En los últimos años, se han sacrificado muchas cosas en el altar de la velocidad de comercialización, como la seguridad de la red, los terabytes de datos sensibles de los clientes y la inestimable reputación de las marcas. La intensa presión para acelerar el lanzamiento de nuevas características y funciones ha dado lugar a equipos complejos y distribuidos centrados en el desarrollo rápido, con poca conciencia de las vulnerabilidades que podrían crear o los enormes riesgos. Ahora más que nunca, se necesita una nueva forma de trabajar. Por ello, en 2020, Secure Code Warrior se comprometió con Evans Data Corp. a realizar una investigación primaria* sobre las actitudes de los desarrolladores y sus directivos respecto a la codificación segura, las prácticas de código seguro y las operaciones de seguridad (Descargue su copia del informe técnico aquí).

Indicadores de rendimiento para el éxito del proyecto: ¿dónde encaja la seguridad? 

Los desarrolladores y directivos piensan que tener un código seguro es importante, pero no tanto como otros factores. Cuando preguntamos a los desarrolladores y directivos sobre las prioridades más importantes en el proceso de desarrollo de software:

• 76% de rendimiento de las aplicaciones nominadas 
• El 62% eligió características y funcionalidades
• Y un poco más del 50% seleccionó código seguro
  

En comparación con otros indicadores de rendimiento para el éxito de los proyectos, la codificación segura ocupa actualmente un lejano tercer lugar.

En la actualidad -y quizá no sea sorprendente- los desarrolladores juzgan el éxito de un proyecto en función de indicadores de rendimiento que sólo evalúan el código una vez terminado el proyecto. 

Sin embargo, cuando se pregunta cómo podría cambiar esto en el futuro, el panorama se invierte. La forma en que las organizaciones abordan la seguridad como métrica del éxito está cambiando. La codificación segura se está convirtiendo en una prioridad mayor.

Cuando se les pregunta por las prioridades más importantes para medir el éxito de los proyectos en el futuro, el 79% de los encuestados está de acuerdo en que la codificación segura aumentará su importancia. Lo sorprendente es que un porcentaje más significativo considera que la importancia de la seguridad en el futuro aumentará más que la de cualquier otro indicador de rendimiento. La concienciación sobre la codificación segura es cada vez mayor, al igual que el movimiento de "cambio a la izquierda". Por su propia naturaleza, la práctica de la codificación segura significa considerar la seguridad mucho antes en el SDLC. Significa construir activamente la seguridad en el software que se escribe, desde el principio, en lugar de dejarlo para más adelante. 

A medida que los CIOs se esfuerzan por hacer que sus organizaciones sean más ágiles, las capacidades de codificación segura se convertirán en un arma vital de innovación. Los CIOs y CISOs deben pensar cuidadosamente si sus equipos de desarrollo son la primera línea de riesgo o su primera línea de defensa. 

Esta visión tiene implicaciones críticas sobre cómo las organizaciones forman a sus desarrolladores. Los equipos necesitan aprender sobre las vulnerabilidades recientemente identificadas y aprender en sus propios lenguajes/marcos. En resumen, necesitan entender cómo localizar, identificar y corregir las vulnerabilidades conocidas en el código en el contexto en el que trabajan cada día.

Como campeones del cambio en la codificación segura, Secure Code Warrior adopta un enfoque dirigido por el ser humano que involucra activamente a los desarrolladores para que aprendan y construyan sus habilidades de codificación segura. Si quiere ver el impacto potencial en la capacidad de sus equipos para empezar a dejar y enviar código seguro más rápidamente sin comprometer la seguridad, reserve una demostración ahora.

‍

Pasar de la reacción a la prevención: The changing face of application security. Secure Code Warrior y Evans Data Corp. 2020

Una versión de este artículo apareció en VMblog. Se ha actualizado y sindicado aquí.

‍

Parece que no importa cuántos meses de concienciación sobre la ciberseguridad pasen, cuántos profesionales de seguridad de élite se lancen en paracaídas o cuánto dinero se pierda en un agujero negro, el tema de las grandes violaciones de datos no hace más que empeorar año tras año. Son tan habituales que apenas aparecen en las noticias, a menos que sean catastróficas. En 2020, más de 36.000 millones de registros quedaron expuestos en ciberataques maliciosos, y estamos a la espera de ver cuántos se cosecharán en 2021.

Los actores de las amenazas están constantemente buscando oportunidades, y aunque no todos los ataques son un desastre, se producen de media, cada 39 segundos. No estamos ni siquiera cerca de ganar la lucha, y los malos tienen una gran ventaja sobre los defensores de nuestros datos.

Sin embargo, parece que el cambio está en el aire, ya que el gobierno de Biden ha hecho de la ciberseguridad una de las primeras prioridades de su mandato, con una financiación adicional de 10.000 millones de dólares. Se trata, sin duda, de un paso en la dirección correcta, pero ¿hará esto realmente mella en la ciberdelincuencia, que está aumentando en frecuencia y sofisticación?

Las ciberamenazas requerirán una aldea (global) para ser resueltas

La defensa eficaz contra los ciberataques, cada vez más potentes, no puede ser competencia de un puñado de países y, por desgracia, hace tiempo que no existe una estrategia cohesionada a nivel general. Sin embargo, con el aumento de las amenazas de los estados-nación, muchos gobiernos se están sentando y tomando nota. 

