las categorías de vulnerabilidades, y la concentración de toda la industria en este objetivo podría suponer el impacto positivo más significativo en la seguridad digital en décadas.
Creemos que este movimiento es fundamental, y nuestro último documento de investigación, Benchmarking Security Skills: Racionalización de la seguridad por diseño en la empresa es el resultado de un análisis en profundidad de iniciativas reales de Secure-by-Design a nivel empresarial, y de la derivación de enfoques de mejores prácticas basados en conclusiones basadas en datos.
Medición del ROI de los esfuerzos de seguridad por diseño de las organizaciones
La revisión de las prácticas de desarrollo de software establecidas desde hace mucho tiempo no es una tarea fácil. Los CISO suelen enfrentarse a desafíos cuando intentan demostrar el retorno de la inversión (ROI) y el valor comercial de las actividades del programa de seguridad, tanto a nivel de personal como de empresa, y muchos expresan una creciente frustración por la reducción presupuestaria y la falta de aceptación por parte de los altos ejecutivos de las nuevas iniciativas cibernéticas. Sin embargo, una propuesta respaldada por datos marcará la diferencia en este caso.
En los últimos años, la ausencia de un parámetro de referencia de habilidades que permita a las organizaciones evaluar su desempeño en relación con los estándares de la industria ha sido un desafío clave. Esto ha dificultado enormemente la creación e implementación de programas de seguridad que impacten en las áreas adecuadas y fomenten la mejora continua del grupo de desarrollo, un elemento crucial para el éxito de las prácticas de seguridad de software.
La clave para que las iniciativas de seguridad por diseño funcionen no es solo brindarles a los desarrolladores las habilidades necesarias para garantizar la seguridad del código, sino también garantizarles a los reguladores que esas habilidades están en su lugar. Por eso, decidimos analizar la preparación del equipo de desarrolladores y los resultados pueden sorprender.
Cómo las empresas que intentan acelerar sus iniciativas de SBD pueden aprovechar el índice de confianza
Es prácticamente imposible mejorar de manera eficiente sin una idea clara de dónde se comienza y hacia dónde se debe llegar. Sin embargo, cientos de clientes empresariales utilizan de manera eficaz SCW Trust Score (una referencia global que cuantifica las competencias de seguridad de los equipos de desarrolladores) para proporcionar estos puntos de datos útiles y granulares. Estos conocimientos dan forma a programas de seguridad altamente efectivos, impulsados por los desarrolladores, que favorecen el éxito de las iniciativas Secure-by-Design.
El análisis revelado en nuestro informe técnico muestra que las organizaciones de las principales industrias de infraestructura crítica están avanzando en la preparación de sus desarrolladores para avanzar en sus iniciativas de SBD. También descubrimos que los equipos de desarrolladores de estas industrias poseen una postura de seguridad promedio.
Secure Code Warrior El análisis de la capacitación de desarrolladores en las industrias de infraestructura crítica se basa en información obtenida de más de 20 millones de puntos de datos, de 600 clientes empresariales y más de 250.000 desarrolladores activos en todo el mundo. El análisis concluyó que:
- El número total de desarrolladores que actualmente participan en iniciativas de capacitación de SBD centradas en el desarrollador es menos del 4% de todos los desarrolladores a nivel mundial;
- La industria de servicios financieros tuvo el puntaje de confianza más alto, 336;
- La mayoría de las iniciativas de capacitación a gran escala de Secure-by-Design tienen éxito, mientras que las iniciativas a menor escala tienden a ser dispersas. Sin embargo, cuando se les da un mandato, se ha demostrado que ofrecen un retorno de la inversión (ROI) mensurable más rápidamente;
- Cuando las iniciativas de capacitación están firmemente en marcha, los riesgos introducidos por los desarrolladores en las aplicaciones son considerablemente menores. El análisis determinó que los desarrolladores que participan en grandes iniciativas de capacitación (más de 7000 desarrolladores en una sola empresa) pueden reducir de manera previsible las vulnerabilidades entre un 47 y un 53 %.
La solución | Conclusión
SCW Trust Score es una herramienta poderosa en el arsenal de cualquier líder de seguridad, que permite un análisis exhaustivo de áreas específicas dentro de una organización. Los informes se pueden filtrar según idiomas, equipos o categorías, lo que genera informes personalizados que permiten a las empresas abordar las necesidades específicas de los desarrolladores o equipos e identificar las áreas en las que se necesita capacitación o entrenamiento adicional. Después de todo, la seguridad es una tarea interminable; una evaluación comparativa eficaz del rendimiento ayudará a identificar oportunidades para la mejora continua.
