Convertir el aburrido cumplimiento de PCI-DSS en un ejercicio significativo para todos: Parte 1 - AppSec

Esta es la primera parte de una serie de dos partes sobre el cumplimiento exitoso de PCI-DSS dentro de una organización. En este capítulo, detallamos cómo los especialistas en AppSec pueden trabajar estrechamente con los responsables de desarrollo para capacitar a los desarrolladores, reforzar el SSDLC y obtener resultados concretos de la legislación general.

La palabra "cumplimiento" no es muy emocionante. Es formal, seca, directiva... incluso un poco restrictiva en su tono. Si tuviera un color, sería el beige. Y, bueno, parece contraria a cualquier tipo de ambiente creativo o de innovación.

Como desarrollador, mi experiencia de "cumplir con las normas" suele significar (verticalmente) leer algunas directrices o ver una presentación, antes de volver a codificar las características y centrarse en crear un software que los clientes usen y amen. Todo el mundo retiene lo que puede en el momento (y trata de hacer lo correcto en todo momento), pero las directrices de cumplimiento -especialmente las relativas a las mejores prácticas de seguridad- no suelen estar escritas teniendo en cuenta a los desarrolladores como público objetivo, y cualquier acción requerida puede ser poco clara. En ese escenario, es demasiado fácil quedarse en la tarea con los objetivos actuales.

La cuestión es que el desarrollo de software seguro ya no es algo "agradable de tener" en cualquier empresa; es (o debería ser) lo primero en la mente de toda organización... y si está guardando grandes cantidades de información sensible de los clientes, entonces esa empresa está madura para la cosecha cuando se trata de ciberataques. Los desarrolladores son los primeros que se ponen a trabajar con el código y, como tales, deberían estar tan involucrados como el resto del equipo en cualquier medida de cumplimiento de la seguridad.

Pero, espera... escúchame. Esto no significa que todo el mundo tenga que convertirse en un esclavo del desarrollo rígido y sin creatividad y de los resultados del software. Significa que la empresa tiene la oportunidad y el poder de crear un código de mayor calidad, juntos. Muy lentamente, el mundo se está dando cuenta de que, hasta la fecha, los desarrolladores no han tenido exactamente las herramientas adecuadas a su disposición para hacer de la seguridad una prioridad (y los especialistas en seguridad aislados no pueden asumir la responsabilidad solos). Sin embargo, a medida que la industria avanza hacia un futuro DevSecOps con la seguridad como responsabilidad compartida, pueden ayudar a frenar el flujo de vulnerabilidades recurrentes cuando se establecen para el éxito.

Las directrices PCI-DSS cubren el cumplimiento de la seguridad en línea para las pasarelas de pago con tarjeta, un servicio que la mayoría de nosotros utilizamos regularmente. Estas directrices son aplicables a nivel mundial y, de hecho, han descrito en detalle lo que los desarrolladores deben hacer para mantener los estándares en línea con sus mandatos, junto con varios documentos de cumplimiento en todos los aspectos del negocio de comercio electrónico.

Las filtraciones de datos son riesgos aterradores que destruyen la reputación y que las empresas no pueden permitirse, y con las previsiones de Cyber Security Ventures de que las filtraciones de día cero llegarán a una por día en 2021, esto es algo que todos en el proceso de entrega de software pueden ayudar a combatir.

Desglosemos las recomendaciones de PCI-DSS y cómo pueden funcionar en el equipo:

Hola, equipos de AppSec y Compliance: No toda la formación de los desarrolladores es igual

Los desarrolladores de las grandes (o incluso pequeñas) organizaciones rara vez tienen mucha participación en la formación que reciben en el trabajo. Para retener a los empleados estrella, algunas empresas ofrecen programas integrales, pero siguen siendo menos comunes de lo que deberían. La necesidad de formación en seguridad presenta una gran oportunidad no sólo para iniciar el cumplimiento de la organización sin aburrir a todo el mundo hasta las lágrimas, sino también para empezar a calentar cualquier relación fría con el equipo de desarrollo.

En términos de cumplimiento de la PCI, se puede ver que sus directrices son específicas en cuanto a los resultados que esperan de cualquier software que ejecute pasarelas de pago; entre otros objetivos, quieren aplicaciones endurecidas (vitales para frustrar la inyección de código malicioso o la manipulación), controles de mínimo privilegio y conciencia a gran escala de las vulnerabilidades comunes... como mínimo. Todo el personal que trabaje con los datos de los titulares de las tarjetas debe recibir una formación adecuada y, en el caso de los desarrolladores, esa formación puede hacer que tengan éxito a la hora de escribir código seguro desde el principio de su proceso.

