La puntuación de confianza revela el valor de las iniciativas de mejora de la seguridad mediante el diseño

Una forma segura de mejorar la postura de seguridad de su organización es a través de la capacitación de los desarrolladores en las mejores prácticas de codificación segura, proporcionadas en un marco que incluya líneas de base y puntos de referencia diseñados para dar a los desarrolladores las vías de aprendizaje específicas que necesitan. La codificación segura, sin embargo, no es una solución de una sola vez: debe convertirse en una forma de vida, codificada en el ADN de una organización. Los desarrolladores no sólo tienen que cambiar a la izquierda, o empezar por la izquierda, sino que tienen que permanecer en ella. 

No basta con impartir formación. Las organizaciones necesitan confirmar que los desarrolladores han asimilado completamente su formación y siguen las mejores prácticas al principio del ciclo de vida de desarrollo de software (SDLC) como parte de sus rutinas diarias. Es necesario realizar un seguimiento del rendimiento de los desarrolladores y medir su progreso tanto con respecto a los estándares internos como a los puntos de referencia del sector, midiendo de forma eficaz el ROI de la inversión en formación.

Secure Code Warrior's Trust Score proporciona visibilidad sobre el rendimiento de los desarrolladores individuales y agrega los datos para proporcionar una assessment del rendimiento general de su organización. Muestra la eficacia de los programas de mejora de las competencias e identifica las áreas que necesitan mejoras. Y, ayuda a garantizar el cumplimiento de la gama de requisitos de cumplimiento normativo, ya provengan del Reglamento General de Protección de Datos(GDPR), el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago(PCI DSS), la Ley de Privacidad del Consumidor de California(CCPA) u otros.

Nuestra investigación ha demostrado que la formación en código seguro funciona. Trust Score, que utiliza un algoritmo basado en más de 20 millones de puntos de datos de aprendizaje procedentes del trabajo de más de 250 000 alumnos en más de 600 organizaciones, revela su eficacia a la hora de reducir las vulnerabilidades y cómo hacer que la iniciativa sea aún más eficaz.

La formación mejora la seguridad, si los desarrolladores la reciben 

Durante años, el uso de las mejores prácticas de seguridad al inicio del SDLC parecía ser una aspiración en la industria del software, algo a lo que se podía aspirar algún día, pero que no era una prioridad en la actualidad. Pero la velocidad cada vez mayor del desarrollo de software, junto con el ritmo acelerado de las ciberamenazas sofisticadas y destructivas -a menudo basadas en vulnerabilidades de software- han hecho que la codificación segura sea esencial. La Agencia de Ciberseguridad y Seguridad de las Infraestructuras(CISA) pone el código seguro en primer plano con su iniciativa Secure-by-Design, que se está convirtiendo en un movimiento internacional. 

Nuestra investigación ha demostrado que la correlación entre un enfoque de seguridad por diseño y una reducción de las vulnerabilidades del software es clara. Analizamos los datos de reducción de vulnerabilidades del 26% de la base de clientes de SCW y descubrimos que la formación de desarrolladores se traducía en reducciones de vulnerabilidades de software que oscilaban entre el 22% y el 84%. Ese rango era el resultado de variables como el tamaño de las empresas implicadas (las empresas más pequeñas con relativamente pocos desarrolladores producían un rango más dramático de resultados), y si un grupo de aprendizaje se centraba en un problema específico, en cuyo caso eliminaban un mayor porcentaje de fallos.

Los resultados de las grandes empresas fueron bastante coherentes. Las empresas con 7.000 desarrolladores o más pueden esperar que las vulnerabilidades se reduzcan entre un 47% y un 53% como resultado de la mejora de las competencias de los desarrolladores en materia de seguridad. Por ejemplo, una empresa estadísticamente media con más de 10.000 desarrolladores -que no es una de las de mayor rendimiento en la plataforma ni una de las de mayor referencia- obtuvo una reducción del 53% en vulnerabilidades. 

Por supuesto, la formación más eficaz no adopta un enfoque amplio y único. Debe adaptarse a los entornos de trabajo de los desarrolladores y a los tipos de desarrollo que realizan.