El ataque de SolarWinds que afectó al gobierno de Estados Unidos fue una clara advertencia de lo que es posible, y un indicador de la devastación potencial si cualquier infraestructura crítica fuera violada. Recientemente, el FBI alertó de que un sistema de agua de Florida había sido atacado, siendo el actor de la amenaza capaz de contaminar el suministro de agua de forma remota. Se les detuvo antes de que se produjeran daños graves, pero un atacante más avanzado podría haber causado una destrucción a gran escala que pondría vidas en peligro.

Poco a poco, pero con seguridad, los gobiernos de todo el mundo están invirtiendo más en ciberdefensa. El Reino Unido ha realizado inversiones récord en el sector de la ciberseguridad y ha creado un nuevo grupo de trabajo. Australia ha reforzado su estrategia de ciberseguridad (especialmente en lo que respecta a las infraestructuras), y lugares como Israel y Dinamarca están considerados como los mejores de su clase por sus programas cibernéticos. Japón ocupa el quinto lugar en ciberdefensa; un bienvenido voto de confianza tras una declaración en 2018 del entonces ministro de Ciberseguridad, Yoshitaka Sakurada, en la que afirmaba que nunca había utilizado un ordenador. Un reciente anuncio del gobierno de Singapur prometió una inversión de 50 millones de dólares en la investigación de la IA y la ciberseguridad en la futura infraestructura de comunicaciones, una medida con visión de futuro para solidificar la seguridad e integridad digital.

Una respuesta fuerte y coordinada de ciberseguridad a nivel mundial es vital a medida que avanzamos rápidamente hacia la tecnología del futuro, y todos los órganos de gobierno deberían iluminarla como un enfoque clave.

Más dinero no significa menos problemas

Si tomamos como ejemplo a Estados Unidos, Reino Unido y Australia, países que en los últimos dos años han incrementado la inversión en ciberseguridad y en conocimientos técnicos por parte del gobierno, puede parecer que la seguridad es por fin una prioridad y que los "buenos" están consiguiendo lo que necesitan para ganar la batalla. 

Sin duda ayuda, pero es sólo una parte del panorama general. Esa financiación puede comprar súper equipos de expertos (como ha sucedido con la inyección de dinero de Biden), programas integrales de recompensas por errores y una respuesta a incidentes de primera categoría y mitigación en caso de brechas desastrosas, y es este enfoque de la ciberdefensa el que asegura que seguiremos haciendo un progreso mínimo, sin importar cuánto dinero se arroje a los grupos de trabajo y a la respuesta a las amenazas.

Todos los gobiernos deben ir más allá de las medidas de seguridad reactivas y dedicar un esfuerzo serio (y financiación) a una estrategia más preventiva. Si la atención se centra en reaccionar a los ciberataques en lugar de trabajar para prevenirlos desde el principio, ninguna cantidad de dinero reducirá el riesgo creciente. Un enfoque de seguridad genuino y proactivo debería asignar el presupuesto al fortalecimiento de la infraestructura y al despliegue de una formación y una capacitación eficaces en materia de seguridad con el objetivo de reducir la superficie de ataque en la medida de lo posible desde el principio.

Puede que la brecha de competencias en ciberseguridad nunca se cierre, pero hay un potencial desperdiciado

En todo el mundo hay una gran demanda de personal de seguridad altamente capacitado y especializado, y es poco probable que veamos un exceso de esos gurús cibernéticos. Sin embargo, esta es una razón más para que los gobiernos y las organizaciones empiecen a ser creativos y más inteligentes con los recursos que tienen a su disposición.

Un enfoque verdaderamente preventivo de la ciberdefensa comienza con que cada persona que participa en el proceso de desarrollo de software e infraestructura sea lo más consciente posible de la seguridad para su función. Los desarrolladores, en particular, necesitan la formación adecuada en materia de seguridad y las herramientas apropiadas para el trabajo, de modo que la codificación segura pueda ser intrínseca a su proceso. Esto contribuye en gran medida a garantizar que las vulnerabilidades más comunes puedan abordarse antes de que vean la luz del día. Esto por sí solo es un paso poderoso -por no mencionar que es más barato- que reduce la presión y el retrabajo más adelante en el ciclo de vida del desarrollo de software. 

Tenemos que reforzar un enfoque de las mejores prácticas de ciberseguridad dirigido por el ser humano, que va a obtener mejores resultados que una fuerte dependencia de la automatización, de las herramientas y de la reacción a los problemas que ya han sido incorporados y descubiertos, una estrategia que claramente no está funcionando si observamos el número de infracciones que se producen hoy en día.

Cuando se trata de formación en código seguro para desarrolladores, los resultados educativos dejan mucho que desear. Muchas empresas gastan mucho, pero en la práctica el rendimiento es mínimo. Y no es de extrañar. La investigación actual* muestra que los desarrolladores creen que aprender código seguro es aburrido y que aprender a implementar código seguro es un reto. Se necesitan nuevos enfoques para la formación en codificación segura, por lo que en 2020, Secure Code Warrior se comprometió con Evans Data Corp. a llevar a cabo una investigación primaria sobre las actitudes de los desarrolladores hacia la codificación segura, las prácticas de código seguro y las operaciones de seguridad (descargar el artículo técnico aquí).

Cuando se les ofreció la oportunidad de criticar la formación que se ofrece, los desarrolladores no se mostraron muy duros, afirmando que la formación actual en materia de código seguro es:  

• Enseñanza en el vacío - 40% 
• Demasiado teórico, no relacionado con su trabajo, y no lo suficientemente "práctico" - 40%. 
• A menudo infrecuente, no se asocia con su trabajo ni se compromete - 30%.
  