El desarrollo y la implementación acelerados de software, junto con un panorama de amenazas cibernéticas cada vez más amenazador y unos reguladores cada vez más atentos, han puesto la ciberseguridad en primer plano. Las organizaciones, si aún no lo han hecho, deben priorizar el desarrollo de una cultura de seguridad en toda la empresa.
Ha sido alentador ver cómo el movimiento Secure-By-Design (SBD) de CISA ha cobrado impulso en todo el mundo, ya que Estados Unidos, Australia, Nueva Zelanda, Canadá, Singapur, Japón, Alemania y el Reino Unido se han comprometido a incorporar directrices similares en sus estrategias de ciberseguridad más amplias, y muchas de estas naciones también han contribuido a las recomendaciones originales.
Desde abril de 2024, más de 200 empresas, entre ellas Secure Code WarriorDesde abril de 2024, más de 200 empresas, entre las que se incluye el Reino Unido, han firmado el compromiso "Secure-by-Design", lo que indica un compromiso más amplio de la industria para mejorar la calidad del software y las normas de seguridad. Vemos estas directrices como un momento crucial para los líderes de la ciberseguridad que, por primera vez, cuentan con el apoyo de un gobierno mundial para un cambio cultural significativo en el desarrollo de software. Aunque estas recomendaciones aún no son obligatorias fuera de los proveedores de software que venden directamente al gobierno de EE.UU., veo esto no sólo como el futuro, sino como una oportunidad de oro para empezar a luchar contra los actores de amenazas. Un aspecto central de las directrices es el esfuerzo por eliminar las categorías de vulnerabilidades, y la concentración de toda la industria en este objetivo podría suponer el impacto positivo más significativo en la seguridad digital en décadas.
Creemos que este movimiento es fundamental, y nuestro último documento de investigación, Benchmarking Security Skills: Racionalización de la seguridad por diseño en la empresa es el resultado de un análisis en profundidad de iniciativas reales de Secure-by-Design a nivel empresarial, y de la derivación de enfoques de mejores prácticas basados en conclusiones basadas en datos.
Medición del ROI de los esfuerzos de seguridad por diseño de las organizaciones
La revisión de las prácticas de desarrollo de software establecidas desde hace mucho tiempo no es una tarea fácil. Los CISO suelen enfrentarse a desafíos cuando intentan demostrar el retorno de la inversión (ROI) y el valor comercial de las actividades del programa de seguridad, tanto a nivel de personal como de empresa, y muchos expresan una creciente frustración por la reducción presupuestaria y la falta de aceptación por parte de los altos ejecutivos de las nuevas iniciativas cibernéticas. Sin embargo, una propuesta respaldada por datos marcará la diferencia en este caso.
En los últimos años, la ausencia de un parámetro de referencia de habilidades que permita a las organizaciones evaluar su desempeño en relación con los estándares de la industria ha sido un desafío clave. Esto ha dificultado enormemente la creación e implementación de programas de seguridad que impacten en las áreas adecuadas y fomenten la mejora continua del grupo de desarrollo, un elemento crucial para el éxito de las prácticas de seguridad de software.
La clave para que las iniciativas de seguridad por diseño funcionen no es solo brindarles a los desarrolladores las habilidades necesarias para garantizar la seguridad del código, sino también garantizarles a los reguladores que esas habilidades están en su lugar. Por eso, decidimos analizar la preparación del equipo de desarrolladores y los resultados pueden sorprender.
Cómo las empresas que intentan acelerar sus iniciativas de SBD pueden aprovechar el índice de confianza
Es prácticamente imposible mejorar de manera eficiente sin una idea clara de dónde se comienza y hacia dónde se debe llegar. Sin embargo, cientos de clientes empresariales utilizan de manera eficaz SCW Trust Score (una referencia global que cuantifica las competencias de seguridad de los equipos de desarrolladores) para proporcionar estos puntos de datos útiles y granulares. Estos conocimientos dan forma a programas de seguridad altamente efectivos, impulsados por los desarrolladores, que favorecen el éxito de las iniciativas Secure-by-Design.
El análisis revelado en nuestro informe técnico muestra que las organizaciones de las principales industrias de infraestructura crítica están avanzando en la preparación de sus desarrolladores para avanzar en sus iniciativas de SBD. También descubrimos que los equipos de desarrolladores de estas industrias poseen una postura de seguridad promedio.
