Una versión de este artículo apareció originalmente en DZone. Ha sido actualizado y sindicado aquí.

La versión 4.0 del Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) cambiará casi todo sobre la seguridad para cualquier negocio u organización que acepte pagos electrónicos, que es la gran mayoría de ellos. Y no nos equivoquemos, esta actualización será transformadora para la mayoría de las empresas, ya que les obligará a actualizar muchos de sus procesos de seguridad y, potencialmente, a desplegar nuevas protecciones en materia de cifrado, autenticación, control de acceso, gestión de claves y otras áreas que pueden haber tardado en adoptar hasta ahora.

Debido a la complejidad de los nuevos requisitos, las organizaciones tienen de plazo hasta marzo de 2025 para cumplirlos plenamente. Pero ese plazo llegará antes de lo que la mayoría de la gente cree. De hecho, muchas empresas con visión de futuro están tomando medidas ahora mismo para permitir a sus desarrolladores navegar por el panorama de cumplimiento pendiente. 

Más allá de la mera formación

Los desarrolladores de una organización escriben el código en el que se basa gran parte de su infraestructura, por lo que es lógico que sean un buen punto de partida a la hora de implantar los nuevos requisitos de PCI DSS 4.0. Sin embargo, la mayoría de los desarrolladores necesitarán apoyo estratégico para actualizar sus conocimientos como parte de un programa actualizado de concienciación sobre la seguridad. De este modo, se asegurarán de que cuentan con la experiencia necesaria para implantar y mantener los mayores niveles de seguridad que exige la nueva norma. 

De hecho, el requisito 12.6.2 de la norma PCI DSS 4.0 obliga a las organizaciones a implantar un programa de seguridad formal y a mantenerlo actualizado con la información más reciente sobre amenazas y técnicas defensivas. Con la norma anterior, los programas de seguridad básicos o incluso la formación anual para el cumplimiento de la normativa, al estilo de "marcar la casilla", cumplían el objetivo. Esta nueva norma exige mucho más, incluso requiere que los programas de formación en seguridad aborden amenazas y vulnerabilidades específicas dentro del entorno de una empresa. Por ejemplo, si el robo de identidades es un gran problema para una organización, la formación debe abordarlo.

Está claro que una formación mínima ya no será suficiente ni desde el punto de vista práctico ni para cumplir la nueva norma. En su lugar, las organizaciones deben proporcionar a los desarrolladores vías de aprendizaje completas y ágiles que les enseñen a aplicar las mejores prácticas de seguridad a su trabajo real y cotidiano. Al ir más allá de los esfuerzos mínimos de cumplimiento y proporcionar a los desarrolladores los recursos que necesitan para comprender realmente la seguridad, las organizaciones pueden capacitar a sus desarrolladores para tomar mejores decisiones de seguridad en general, al tiempo que cumplen con PCI DSS 4.0.

La buena noticia es que muchos de los nuevos requisitos de PCI DSS 4.0 están dirigidos a áreas con las que la mayoría de los desarrolladores ya están familiarizados, como la autenticación, el cifrado, el control de acceso, la gestión de claves y otras. Cuando los desarrolladores reciben recursos adecuados, relevantes y familiares para desarrollar sus habilidades, las organizaciones pueden prepararlos más fácilmente para los nuevos estándares y las mayores responsabilidades que exigirá PCI DSS 4.0.

Utilizar PCI DSS 4.0 como pasarela para mejorar la seguridad en general

Aunque abordar las necesidades de los desarrolladores con una buena formación en seguridad será clave para cumplir con éxito la nueva norma PCI DSS 4.0, el esfuerzo de llevar a una organización hacia una mejor ciberseguridad no tiene por qué terminar ahí. Sí, los requisitos son rigurosos, pero dado que la mayoría de las organizaciones tendrán que trabajar para cumplirlos, no hay razón para no utilizar ese esfuerzo como trampolín para poner en marcha una mejor concienciación y formación en materia de seguridad en general. Esto no sólo ayudará a una organización a cumplir los requisitos de conformidad, sino que también empezará a fomentar una cultura de seguridad positiva que dé prioridad a las mejores prácticas y garantice que todos los miembros de la organización trabajen por el mismo objetivo, la seguridad ante todo. 

Es cierto que hay una curva de aprendizaje, pero es probable que los desarrolladores se sumen a este esfuerzo. En una encuesta realizada por Evans Data a más de 1.200 desarrolladores profesionales que trabajan activamente en todo el mundo, la inmensa mayoría dijo que apoyaba el concepto de crear código seguro y establecer una mejor cultura de la seguridad en sus organizaciones. Está claro que la mayoría de los desarrolladores ven con buenos ojos un cambio estratégico y respaldado hacia la codificación segura y una nueva priorización de la seguridad como parte del proceso de desarrollo. 

Las actualizaciones de seguridad exigidas por la norma PCI DSS 4.0 constituyen una excusa perfecta para que las empresas inviertan en mejores prácticas de seguridad y formación, y adopten una mejor cultura general de seguridad dentro de su organización.