Estas estadísticas son serias; nos dicen que la actual formación en código seguro es contextualmente irrelevante, sin relación significativa con lo que los desarrolladores hacen cada día. 

A menudo, no pueden aplicar lo que aprenden en sus entornos de trabajo. Esto hace que gran parte de la formación en seguridad sea una pérdida de tiempo y dinero. 

Cinco maneras de crear la formación que desean los desarrolladores

En lo que respecta al tipo de formación que desean los desarrolladores, cinco cosas quedaron muy claras. 

1. El75% de los desarrolladores prefiere la formación estructurada en el puesto de trabajo, considerándola la forma más eficaz y satisfactoria de aprender.
   
   Y cuando se trata de lo que debe incluir esa formación, los desarrolladores tienen algunas peticiones muy claras y específicas: 
2. El 65% dice que se necesita más formación sobre las vulnerabilidades específicas del idioma
3. El 65% quiere más formación en el OWASP Top 10.
4. Muchos también quieren centrarse en los marcos de seguridad de cumplimiento, incluyendo NIST (58%) CIS (52%) y PCI DSS (50%).
5. El 78% quiere que la formación se lleve a cabo con asesoramiento y orientación informal por parte de los compañeros.

Pero, por encima de todo, los desarrolladores quieren una formación sobre código seguro que sea práctica y esté arraigada en el contexto de su trabajo diario. Los desarrolladores no quieren sentarse a escuchar a los conferenciantes, sino que quieren poner las manos en la masa y probarlo por sí mismos. Quieren centrarse en las aplicaciones prácticas, algo de lo que carecen los programas de formación actuales. Según los desarrolladores encuestados, las 5 características principales de una buena formación son: 

• Más formación práctica, mostrando escenarios de trabajo reales (30%). 
• Actividad guiada centrada en código o vulnerabilidades específicas (24%).
• Inclusion of more examples or use cases (24%) Provides some concrete advantage to taking the training (<20%) Incorporates more team-building exercises (<20%). 
• Proporciona algún beneficio tangible al realizar la formación. 
• Incorpora más ejercicios de creación de equipos.
  

Los desarrolladores quieren una formación en código seguro que les proporcione las habilidades fundamentales y un verdadero reconocimiento. Dado que las habilidades de codificación segura son muy deseadas y reconocidas por los empleadores, los desarrolladores han mostrado su entusiasmo por diferenciarse de sus compañeros, sobre todo cuando solicitan nuevos puestos de trabajo. Los desarrolladores que buscan demostrar su dominio técnico o sus habilidades especializadas han recurrido durante mucho tiempo a programas de certificación formales. Cuando se les preguntó si buscaban programas de formación estructurados para la certificación, el 70% reveló que buscaban estos programas. Las motivaciones más importantes eran la búsqueda de un reconocimiento oficial por las habilidades adquiridas, ser más eficientes en su trabajo y convertirse en alguien valioso para su empresa.

Cuando se trata de mejorar los resultados educativos, la formación centrada en el desarrollador es la clave. La formación estructurada sobre código seguro es deseable para los desarrolladores, pero sólo si les ofrece lo que quieren. Las empresas que acepten el reto y reconfiguren su formación en código seguro según las necesidades de los desarrolladores cosecharán los beneficios de un menor número de vulnerabilidades recurrentes, una entrega de código más rápida y la mejora de la reputación que conlleva.

La evidencia inequívoca es que los desarrolladores quieren una educación contextual y práctica en lenguajes y marcos de programación relevantes con desafíos que imitan los que enfrentan en el mundo real. Como campeones del cambio en la codificación segura, Secure Code Warrior adopta un enfoque dirigido por el ser humano para satisfacer las peticiones de los desarrolladores. Si quiere ver el impacto potencial en la capacidad de sus equipos para enviar código seguro más rápidamente, solicite una demostración ahora.

Pasar de la reacción a la prevención: The changing face of application security. Secure Code Warrior y Evans Data Corp. 2020

A medida que las violaciones de datos y sus costes siguen aumentando, el volumen de código producido en nuestro mundo es demasiado grande para que los expertos en seguridad puedan manejarlo solos. Las empresas necesitan desarrolladores con habilidades de codificación segura, y los desarrolladores saben que necesitan estas habilidades para avanzar en sus carreras. Pero la formación actual en materia de código seguro les está defraudando. Entonces, ¿qué quieren los desarrolladores cuando se trata de formación en código seguro? Para responder a esta pregunta, veamos algunos datos de un estudio reciente sobre las actitudes de los desarrolladores hacia la codificación segura, las prácticas de código seguro y las operaciones de seguridad, realizado por Secure Code Warrior con Evans Data Corp*. (Descargue el informe técnico aquí).

Cuando se trata del tipo de formación que quieren los desarrolladores, la respuesta es muy clara. El 75% de los desarrolladores prefiere la formación estructurada en el puesto de trabajo, considerándola la forma más eficaz y satisfactoria de aprender. Y cuando se trata de lo que debe incluir esa formación, los desarrolladores tienen algunas peticiones muy claras y específicas: 

• El 65% dice que necesita formación sobre las vulnerabilidades específicas del idioma
• El 65% quiere más formación en el OWASP Top 10
• Muchos también quieren centrarse en los marcos de seguridad de cumplimiento, incluyendo NIST (58%), CIS (52%) y PCI DSS (50%)
• El 78% quiere que la formación sea una orientación y un asesoramiento informal por parte de sus compañeros.
  