Secure Code Warrior El análisis de la capacitación de desarrolladores en las industrias de infraestructura crítica se basa en información obtenida de más de 20 millones de puntos de datos, de 600 clientes empresariales y más de 250.000 desarrolladores activos en todo el mundo. El análisis concluyó que:
- El número total de desarrolladores que actualmente participan en iniciativas de capacitación de SBD centradas en el desarrollador es menos del 4% de todos los desarrolladores a nivel mundial;
- La industria de servicios financieros tuvo el puntaje de confianza más alto, 336;
- La mayoría de las iniciativas de capacitación a gran escala de Secure-by-Design tienen éxito, mientras que las iniciativas a menor escala tienden a ser dispersas. Sin embargo, cuando se les da un mandato, se ha demostrado que ofrecen un retorno de la inversión (ROI) mensurable más rápidamente;
- Cuando las iniciativas de capacitación están firmemente en marcha, los riesgos introducidos por los desarrolladores en las aplicaciones son considerablemente menores. El análisis determinó que los desarrolladores que participan en grandes iniciativas de capacitación (más de 7000 desarrolladores en una sola empresa) pueden reducir de manera previsible las vulnerabilidades entre un 47 y un 53 %.
La solución | Conclusión
SCW Trust Score es una herramienta poderosa en el arsenal de cualquier líder de seguridad, que permite un análisis exhaustivo de áreas específicas dentro de una organización. Los informes se pueden filtrar según idiomas, equipos o categorías, lo que genera informes personalizados que permiten a las empresas abordar las necesidades específicas de los desarrolladores o equipos e identificar las áreas en las que se necesita capacitación o entrenamiento adicional. Después de todo, la seguridad es una tarea interminable; una evaluación comparativa eficaz del rendimiento ayudará a identificar oportunidades para la mejora continua.
El desarrollo y la implementación acelerados de software, junto con un panorama de amenazas cibernéticas cada vez más amenazador y unos reguladores cada vez más atentos, han puesto la ciberseguridad en primer plano. Las organizaciones, si aún no lo han hecho, deben priorizar el desarrollo de una cultura de seguridad en toda la empresa.
Haga clic en el siguiente enlace y descargue el PDF de este recurso.
Secure Code Warrior está a disposición de su organización para ayudarle a proteger el código a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados a un código inseguro.
Ver el informeReservar una demostración
Matias Madou, Ph.D. es experto en seguridad, investigador y CTO y cofundador de Secure Code Warrior. Matias obtuvo su doctorado en Seguridad de Aplicaciones en la Universidad de Gante, centrándose en soluciones de análisis estático. Más tarde se incorporó a Fortify en EE.UU., donde se dio cuenta de que no bastaba con detectar problemas de código sin ayudar a los desarrolladores a escribir código seguro. Esto le inspiró para desarrollar productos que ayuden a los desarrolladores, alivien la carga de la seguridad y superen las expectativas de los clientes. Cuando no está en su escritorio como parte de Team Awesome, le gusta estar en el escenario presentando en conferencias como RSA Conference, BlackHat y DefCon.
Matías es un investigador y desarrollador con más de 15 años de experiencia práctica en seguridad de software. Ha desarrollado soluciones para empresas como Fortify Software y su propia empresa Sensei Security. A lo largo de su carrera, Matías ha dirigido múltiples proyectos de investigación sobre seguridad de aplicaciones que han dado lugar a productos comerciales y cuenta con más de 10 patentes en su haber. Cuando está lejos de su escritorio, Matias ha servido como instructor para la formación de seguridad de aplicaciones avanzadas courses y regularmente habla en conferencias mundiales como la Conferencia RSA, Black Hat, DefCon, BSIMM, OWASP AppSec y BruCon.
Matías es doctor en Ingeniería Informática por la Universidad de Gante, donde estudió la seguridad de las aplicaciones mediante la ofuscación de programas para ocultar el funcionamiento interno de una aplicación.
Ha sido alentador ver cómo el movimiento Secure-By-Design (SBD) de CISA ha cobrado impulso en todo el mundo, ya que Estados Unidos, Australia, Nueva Zelanda, Canadá, Singapur, Japón, Alemania y el Reino Unido se han comprometido a incorporar directrices similares en sus estrategias de ciberseguridad más amplias, y muchas de estas naciones también han contribuido a las recomendaciones originales.