El documento oficial Best Practices for Maintaining PCI-DSS Compliance detalla algunos conceptos directos en torno a la concienciación sobre la seguridad, las necesidades de los desarrolladores y la formación adecuada, como:

Derechos de autor © 2006 - 2020 Consejo de Normas de Seguridad de la PCILLC. Todos los derechos reservados.

Esto da una idea de la formación específica y en profundidad que se requiere para dotar a los desarrolladores de las habilidades necesarias, pero sigue sin señalar ningún tipo concreto de soluciones educativas como más eficaz que otro. La Guía PCI-DSS para desarrolladores es un poco más directa, identificando el OWASP Top 10 como un punto de referencia para aprender a encontrar y corregir las vulnerabilidades más comunes, así como algunos programas de certificación.

Pero... aquí está el problema. Como sin duda sabrás por las diversas iniciativas de formación y cumplimiento en el lugar de trabajo, pueden variar enormemente en cuanto a calidad y éxito futuro. Y cuando se trata de desarrolladores, muchos programas de formación en codificación segura no parecen responder a nuestras necesidades, formas de trabajar o incluso a nuestro trabajo diario de forma significativa. En este escenario, no toda la formación es igual, y no toda la formación va a dar como resultado un software más seguro. Esto es, por supuesto, exactamente lo contrario del resultado deseado, y no hará que el estrés de su propio trabajo se reduzca en ninguna medida significativa. Si quieres reducir la carga y evitar que las vulnerabilidades comunes causen posibles desastres, tendrás que construir un puente.

Reducir la brecha de habilidades de seguridad con los gerentes de ingeniería de su lado

Trabajar directamente con los directores de ingeniería para encontrar una solución que se adapte al propósito, y que al mismo tiempo sea aceptada por las personas que realmente tienen que hacerlo, es una vía rápida para obtener resultados de seguridad positivos. Tendrán una visión más inmediata de su propio equipo, y podrán hablar de cualquier bloqueo que haya dificultado previamente la formación en materia de cumplimiento (aparte de no ser una gran experiencia, la mayoría de las veces).

La formación en el aula, los vídeos a la carta y los ejercicios puntuales dificultan mucho la actualización; se trata de soluciones estáticas que no pueden seguir el ritmo del cambiante panorama del sector de la ciberseguridad. En última instancia, el director de ingeniería querrá ver el valor del compromiso de tiempo, y es importante trabajar con ellos y proporcionar opciones viables que funcionen para cumplir con el objetivo compartido de todos: un código más seguro y que cumpla con las normas.

Entonces, ¿cómo es una buena formación? No tiene mucho sentido aprender a codificar de forma segura a través de grandes golpes de información de una sola vez. Un proceso de aprendizaje gradual y de tamaño reducido hace que sea mucho más fácil de recordar y aplicar en el contexto, y debe ser absolutamente en los lenguajes y marcos utilizados todos los días. Personalmente, quiero que me desafíen, y quiero ver un propósito para mis esfuerzos - todos estamos lo suficientemente ocupados, ¿verdad?

Para cumplir con las mejores prácticas de la PCI-DSS descritas anteriormente, dependiendo de la solución elegida, los directivos podrían encontrarse con que tienen que unir un mosaico de diferentes courses para cubrir todos los lenguajes y marcos utilizados en la empresa, y ahí es cuando las cosas se vuelven muy complicadas, por no mencionar que es difícil para los equipos de AppSec y de cumplimiento de normas evaluar el impacto en la seguridad y la reducción de la vulnerabilidad en el software. Trabajen juntos para encontrar el ajuste correcto, en lugar de precipitarse en la opción equivocada persiguiendo un resultado rápido. De lo contrario, podrías acabar con una solución de formación Frankenstein... y eso da mucho miedo.

Gracias por ver la primera parte de esta miniserie sobre PCI-DSS. En el último capítulo, hablaremos de cómo los CISO y los CTO pueden ayudar a esta transformación de la cultura, capacitar a los equipos y cómo las primeras líneas de seguridad -su cohorte de desarrolladores- pueden utilizar la concienciación y el cumplimiento de PCI-DSS en su beneficio.