Sin embargo, aunque los desarrolladores prefieren los cursos estructurados al aprendizaje no estructurado, la forma en que se imparten los cursos es fundamental. Por supuesto, esto plantea otra cuestión crucial:

¿Cómo prefieren aprender los desarrolladores? 

Los desarrolladores no quieren quedarse sentados escuchando a los conferenciantes, sino que quieren poner las manos en la masa y probarlo por sí mismos. Quieren centrarse en las aplicaciones prácticas, algo de lo que carecen los programas de formación actuales. Cuando se les pidió que identificaran cómo podría mejorar la formación proporcionada por la empresa, el 30% de los encuestados reveló que les gustaría que la formación se centrara en aplicaciones prácticas, en particular en escenarios de trabajo auténticos. 

La formación de los desarrolladores necesita un enfoque dirigido por personas que ofrezca vías de aprendizaje guiadas que incluyan retos de codificación "gamificados" que sean prácticos y específicos del lenguaje y del marco de trabajo. La formación "gamificada", con funciones específicas, consigue que los desarrolladores se comprometan al máximo, con módulos de aprendizaje configurables que permiten a una organización orientar el aprendizaje de los desarrolladores hacia vulnerabilidades específicas.

Para saber cómo hacer de la seguridad del software una parte intrínseca de su proceso de desarrollo con itinerarios estructurados y basados en habilidades que ofrecen la formación que los desarrolladores desean, solicite una demostración ahora.

"Las simulaciones interactivas te ayudan a identificar las vulnerabilidades de seguridad en el código, te desafían a pensar de forma crítica y a encontrar la solución o múltiples soluciones. He visto el código a través de una nueva lente, ¡y ser práctico me ha aportado mucha alegría!"
Ingeniero de Software, Servicios Financieros

*Pasar de la reacción a la prevención: The changing face of application security. Secure Code Warrior y Evans Data Corp. 2020

Aburrido, aburrido, aburrido! Esa es una de las principales respuestas que escuchará de los desarrolladores cada vez que se menciona la formación en código seguro. En Secure Code Warrior creemos que debe haber una forma mejor, por lo que nos hemos comprometido con Evans Data Corp. para llevar a cabo una investigación primaria sobre las actitudes de los desarrolladores hacia la codificación segura, las prácticas de código seguro y las operaciones de seguridad (descargue su copia del informe técnico aquí).

En el informe Shifting from reaction to prevention: The changing face of application security, se preguntó a los desarrolladores por sus principales problemas con la formación actual en materia de código seguro, y la respuesta fue reveladora.

Formación que hace caer a los desarrolladores

El40% de los desarrolladores encuestados considera que la codificación segura se enseña en el vacío. Otro 40% considera que la formación es demasiado teórica, no está relacionada con su trabajo y no es lo suficientemente práctica. El 30% identificó una falta de formación en el lenguaje:framework con el que trabajan a diario. Esto es grave porque nos dice que la formación actual sobre código seguro es irrelevante desde el punto de vista contextual y no tiene una relación significativa con lo que los desarrolladores hacen cada día. 

Para muchos desarrolladores, su principal reto es mantenerse despiertos durante las actividades que no requieren atención y que no son efectivas ni les inspiran a mantener la seguridad en primer plano.

La formación en el vacío impide a los desarrolladores establecer los vínculos cognitivos entre el laboratorio y el mundo real.

3 cosas que los desarrolladores quieren de la formación en código seguro: 

1. La inmensa mayoría de los desarrolladores dicen que quieren una formación más práctica y más relevante para su trabajo diario. 
2. El 65% de los desarrolladores afirma que se necesita más formación sobre las vulnerabilidades específicas del lenguaje y el OWASP Top 10. 
3. El 75% de los desarrolladores encuestados prefieren la formación estructurada en el puesto de trabajo. 

Formación que eleva a los desarrolladores

Cuando se trata de la formación en el puesto de trabajo, los desarrolladores traen consigo un cierto nivel de experiencia y conocimientos existentes. Esto indica la necesidad de un aprendizaje "estructurado". Se trata de una formación estructurada, o con andamiaje, para aprovechar lo que el desarrollador ya sabe. La formación con andamiaje activa y mejora cualquier experiencia previa, al tiempo que sigue desarrollando nuevas habilidades en trozos pequeños. Esto la convierte en el medio perfecto para el aprendizaje en el trabajo.

Impartir habilidades que se mantienen

Cuando se trata de la formación en seguridad para desarrolladores, sabemos que éstos prefieren el método de aprender haciendo a la pesadez del aprendizaje estático basado en la teoría. En este sentido, aprender a codificar de forma segura en un entorno hiperrelevante y contextual es la clave. Como campeones del cambio en la codificación segura, Secure Code Warrior ofrece educación contextual y práctica en lenguajes y marcos de programación relevantes, con retos que imitan los que los desarrolladores enfrentan en el mundo real. El contenido de aprendizaje incluye más de 5.500 retos y missions que cubren más de 147 tipos de vulnerabilidad diferentes, incluyendo los 10 principales OWASP, los 10 principales OWASP Mobile, los 10 principales OWASP API Security y los 25 principales CWE/SANS. 

Si quiere ver el impacto potencial en sus equipos y su capacidad de entregar código seguro más rápidamente, reserve una demostración ahora.