Desde abril de 2024, más de 200 empresas, entre ellas Secure Code WarriorDesde abril de 2024, más de 200 empresas, entre las que se incluye el Reino Unido, han firmado el compromiso "Secure-by-Design", lo que indica un compromiso más amplio de la industria para mejorar la calidad del software y las normas de seguridad. Vemos estas directrices como un momento crucial para los líderes de la ciberseguridad que, por primera vez, cuentan con el apoyo de un gobierno mundial para un cambio cultural significativo en el desarrollo de software. Aunque estas recomendaciones aún no son obligatorias fuera de los proveedores de software que venden directamente al gobierno de EE.UU., veo esto no sólo como el futuro, sino como una oportunidad de oro para empezar a luchar contra los actores de amenazas. Un aspecto central de las directrices es el esfuerzo por eliminar las categorías de vulnerabilidades, y la concentración de toda la industria en este objetivo podría suponer el impacto positivo más significativo en la seguridad digital en décadas.
Creemos que este movimiento es fundamental, y nuestro último documento de investigación, Benchmarking Security Skills: Racionalización de la seguridad por diseño en la empresa es el resultado de un análisis en profundidad de iniciativas reales de Secure-by-Design a nivel empresarial, y de la derivación de enfoques de mejores prácticas basados en conclusiones basadas en datos.
Medición del ROI de los esfuerzos de seguridad por diseño de las organizaciones
La revisión de las prácticas de desarrollo de software establecidas desde hace mucho tiempo no es una tarea fácil. Los CISO suelen enfrentarse a desafíos cuando intentan demostrar el retorno de la inversión (ROI) y el valor comercial de las actividades del programa de seguridad, tanto a nivel de personal como de empresa, y muchos expresan una creciente frustración por la reducción presupuestaria y la falta de aceptación por parte de los altos ejecutivos de las nuevas iniciativas cibernéticas. Sin embargo, una propuesta respaldada por datos marcará la diferencia en este caso.
En los últimos años, la ausencia de un parámetro de referencia de habilidades que permita a las organizaciones evaluar su desempeño en relación con los estándares de la industria ha sido un desafío clave. Esto ha dificultado enormemente la creación e implementación de programas de seguridad que impacten en las áreas adecuadas y fomenten la mejora continua del grupo de desarrollo, un elemento crucial para el éxito de las prácticas de seguridad de software.
La clave para que las iniciativas de seguridad por diseño funcionen no es solo brindarles a los desarrolladores las habilidades necesarias para garantizar la seguridad del código, sino también garantizarles a los reguladores que esas habilidades están en su lugar. Por eso, decidimos analizar la preparación del equipo de desarrolladores y los resultados pueden sorprender.
Cómo las empresas que intentan acelerar sus iniciativas de SBD pueden aprovechar el índice de confianza
Es prácticamente imposible mejorar de manera eficiente sin una idea clara de dónde se comienza y hacia dónde se debe llegar. Sin embargo, cientos de clientes empresariales utilizan de manera eficaz SCW Trust Score (una referencia global que cuantifica las competencias de seguridad de los equipos de desarrolladores) para proporcionar estos puntos de datos útiles y granulares. Estos conocimientos dan forma a programas de seguridad altamente efectivos, impulsados por los desarrolladores, que favorecen el éxito de las iniciativas Secure-by-Design.
El análisis revelado en nuestro informe técnico muestra que las organizaciones de las principales industrias de infraestructura crítica están avanzando en la preparación de sus desarrolladores para avanzar en sus iniciativas de SBD. También descubrimos que los equipos de desarrolladores de estas industrias poseen una postura de seguridad promedio.
Secure Code Warrior El análisis de la capacitación de desarrolladores en las industrias de infraestructura crítica se basa en información obtenida de más de 20 millones de puntos de datos, de 600 clientes empresariales y más de 250.000 desarrolladores activos en todo el mundo. El análisis concluyó que:
- El número total de desarrolladores que actualmente participan en iniciativas de capacitación de SBD centradas en el desarrollador es menos del 4% de todos los desarrolladores a nivel mundial;
- La industria de servicios financieros tuvo el puntaje de confianza más alto, 336;
- La mayoría de las iniciativas de capacitación a gran escala de Secure-by-Design tienen éxito, mientras que las iniciativas a menor escala tienden a ser dispersas. Sin embargo, cuando se les da un mandato, se ha demostrado que ofrecen un retorno de la inversión (ROI) mensurable más rápidamente;
- Cuando las iniciativas de capacitación están firmemente en marcha, los riesgos introducidos por los desarrolladores en las aplicaciones son considerablemente menores. El análisis determinó que los desarrolladores que participan en grandes iniciativas de capacitación (más de 7000 desarrolladores en una sola empresa) pueden reducir de manera previsible las vulnerabilidades entre un 47 y un 53 %.
