A por el oro: Aumentar la seguridad del código en Paysafe

Paysafe ayuda a convertir las transacciones financieras en experiencias arraigadas en la confianza, y saben que proporcionar una plataforma segura y sin fisuras que procesa más de 152.000 millones de dólares en volumen de transacciones anualizado requiere mucho más que cumplir las normas de conformidad básicas. En los últimos cuatro años, Paysafe ha seguido impulsando un enfoque holístico de la gestión de riesgos de los desarrolladores a través de su asociación con Secure Code Warrior, y su programa de seguridad de aplicaciones ha demostrado un impacto positivo en las necesidades empresariales generales, entre otras cosas:    

‍
El reto: elevar los estándares de seguridad del código en Paysafe

Como proveedor multinacional de pagos en línea, Paysafe siempre ha considerado la codificación segura como una prioridad estratégica que va más allá del simple cumplimiento de los requisitos de PCI DSS. Aunque las sesiones formales de formación en aula dirigidas por expertos y las evaluaciones de habilidades formaron parte de sus primeros esfuerzos, el objetivo de Paysafe siempre ha sido ampliar continuamente el alcance y la escala de su iniciativa de codificación segura, garantizando el mejor enfoque de su clase para la seguridad de las aplicaciones y que los ingenieros escriban código seguro desde el principio.

"Para nosotros, nunca se ha tratado simplemente de marcar una casilla que indique que hemos impartido formación. Nuestro objetivo es mantener al personal al corriente de los avances. Siempre nos esforzamos por ser mejores y hacer más. Queremos que los equipos de ingeniería y los de seguridad colaboren. Los equipos que pueden desarrollarse por sí mismos están más informados y diseñan mejor el código", afirma Boyan Hristov, Socio de Desarrollo de Personas de Paysafe.

La visión de Paysafe era desplazar la seguridad hacia la izquierda, desarrollando ingenieros conscientes de la seguridad que integraran prácticas de codificación seguras en cada etapa del ciclo de vida de desarrollo del software. Para ello, necesitaban un programa escalable, atractivo y continuo que no solo proporcionara pruebas de auditoría a efectos de cumplimiento de la normativa PCI, sino que también impulsara un cambio cultural profundo y duradero. Esto incluía experiencias de aprendizaje gamificadas, tournaments regulares y formación continua para ayudar a implicar a los desarrolladores y empujarles a mantenerse a la vanguardia de las tendencias de seguridad del sector.

La solución: Un enfoque vanguardista con Secure Code Warrior

Paysafe adoptó la plataforma de gestión de riesgos para desarrolladores Secure Code WarriorWarrior para ayudar a ampliar las prácticas de codificación segura, implicar a los ingenieros e integrar la seguridad en una fase más temprana del ciclo de vida del desarrollo. Su programa Security Champions ha crecido con el tiempo, y Secure Code Warrior ha desempeñado un papel fundamental en la consecución de los objetivos de prevención de riesgos cibernéticos.

Paysafe permitió a los desarrolladores participar orgánicamente en la plataforma, fomentando actividades lúdicas como tournaments con atractivos premios para implicar y entusiasmar a los desarrolladores. Cuando el programa se puso en marcha inicialmente, algunas evaluaciones eran obligatorias para ayudar a cumplir los requisitos de la PCI y se ofrecían otros contenidos y actividades como opción.

A medida que el programa ganaba adeptos, la dirección proporcionó apoyo adicional, alineando aún más los objetivos de los equipos de desarrollo e infoseguridad. Esto permitió al equipo de Paysafe llevar el programa al siguiente nivel e introducir programas de certificación más formales con KPI designados e incentivos de éxito. 

La siguiente fase del programa se centró en los temas OWASP Top 10 estándar del sector, con fases de certificación que permitían a los desarrolladores avanzar a través de varios niveles de logro. Ahora, el programa ha alcanzado un nuevo nivel de escala y madurez, elevando los estándares de referencia para los desarrolladores en todos los ámbitos, desde los empleados a tiempo completo hasta los trabajadores eventuales.