Cuando se trata de aprender sobre codificación segura, ¿cuáles son las principales motivaciones de los desarrolladores y cómo se pueden aprovechar para diseñar e implementar un programa de seguridad de aplicaciones exitoso? En 2020, Secure Code Warrior se comprometió con Evans Data Corp. a llevar a cabo una investigación primaria sobre las actitudes de los desarrolladores hacia la codificación segura, las prácticas de código seguro y las operaciones de seguridad (descargar el artículo técnico aquí).

Al ser encuestados, los desarrolladores afirman que ven el valor de la formación en código seguro. Y el 80% de los directores de desarrollo afirman que es más probable que contraten a desarrolladores con conocimientos de código seguro. Entonces, con estas habilidades tan demandadas, ¿por qué sigue habiendo tal escasez de desarrolladores con formación en seguridad? 

La falta de motivación de los desarrolladores no parece ser el problema principal. Los desarrolladores están motivados y cuando se les preguntó por las fuentes de su motivación para aprender la formación en código seguro, esto es lo que nos dijeron:

• El 35% de los encuestados se guiaron por preocupaciones relacionadas con la empresa
• El 24% estaba motivado por razones personales
• El 41% se vio impulsado por motivaciones tanto personales como empresariales. 
  

Y cuando escarbamos un poco más, descubrimos que los 5 principales motivadores personales para la formación en código seguro son:

1. Mayor productividad y eficiencia
2. Curiosidad/interés personal
3. Evitar los problemas causados por un código inseguro
4. Posible promoción profesional
5. Uso más eficiente de los recursos humanos

Al considerar las motivaciones centradas en la empresa, los desarrolladores entienden cómo el aprendizaje de prácticas de código seguro podría aumentar la productividad. Los directivos pueden ver cómo la práctica de la codificación segura puede permitir un uso más eficiente de sus recursos humanos. Y aunque las motivaciones difieren de una región a otra, a escala mundial, el deseo de aumentar la productividad y la eficiencia sigue siendo la única constante.

‍

Dicho esto, los desarrolladores no siempre se ven impulsados a aprender sobre codificación segura por factores externos, como las exigencias del empleador. En muchos casos, las decisiones están motivadas por ellos mismos. Los desarrolladores se preocupan por lo que crean y están orgullosos de su trabajo, como se demuestra cuando observamos las cuatro razones principales que atraen a los desarrolladores a estudiar codificación segura. Mientras que el 25% de los desarrolladores dicen que quieren crear valor para sus empresas, el mismo porcentaje dice que les gustaría mejorar la calidad de su código. Para otros, se trata de la reputación, la visibilidad y el reconocimiento en el lugar de trabajo. El 70% dice que su empresa le reconoce cuando escribe código seguro. Y, como se ha dicho anteriormente, el 80% de los directores de desarrollo son más propensos a contratar a desarrolladores con habilidades de codificación segura.

Los desarrolladores están motivados, ¿por qué no están más comprometidos? 

Si los desarrolladores cualificados en seguridad son tan valorados y la motivación para aprender está ahí, ¿por qué escasean tanto?

Como hemos visto, los desarrolladores tienen razones claras para aumentar sus habilidades de codificación segura, pero siguen siendo reacios a gran parte de la formación de seguridad actual. Muy pocos la buscan. Basándonos en esta investigación, creemos que la respuesta es relativamente sencilla: La actual formación en codificación segura disponible es inadecuada, porque no aborda plenamente los factores clave que atraen a los desarrolladores a la codificación segura en primer lugar.

Veamos cada uno de estos factores. 

Cuando se trata de aumentar el valor y la eficiencia y mejorar la calidad de su código, los desarrolladores necesitan una formación que haga que la codificación segura sea intrínseca a su proceso diario. Necesitan las habilidades para identificar y corregir las vulnerabilidades mientras codifican, desde el principio. Para obtener la máxima relevancia y aplicabilidad inmediata, esa formación debe tener lugar en el lenguaje específico:marco de trabajo que utilizan cada día. Los enfoques de formación tradicionales no ofrecen esto y muchos desarrolladores los encuentran increíblemente aburridos e irrelevantes.

Como campeones del cambio en la codificación segura, Secure Code Warrior hace que la codificación segura sea una experiencia positiva y atractiva para los desarrolladores. Creemos que la formación debe impartirse de forma que inspire a los desarrolladores a querer aprender. Para ello es necesario realizar "simulaciones y retos prácticos, interactivos y relevantes para el trabajo que inspiren a los participantes a incorporar características de seguridad a su código desde el principio". Este enfoque de formación altamente interactivo centrado en el desarrollador sitúa las motivaciones de los desarrolladores para aprender en el centro de su programa de seguridad de aplicaciones. Si quiere ver cómo funciona todo, reserve una demostración ahora.

‍

Una versión de este artículo apareció en Lectura oscura. Se ha actualizado y sindicado aquí.

‍

Si alguna vez hubo algo que arruinara la Navidad en el sector de la ciberseguridad, es una devastadora filtración de datos que va camino de convertirse en el mayor evento de ciberespionaje que afecta al gobierno de Estados Unidos del que se tenga constancia.

El ataque a SolarWinds es de gran alcance, ya que los actores de la amenaza han vulnerado inicialmente el software a mediados de 2019. Este atraco, que duró meses, se descubrió en diciembre de 2020 después de que se utilizara para infiltrarse en la prominente empresa de ciberseguridad FireEye, y a partir de ahí se desencadenó la pesadilla. Todavía se está investigando el alcance total de la brecha, pero las áreas clave de la infiltración incluyen los Departamentos de Estado, Seguridad Nacional, Comercio y Tesoro de Estados Unidos, además del Instituto Nacional de Salud.