La solución | Conclusión
SCW Trust Score es una herramienta poderosa en el arsenal de cualquier líder de seguridad, que permite un análisis exhaustivo de áreas específicas dentro de una organización. Los informes se pueden filtrar según idiomas, equipos o categorías, lo que genera informes personalizados que permiten a las empresas abordar las necesidades específicas de los desarrolladores o equipos e identificar las áreas en las que se necesita capacitación o entrenamiento adicional. Después de todo, la seguridad es una tarea interminable; una evaluación comparativa eficaz del rendimiento ayudará a identificar oportunidades para la mejora continua.
El desarrollo y la implementación acelerados de software, junto con un panorama de amenazas cibernéticas cada vez más amenazador y unos reguladores cada vez más atentos, han puesto la ciberseguridad en primer plano. Las organizaciones, si aún no lo han hecho, deben priorizar el desarrollo de una cultura de seguridad en toda la empresa.
Índice
Matias Madou, Ph.D. es experto en seguridad, investigador y CTO y cofundador de Secure Code Warrior. Matias obtuvo su doctorado en Seguridad de Aplicaciones en la Universidad de Gante, centrándose en soluciones de análisis estático. Más tarde se incorporó a Fortify en EE.UU., donde se dio cuenta de que no bastaba con detectar problemas de código sin ayudar a los desarrolladores a escribir código seguro. Esto le inspiró para desarrollar productos que ayuden a los desarrolladores, alivien la carga de la seguridad y superen las expectativas de los clientes. Cuando no está en su escritorio como parte de Team Awesome, le gusta estar en el escenario presentando en conferencias como RSA Conference, BlackHat y DefCon.
Secure Code Warrior está a disposición de su organización para ayudarle a proteger el código a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados a un código inseguro.
Reservar una demostraciónDescargarRecursos para empezar
Asistentes de codificación de IA: Guía de navegación segura para la próxima generación de desarrolladores
Los grandes modelos lingüísticos ofrecen ventajas irresistibles en velocidad y productividad, pero también introducen riesgos innegables para la empresa. Las barandillas de seguridad tradicionales no bastan para controlar el diluvio. Los desarrolladores necesitan conocimientos de seguridad precisos y verificados para identificar y prevenir los fallos de seguridad desde el principio del ciclo de vida de desarrollo del software.
Seguridad desde el diseño: Definición de las mejores prácticas, capacitación de los desarrolladores y evaluación comparativa de los resultados de la seguridad preventiva
En este documento de investigación, los cofundadores Secure Code Warrior , Pieter Danhieux y el Dr. Matias Madou, Ph.D., junto con los expertos colaboradores, Chris Inglis, ex Director Nacional Cibernético de EE.UU. (ahora Asesor Estratégico de Paladin Capital Group), y Devin Lynch, Director Senior, Paladin Global Institute, revelarán los hallazgos clave de más de veinte entrevistas en profundidad con líderes de seguridad empresarial, incluyendo CISOs, un VP de Seguridad de Aplicaciones y profesionales de seguridad de software.
Recursos para empezar
Estableciendo el estándar: SCW publica reglas de seguridad de codificación de IA gratuitas en GitHub
El desarrollo asistido por IA ya no es una posibilidad: ya está aquí y está transformando rápidamente la forma de escribir software. Herramientas como GitHub Copilot, Cline, Roo, Cursor, Aider y Windsurf están transformando a los desarrolladores en sus propios copilotos, permitiendo iteraciones más rápidas y acelerando todo, desde la creación de prototipos hasta grandes proyectos de refactorización.
Cierre el círculo de las vulnerabilidades con Secure Code Warrior + HackerOne
Secure Code Warrior se complace en anunciar nuestra nueva integración con HackerOne, líder en soluciones de seguridad ofensiva. Juntos, estamos construyendo un ecosistema potente e integrado. HackerOne señala dónde se producen realmente las vulnerabilidades en entornos reales, exponiendo el "qué" y el "dónde" de los problemas de seguridad.
Revelado: Cómo define el sector cibernético la seguridad por diseño
En nuestro último libro blanco, nuestros cofundadores, Pieter Danhieux y el doctor Matias Madou, se sentaron con más de veinte líderes de seguridad empresarial, incluidos CISO, líderes de AppSec y profesionales de la seguridad, para averiguar las piezas clave de este rompecabezas y descubrir la realidad detrás del movimiento Secure by Design. Se trata de una ambición compartida por todos los equipos de seguridad, pero no de un libro de jugadas compartido.
Codificación orientada al desarrollador.
Con seguridad.
Póngase en contacto con nosotros hoy mismo y haga de la seguridad del software una parte intrínseca de su proceso de desarrollo.