‍"Valoramos mucho la colaboración que hemos establecido con SCW en los últimos cuatro años. Juntos hemos podido ofrecer formación específica sobre seguridad de aplicaciones y fomentar relaciones más sólidas entre nuestros equipos de seguridad e ingeniería, ancladas en un compromiso compartido de desarrollar código seguro a la primera y lo antes posible en el SDLC", afirma Alan Osborne, director de seguridad de la información de Paysafe.

Con el apoyo continuo y la alineación del CISO, el CTO y los líderes ejecutivos de ingeniería, Paysafe se ha asociado con Secure Code Warrior para evolucionar continuamente su programa. En la actualidad, el programa está estrechamente alineado con las necesidades empresariales, proporciona resultados tangibles y sigue siendo relevante y atractivo para los equipos internos.

Resultados: Un nuevo estándar de código seguro en toda la organización

Las iniciativas de seguridad de las aplicaciones de Paysafe han mejorado desde el inicio de su andadura hace cuatro años. A través de la asociación con Secure Code Warrior, Paysafe ha demostrado el tremendo impacto que puede tener en toda la organización un enfoque holístico de la gestión de riesgos de los desarrolladores. 

El análisis de Paysafe de los datos de escaneado de SAST mostró que las aplicaciones desarrolladas por equipos formados con Secure Code Warrior mostraban una notable reducción de las vulnerabilidades detectadas durante los primeros escaneados de desarrollo. El número de vulnerabilidades detectadas en el primer escaneado disminuyó aún más en los equipos en los que los desarrolladores participaron más activamente con la plataforma SCW. 

El equipo con el mayor nivel de actividad y compromiso en Secure Code Warrior experimentó una reducción significativa, año tras año, de las vulnerabilidades detectadas durante las primeras fases de desarrollo, lo que pone de relieve el valor añadido de la formación continua basada en habilidades para reforzar los hábitos de codificación segura. La creación de código seguro desde el principio ahorró a su equipo y a otros equipos a lo largo del SDLC una cantidad significativa de tiempo. Se ahorraron miles de horas de desarrollo al eliminar la necesidad de identificar, registrar y reelaborar las vulnerabilidades del código previniéndolas durante las primeras fases del desarrollo. El resultado fue una mejora del 45% en la productividad de los desarrolladores, lo que ayuda a demostrar los beneficios de la capacitación en código seguro y la mejora del proceso de desarrollo diario. Una solución beneficiosa tanto para los equipos de ingeniería como para los de seguridad de las aplicaciones.

La dedicación de Paysafe a la seguridad del código les ha ayudado a destacar y a alcanzar el cuarto puesto en la clasificación SCW Trust ^Score® dentro de la referencia de servicios bancarios y financieros. Aunque se trata de un logro del que están orgullosos, el compromiso de Paysafe con las iniciativas de código seguro no se detiene ahí. Alentados por los resultados que han visto a través de la asociación con Secure Code Warrior, Paysafe busca elevar aún más el programa.

"Secure Code Warrior nos ha ayudado a aumentar la productividad de los desarrolladores, a acelerar nuestra capacidad para lanzar productos y mejoras al mercado, y a reducir significativamente los costes y el riesgo a lo largo del tiempo", afirma Alan Osborne, Chief Information Security Officer de Paysafe. "Hemos demostrado que la codificación segura, impulsada por la mejora de la formación de los desarrolladores, no es sólo un 'nice to have', sino una inversión probada que ofrece un ROI real al tiempo que refuerza las habilidades, experiencia y capacidades de nuestros desarrolladores."

A continuación, Paysafe pretende hacer más operativas sus normas de seguridad incorporando medidas adicionales de gobernanza y gestión de riesgos a su proceso, con SCW Trust Agent profundizando su larga asociación con Secure Code Warrior y demostrando su compromiso con la excelencia en ciberseguridad.