Este incidente va a tener continuas réplicas, pero la gran sofisticación del mismo es fascinante. A nivel técnico, se trata de una infiltración de varias capas que implica herramientas maliciosas personalizadas, puertas traseras y código encubierto, mucho más allá de la habilidad de los script kiddies que tan a menudo vemos explotando errores más obvios.

Blanqueo de códigos en su máxima expresión

CrowdStrike ha hecho más de su trabajo de genio en la ingeniería inversa del exploit, y detallando los hallazgos para que todos los vean. Ahora ha salido a la luz que SolarWinds fue víctima de una brecha en la infraestructura, permitiendo la inyección de código malicioso en las actualizaciones del sistema, lo que resultó en al menos cuatro herramientas de malware separadas que abrieron un acceso sin precedentes para los actores de la amenaza.

El método era encubierto y permitía una precisión estratégica que parece sacada de una novela de Jason Bourne. Ganó tiempo para husmear, planificar y atacar a las víctimas fuera de la red de SolarWinds exactamente cuando querían, en un ataque integral a la cadena de suministro. Y todo se llevó a cabo con un código que parecía completamente benigno. 

Los ciberataques suelen ser el resultado de errores simples, pero costosos. Y una vez descubiertos, los errores son bastante obvios; pensemos en una red mal configurada, en contraseñas almacenadas en texto plano o en software sin parches que es vulnerable a exploits conocidos. En este caso, el código no destacaba en absoluto, y no sólo para los desarrolladores e ingenieros de seguridad. Un amplio abanico de costosas y complejas tecnologías de seguridad tampoco lo detectaron.  

Las herramientas de supervisión de la seguridad y las pruebas de penetración se volvieron prácticamente inútiles

Los profesionales de la seguridad tienden a ser tan raros como los excrementos de los caballos, por lo que son ayudados en su intento de asegurar enormes cantidades de datos, software e infraestructura de la empresa, por una pila tecnológica que se adapta a las necesidades de seguridad de la empresa. Esto suele adoptar la forma de componentes como cortafuegos de red, pruebas de penetración automatizadas, herramientas de supervisión y escaneo, y estas últimas absorben mucho tiempo en el proceso de desarrollo de software. Este conjunto de herramientas puede convertirse rápidamente en una espiral y ser ingobernable para su gestión y ejecución, ya que muchas empresas utilizan más de 300 productos y servicios diferentes.

SolarWinds dispondría de una serie de herramientas muy útiles para encontrar y resaltar fallos de seguridad en el código, intentos de acceso no autorizado a la red, compromisos potenciales en cualquier parte de la infraestructura, e incluso detectar signos de evasión de la detección. Es inaudito que estos actores de la amenaza fueran capaces de inyectar código malicioso que no fue descubierto ni siquiera por la pila de seguridad más avanzada. 

El endurecimiento de la infraestructura -especialmente el control de acceso- es un componente fundamental de las mejores prácticas generales de ciberseguridad, pero si un atacante puede explotar silenciosamente una pequeña ventana de oportunidad, una red puede verse comprometida igual que una vulnerabilidad en un software independiente. 

Esta brecha es un recordatorio de que, en general, cualquier empresa que confíe exclusivamente en las herramientas para asegurar su infraestructura de red y su software está asumiendo un enorme riesgo. No siempre es suficiente con proteger el código; todo lo que lo almacena, ejecuta y compila debe estar igualmente fortificado. El estado ideal es un equilibrio entre herramientas y personas, ejecutando una estrategia robusta que profundice en la evaluación y reducción de la superficie de ataque potencial.

La concienciación de los equipos en materia de seguridad permite modelar mejor las amenazas

La brecha de SolarWinds ya ha comenzado a tener un impacto significativo en las operaciones de seguridad, especialmente a nivel gubernamental. Los expertos afirman que esto podría remodelar las prácticas de ciberseguridad para siempre.

Una infraestructura cada vez más digital impulsa nuestras vidas, y aunque puede ser vulnerable a los ataques si no se gestiona meticulosamente, nuestra estrategia general es defectuosa. Tenemos una gran escasez de personal en lo que se refiere a la experiencia en seguridad, y sin embargo no estamos haciendo mucho para cerrar la brecha. La concienciación sobre la seguridad impulsada por el ser humano es un elemento infrautilizado de la ciberseguridad, al igual que hacer de la prevención -en lugar de la reacción- una prioridad. 

La seguridad de las infraestructuras es una empresa compleja con muchas piezas en movimiento, pero, al igual que en la creación de software, los desarrolladores pueden ser una baza para reducir el riesgo estructural si reciben la formación adecuada y son conscientes de la seguridad. 

Los modelos de amenazas rara vez tienen en cuenta los ataques a la cadena de suministro, a pesar de que este tipo de ataque se destacó ya en 2012 como un riesgo clave que es difícil de prevenir con las técnicas actuales, y deja a muchas empresas mal preparadas. Los desarrolladores de software podrían desempeñar un papel fundamental en la prevención, y esto empieza por asegurarse de que están capacitados y son capaces de evaluar la integridad de su código desde dentro. ¿Han construido el mecanismo de actualización de forma segura? ¿Se ejecuta el software con una conectividad innecesaria que podría permitir un compromiso malicioso más fácil?

Cuando la seguridad es sinónimo de calidad del software, es fácil ver el inmenso valor que puede aportar un ingeniero consciente de la seguridad.

