Impulsando iniciativas de seguridad por diseño para empresas con éxito significativo

Ha sido alentador ver cómo el movimiento Secure-By-Design (SBD) de CISA ha cobrado impulso en todo el mundo, ya que Estados Unidos, Australia, Nueva Zelanda, Canadá, Singapur, Japón, Alemania y el Reino Unido se han comprometido a incorporar directrices similares en sus estrategias de ciberseguridad más amplias, y muchas de estas naciones también han contribuido a las recomendaciones originales.

Desde abril de 2024, más de 200 empresas, entre ellas Secure Code WarriorDesde abril de 2024, más de 200 empresas, entre las que se incluye el Reino Unido, han firmado el compromiso "Secure-by-Design", lo que indica un compromiso más amplio de la industria para mejorar la calidad del software y las normas de seguridad. Vemos estas directrices como un momento crucial para los líderes de la ciberseguridad que, por primera vez, cuentan con el apoyo de un gobierno mundial para un cambio cultural significativo en el desarrollo de software. Aunque estas recomendaciones aún no son obligatorias fuera de los proveedores de software que venden directamente al gobierno de EE.UU., veo esto no sólo como el futuro, sino como una oportunidad de oro para empezar a luchar contra los actores de amenazas. Un aspecto central de las directrices es el esfuerzo por eliminar las categorías de vulnerabilidades, y la concentración de toda la industria en este objetivo podría suponer el impacto positivo más significativo en la seguridad digital en décadas.

Creemos que este movimiento es fundamental, y nuestro último documento de investigación, Benchmarking Security Skills: Racionalización de la seguridad por diseño en la empresa es el resultado de un análisis en profundidad de iniciativas reales de Secure-by-Design a nivel empresarial, y de la derivación de enfoques de mejores prácticas basados en conclusiones basadas en datos. 

Medición del ROI de los esfuerzos de seguridad por diseño de las organizaciones

La revisión de las prácticas de desarrollo de software establecidas desde hace mucho tiempo no es una tarea fácil. Los CISO suelen enfrentarse a desafíos cuando intentan demostrar el retorno de la inversión (ROI) y el valor comercial de las actividades del programa de seguridad, tanto a nivel de personal como de empresa, y muchos expresan una creciente frustración por la reducción presupuestaria y la falta de aceptación por parte de los altos ejecutivos de las nuevas iniciativas cibernéticas. Sin embargo, una propuesta respaldada por datos marcará la diferencia en este caso. 

En los últimos años, la ausencia de un parámetro de referencia de habilidades que permita a las organizaciones evaluar su desempeño en relación con los estándares de la industria ha sido un desafío clave. Esto ha dificultado enormemente la creación e implementación de programas de seguridad que impacten en las áreas adecuadas y fomenten la mejora continua del grupo de desarrollo, un elemento crucial para el éxito de las prácticas de seguridad de software. 

La clave para que las iniciativas de seguridad por diseño funcionen no es solo brindarles a los desarrolladores las habilidades necesarias para garantizar la seguridad del código, sino también garantizarles a los reguladores que esas habilidades están en su lugar. Por eso, decidimos analizar la preparación del equipo de desarrolladores y los resultados pueden sorprender.

Cómo las empresas que intentan acelerar sus iniciativas de SBD pueden aprovechar el índice de confianza

Es prácticamente imposible mejorar de manera eficiente sin una idea clara de dónde se comienza y hacia dónde se debe llegar. Sin embargo, cientos de clientes empresariales utilizan de manera eficaz SCW Trust Score (una referencia global que cuantifica las competencias de seguridad de los equipos de desarrolladores) para proporcionar estos puntos de datos útiles y granulares. Estos conocimientos dan forma a programas de seguridad altamente efectivos, impulsados por los desarrolladores, que favorecen el éxito de las iniciativas Secure-by-Design.

El análisis revelado en nuestro informe técnico muestra que las organizaciones de las principales industrias de infraestructura crítica están avanzando en la preparación de sus desarrolladores para avanzar en sus iniciativas de SBD. También descubrimos que los equipos de desarrolladores de estas industrias poseen una postura de seguridad promedio.

Secure Code Warrior El análisis de la capacitación de desarrolladores en las industrias de infraestructura crítica se basa en información obtenida de más de 20 millones de puntos de datos, de 600 clientes empresariales y más de 250.000 desarrolladores activos en todo el mundo. El análisis concluyó que:

• El número total de desarrolladores que actualmente participan en iniciativas de capacitación de SBD centradas en el desarrollador es menos del 4% de todos los desarrolladores a nivel mundial;
• La industria de servicios financieros tuvo el puntaje de confianza más alto, 336;
• La mayoría de las iniciativas de capacitación a gran escala de Secure-by-Design tienen éxito, mientras que las iniciativas a menor escala tienden a ser dispersas. Sin embargo, cuando se les da un mandato, se ha demostrado que ofrecen un retorno de la inversión (ROI) mensurable más rápidamente;
• Cuando las iniciativas de capacitación están firmemente en marcha, los riesgos introducidos por los desarrolladores en las aplicaciones son considerablemente menores. El análisis determinó que los desarrolladores que participan en grandes iniciativas de capacitación (más de 7000 desarrolladores en una sola empresa) pueden reducir de manera previsible las vulnerabilidades entre un 47 y un 53 %.

La solución | Conclusión

SCW Trust Score es una herramienta poderosa en el arsenal de cualquier líder de seguridad, que permite un análisis exhaustivo de áreas específicas dentro de una organización. Los informes se pueden filtrar según idiomas, equipos o categorías, lo que genera informes personalizados que permiten a las empresas abordar las necesidades específicas de los desarrolladores o equipos e identificar las áreas en las que se necesita capacitación o entrenamiento adicional. Después de todo, la seguridad es una tarea interminable; una evaluación comparativa eficaz del rendimiento ayudará a identificar oportunidades para la mejora continua.

El desarrollo y la implementación acelerados de software, junto con un panorama de amenazas cibernéticas cada vez más amenazador y unos reguladores cada vez más atentos, han puesto la ciberseguridad en primer plano. Las organizaciones, si aún no lo han hecho, deben priorizar el desarrollo de una cultura de seguridad en toda la empresa.