Las empresas deben empezar por establecer los conocimientos básicos que deben tener los desarrolladores para que escribir código seguro les resulte tan natural como escribir código sin más. Los programas de perfeccionamiento deben consistir en una formación práctica y ágil en escenarios reales que se ajusten al tipo de trabajo que realizan y a los lenguajes que utilizan. Y deben ser lo suficientemente flexibles para que las sesiones de formación se adapten a sus horarios de trabajo. 

Para los desarrolladores, el conjunto de habilidades implica algo más que escribir código. Tienen que ser capaces de comprobar el software creado por asistentes de inteligencia artificial y terceros, como los repositorios de código abierto. Los desarrolladores han hecho un uso ávido de los modelos generativos de IA y, en general, han alabado sus ventajas a la hora de ayudarles a crear más código con mayor rapidez. Sin embargo, aunque el 76% de los participantes en una encuesta de Snyk afirmaron que el código generado por IA era más seguro que el producido por humanos, el 56,4% seguía afirmando que la IA introduce errores a veces o con frecuencia. Y la misma encuesta reveló que el 80% de los desarrolladores omiten la aplicación de políticas de seguridad del código de IA, lo que sugiere que no se están abordando los problemas del código de IA.

En un enfoque de seguridad por diseño, los desarrolladores -trabajando con los equipos de seguridad, en lugar de por separado- abordarán estos problemas en una fase temprana del SDLC, identificando y corrigiendo los fallos antes de que el código pase a producción.

La puntuación de confianza mide el rendimiento individual y empresarial

También es fundamental que la formación sea continua. Las empresas deben adoptar una cultura que dé prioridad a la seguridad y que se aplique en todas partes, desde los niveles más altos de la empresa hasta los más bajos. Debe centrarse en la mejora continua y en la aplicación de las mejores prácticas de seguridad en todo el SDLC. La tecnología y los ciberdelincuentes no dejan de evolucionar; la ciberseguridad tampoco debería hacerlo. Para las organizaciones que producen software, los desarrolladores formados en seguridad son la base.

Por eso, demostrar que la formación se ha asentado de forma efectiva es tan importante como la propia formación. Trust Score no sólo ofrece visibilidad del rendimiento de los desarrolladores individualmente y de la organización en general, sino que permite a las organizaciones desglosar los datos de rendimiento para centrarse en lenguajes específicos, equipos de desarrolladores o categorías de software. Los datos de los resultados de rendimiento individuales y agregados también ayudan a identificar las áreas en las que es necesario mejorar la formación, por ejemplo, si no está teniendo el efecto deseado en el rendimiento diario de los desarrolladores.

Trust Score ha permitido a las organizaciones evaluar el rendimiento de los desarrolladores y confirmar si han adquirido -y están utilizando- los conocimientos de seguridad necesarios, garantizando que se han ganado su licencia para codificar. Permite a las organizaciones conceder con confianza a los desarrolladores cualificados acceso a sus datos más confidenciales y proyectos de software críticos, mientras que deniega ese acceso a aquellos que aún no están preparados.

Prueba del cambio de la cultura de seguridad

La ciberseguridad ya no es sólo una cuestión de seguridad. Es una cuestión empresarial, que afecta a la integridad del activo más valioso de muchas organizaciones: sus datos. Una violación grave afecta a las operaciones de una organización, a su reputación y, potencialmente, a su viabilidad. La importancia de la ciberseguridad no ha pasado desapercibida para los organismos reguladores, que han ido aplicando normativas cada vez más estrictas y se han mostrado dispuestos a perseguir a los CISO y, potencialmente, a otros miembros de la alta dirección, incluso hasta el punto de presentar cargos penales, como en los casos de Uber y SolarWinds. 

Adoptar una cultura de seguridad en toda la empresa es esencial en el entorno actual. Y dado que gran parte del valor de una empresa reside en sus datos, aplicaciones y servicios, la codificación segura es un elemento esencial de esa cultura. La formación y el perfeccionamiento específicos como parte de una mentalidad cultural, junto con pruebas de que la formación ha ayudado a cambiar la cultura, pueden encaminar a las organizaciones hacia el fortalecimiento de sus posturas de seguridad. 

Los programas de seguridad impulsados por los desarrolladores tienen valor. La prueba está en la puntuación de confianza.