A medida que aumenta el número de ciberamenazas, las organizaciones se ven obligadas a elegir entre seguridad, practicidad y rapidez, exponiéndose a riesgos en el proceso. Se necesitan nuevos enfoques para la codificación segura, por lo que Secure Code Warrior se comprometió con Evans Data Corp. a llevar a cabo una investigación primaria sobre las actitudes de los desarrolladores hacia la codificación segura, las prácticas de código seguro y las operaciones de seguridad (descargue el artículo técnico aquí).

Lo que revela este informe es que, aunque sigue dominando el pensamiento reactivo de la "vieja escuela", cada vez hay más conciencia de la necesidad de soluciones más proactivas, que conviertan a los propios desarrolladores en la primera línea de defensa.  

Cualquier estudio sobre la adopción de prácticas de codificación seguras debe comenzar con la comprensión de los seres humanos implicados en su aplicación, su percepción de la misma y su capacidad para aplicarla. Esto nos lleva a la pieza más importante del rompecabezas: ¿cómo se les puede capacitar para codificar de forma más segura desde el principio y enviar código de calidad más rápido y con confianza? 

Codificación segura: ¿dónde estamos ahora y qué tiene que cambiar? Descargar la infografía "El elemento humano" ahora.

Perspectivas actuales: reactiva frente a proactiva

Cuando se preguntó a los desarrolladores y directores de desarrollo sobre las actividades que asocian a la codificación segura, las tres respuestas más importantes fueron:

• Uso de herramientas de escaneo en las aplicaciones desplegadas.
• Revisar manualmente el código en busca de vulnerabilidades.
• La práctica activa y continua de escribir software que esté protegido de las vulnerabilidades.

Como podemos ver, dos de las tres primeras respuestas siguen centrándose en enfoques reactivos: la primera depende de herramientas (escáneres), y la segunda del desarrollador (es decir, humano) que realiza comprobaciones manuales.

Al mismo tiempo, dos de las tres actividades nominadas dependen del elemento humano. Esto apunta a la creciente percepción de la seguridad como una cuestión humana. Pero de todas las actividades nominadas, la más reveladora es la número 3, que identifica el factor humano en la escritura de software protegido de las vulnerabilidades en primer lugar. Esto pone de manifiesto un cambio hacia la izquierda: un enfoque proactivo y preventivo que incorpora la seguridad al software desde el principio del SDLC. 

¿Dónde encaja la seguridad en el SDLC? 

Cuando se pregunta a los desarrolladores y a los responsables de desarrollo en qué punto del SDLC ven integradas las prácticas de código seguro, las opiniones difieren. El 55% de los gestores cree que la codificación segura está integrada en todo el proceso de desarrollo, frente a sólo el 43% de los desarrolladores. La diferencia podría reflejar las distintas funciones de estos dos grupos dentro del SDLC. Los directivos suelen estar menos implicados en el trabajo real de codificación y tienden a tener una visión de alto nivel, mientras que los desarrolladores pueden estar más preocupados por los detalles.

Pero desde el punto de vista general de la seguridad y la calidad del código, lo que resulta alarmante es que sólo el 13% de los desarrolladores y el 10% de los directivos afirman que las prácticas de seguridad del código deberían integrarse en las fases de diseño, justo al principio del SDLC. Se trata de una oportunidad enorme y no aprovechada. Según un estudio de IBM, es treinta veces más caro arreglar las vulnerabilidades en el código posterior al lanzamiento que si se detectan y remedian al principio.1 Eso es un poderoso incentivo para una nueva defensa proactiva y dirigida por el ser humano de la seguridad del software, que equipa a los desarrolladores para codificar de forma más segura, desde el principio. La seguridad del software no puede resolverse confiando únicamente en las herramientas, sino que debe tener en cuenta el elemento humano. 

¿Está preparado el elemento humano?

El 97% de los desarrolladores encuestados cree que ha recibido suficiente formación en codificación segura, y el 95% está de acuerdo en que la formación en codificación segura ha sido valiosa para su carrera. Pero antes de aceptar estas afirmaciones al pie de la letra, debemos preguntarnos: ¿Por qué siguen siendo tan frecuentes las vulnerabilidades del código? ¿Son las afirmaciones de los desarrolladores sobre su experiencia en código seguro sólo un caso de ego humano? Las pruebas apuntan ciertamente en esta dirección. Más del 88% de los desarrolladores encuestados admiten que la codificación segura es difícil de aprender, y el 91% de los directores de desarrollo reconocen que las prácticas de codificación segura son difíciles de aplicar. Cuando se les pidió que identificaran sus principales preocupaciones personales en torno a la implementación de la codificación segura, el 28% de los desarrolladores considera que el proceso de aprendizaje es difícil, mientras que el 24% considera que el proceso de aprendizaje es aburrido. Esto indica que la formación de los desarrolladores debe mejorar. 

¿Qué necesita el elemento humano? 

Para superar el factor "desafío", una formación segura que merezca la pena requiere un proceso de "andamiaje" que ayude al desarrollador a desarrollar habilidades de codificación segura paso a paso. Para lograr la máxima pertinencia y aplicabilidad inmediata, esa formación debe impartirse en el lenguaje específico: el marco de trabajo que utilizan a diario.

Para superar el factor "aburrimiento", la formación en código seguro debe impartirse de forma práctica, ya que se ha demostrado que resulta mucho más atractiva para los desarrolladores que los anticuados modelos de aula o de "ver este vídeo". Estos deben incluir simulaciones en vivo que permitan a los desarrolladores enfrentarse a retos de seguridad a veces arriesgados en un entorno seguro. El objetivo debe ser enseñar a los desarrolladores a encontrar y corregir vulnerabilidades en el código mientras trabajan y hacer que la codificación segura forme parte de su flujo diario. Otro factor clave es la supervisión y el asesoramiento dentro del IOE, que ayuda a los desarrolladores a aprender y actualizar constantemente el código, previniendo y eliminando las vulnerabilidades a medida que avanzan.

Si desea saber cómo proporcionar a sus desarrolladores este nuevo nivel de herramientas y formación centradas en el desarrollador, reservar una demostración ahora.

También puede descargue su copia del libro blanco Shifting from reaction to prevention: La cara cambiante de la seguridad de las aplicaciones.

‍

En un mundo en el que las ciberamenazas siguen multiplicándose, ¿están sus programadores dando un paso adelante? ¿Está el elemento humano de la codificación segura -el importantísimo desarrollador- preparado para desempeñar su papel en la seguridad de nuestro mundo conectado? Para responder a esta pregunta, veamos algunos datos de un estudio reciente sobre las actitudes de los desarrolladores hacia la codificación segura, las prácticas de código seguro y las operaciones de seguridad, realizado por Secure Code Warrior con Evans Data Corp.

Habilidades de codificación segura de los desarrolladores: percepciones frente a la realidad

En el informe Shifting from reaction to prevention: The changing face of application security, el 97% de los desarrolladores encuestados cree haber recibido suficiente formación en codificación segura, y el 95% está de acuerdo en que la formación en codificación segura ha sido valiosa para su carrera. Pero antes de aceptar estas afirmaciones al pie de la letra, debemos reflexionar y plantear algunas preguntas importantes. ¿Por qué las vulnerabilidades del código siguen siendo tan frecuentes? ¿Por qué, si los desarrolladores están tan bien formados en codificación segura, siguen apareciendo las mismas vulnerabilidades de siempre, una y otra vez, con las mismas 10 vulnerabilidades de software que han causado la mayoría de las violaciones de seguridad en los últimos 20 años?

¿Qué está pasando realmente? 

Los desarrolladores afirman estar bien formados en materia de seguridad, pero ¿podría tratarse de un exceso de confianza? Un factor revelador es que esta autoestima positiva deassessment contradice la opinión de los propios desarrolladores sobre la dificultad de la codificación segura. Aunque la mayoría de los desarrolladores afirman haber recibido una formación valiosa y suficiente, la mayoría de los desarrolladores y directores de desarrollo siguen considerando que la aplicación de prácticas de código seguro es más que difícil. 

• Más del 91% de los directores de desarrollo afirman que la aplicación de prácticas de código seguro es difícil. 
• Más del 88% de los desarrolladores consideran que codificar de forma segura es un reto. Los desarrolladores no reciben la formación necesaria en materia de código seguro, ya que se trata de un "elemento humano" muy importante, lo que indica la necesidad de mejorar la formación y la capacitación en materia de código seguro para que la seguridad sea algo intrínseco a su forma de pensar. 

¿Por qué es tan difícil implantar un código seguro?

Para entender por qué los desarrolladores y los directores de desarrollo consideran que la implantación del código seguro es un reto, se les pidió que identificaran sus principales preocupaciones con respecto a su implantación.

Esto reveló que el 28% considera que el proceso de aprendizaje es un reto, mientras que el 24% considera que el proceso de aprendizaje es en sí mismo aburrido.

Estas preocupaciones principales tienen implicaciones asociadas. Se necesita una formación más atractiva porque el proceso de aprendizaje es difícil. También es necesario que la formación sea más relevante para los desarrolladores porque el proceso de aprendizaje es aburrido, lo que pone de manifiesto la necesidad de un aprendizaje para adultos centrado en los desarrolladores.

"Quiero aprender algo para que se me quede grabado, y que pueda aplicarlo a otros escenarios de forma adecuada. Eso sería Secure Code Warrior."

Ingeniero de Software Senior @ ForgeRock

El eslabón perdido

Como campeones del cambio en la codificación segura, Secure Code Warrior adopta un enfoque dirigido por el ser humano que hace que el desarrollo de habilidades de codificación segura sea una experiencia positiva y gratificante. Conseguimos que los desarrolladores se comprometan plenamente con las prácticas de codificación segura a través de una formación 100% práctica, divertida e interactiva que les capacita para identificar y solucionar problemas de seguridad mientras codifican. Todo ello reduce el coste y el tiempo de lanzamiento al prevenir las vulnerabilidades antes de que se conviertan en la noticia de mañana. 

Pero no te fíes de nuestra palabra:

"El portal Secure Code Warrior® es una gran plataforma para aprender sobre las vulnerabilidades de seguridad en múltiples tecnologías. Es interesante e interactivo".

Probador de seguridad, pequeña empresa minorista
TVID: 5AC-3CA-F68

"El uso de la gamificación por parte deSecure Code Warriornos ha ayudado a enfatizar la importancia de la codificación segura de una manera refrescante, divertida y atractiva".

Ingeniero de software, empresa de servicios financieros de la lista Global 500
TVID: B0D-73D-BE3

Y hay muchos más. Así que si quieres ver este nuevo enfoque de la formación en código seguro de cerca y en persona, y ver cómo convierte a los desarrolladores en verdaderos superhéroes de la seguridad, nos encantaría mostrártelo.