Los desarrolladores pueden alcanzar más fácilmente niveles más altos de madurez de seguridad si sus empresas invierten en un programa que les permita integrar sus conocimientos en codificación segura con las herramientas y la formación pertinentes. Esto, a su vez, puede ayudar a crear una cultura de la seguridad en la que los desarrolladores estén más capacitados para tomar mejores decisiones que mejoren la postura general de seguridad de su organización mucho más allá incluso de las nuevas y rigurosas normas PCI DSS 4.0.
‍

Hemos llegado a ese momento del año. El momento de reflexionar sobre todo lo que ha pasado, lo que pensábamos que pasaría y no pasó, las lecciones aprendidas y lo que esperamos que dé forma a las decisiones, acciones y resultados de los próximos 12 meses. 

Una dinámica económica desafiante, amenazas emergentes a la ciberseguridad y la introducción más accesible de la sociedad a la IA hasta la fecha, dieron forma a lo que fue un interesante 2023 para DevSecOps. Y lo que es aún más curioso, ninguno de estos elementos está en el retrovisor al pasar página y adentrarnos en 2024. Están en primer plano para las organizaciones, sus equipos de desarrolladores y de ciberseguridad, y los reguladores gubernamentales. 

Mientras las prioridades cambian a un ritmo vertiginoso, he aquí las principales predicciones que Secure Code Warrior prevé para los próximos 12 meses: 

Las organizaciones darán prioridad a la retención de los desarrolladores 

Los desarrolladores aportan un valor inmenso a las organizaciones y a sus clientes. Ahora corresponde a las organizaciones demostrar su valor y apreciar lo que el desarrollador puede hacer por su cuenta de resultados. Se invertirá más en estrategias de retención, programas y otros esfuerzos para garantizar que los desarrolladores estén más capacitados para hacer de su empleador actual su destino profesional a largo plazo. La formación y el desarrollo serán un gran factor diferenciador para estas empresas. 

Más peticiones a los desarrolladores pondrán el contenido y las integraciones en el centro del escenario. 

Las presiones a las que se ven sometidos los desarrolladores no cesarán en breve, sabiendo que las organizaciones quieren más software y que la transformación digital continua llegue antes a manos de sus clientes. Para que los desarrolladores se mantengan alerta, se anticipen a los obstáculos que surjan en los ciclos de vida de desarrollo de software (SDLC) y tengan acceso a más recursos para acelerar la innovación, será de vital importancia contar con más contenidos de aprendizaje e integraciones de terceros. 

Las herramientas de IA son el nuevo Stack Overflow 

Del mismo modo que los desarrolladores acuden a Stack Overflow o a foros de código abierto en busca de ayuda, los desarrolladores empezarán a recurrir a herramientas de IA. Sin embargo, esto crea una falsa sensación de seguridad. Los desarrolladores utilizarán la IA como "canal de ayuda", pero las organizaciones se darán cuenta de que este enfoque no es suficiente. 

La remediación de la IA ha llegado para quedarse 

La IA no sustituirá al desarrollador el día de mañana, pero la tecnología está cada vez más integrada en el ciclo de vida de desarrollo del software (SDLC), creando un proceso más infalible para evitar la introducción de vulnerabilidades, o para identificar una solución compatible. Seguramente veremos más experimentos a lo largo del año que inevitablemente provocarán un cambio en el comportamiento de los desarrolladores, la inversión de las organizaciones, la reasignación de personal y nuevos enfoques para la gestión de riesgos de ciberseguridad. 

Dependencia de la IA + crecimiento explosivo de las API = medidas reguladoras

El número de empresas que impulsan sus negocios mediante la creación acelerada y la habilitación de API ha ampliado significativamente el vector de amenazas de las API. Con la propensión del uso de la IA a aumentar exponencialmente la velocidad a la que se crean y lanzan las API, será necesario centrarse en una mayor gobernanza de la seguridad de las API, y es seguro que se introducirán nuevas medidas reguladoras. 

Más consecuencias para los proveedores de software que no distribuyan código seguro 

La directora de la CISA, Jen Easterly, ha dejado muy claro que no se debe permitir que los proveedores de software "pasen la pelota" cuando se trata de la seguridad de sus productos. Aunque los poderes de la CISA sólo llegan hasta cierto punto -ayudar a hacer cumplir las prácticas de seguridad por diseño a los proveedores que venden a agencias federales-, el incidente de MOVEit a principios de este año reafirmó que los grandes proveedores de software necesitan alcanzar y superar un nuevo punto de referencia. Tiene que haber más responsabilidad y más consecuencias para los infractores reincidentes que distribuyen código inseguro.

El Top 10 de OWASP de 2024 mostrará un renovado interés por los fallos de diseño 

Hablando de seguridad por diseño, en 2021, OWASP introdujo la categoría "Diseño inseguro", centrada en el cambio hacia problemas y fallos de seguridad arquitectónica. A medida que nos anticipamos a su próxima lista de los 10 principales (muy probablemente en 2024), habrá una mayor conversación a nivel ejecutivo sobre la diferencia entre diseño inseguro e implementación insegura, con énfasis en los equipos que desarrollan un ciclo de vida de desarrollo de software seguro (SSDLC), incluyendo un procedimiento completo de modelado de amenazas que soporta la autenticación crítica y la configuración de control de acceso. 

Los proveedores de DevSecOps tendrán que demostrar un ROI específico para dirigirse a diferentes compradores ejecutivos 

Para vender a varios grupos en un ciclo de ventas competitivo, los proveedores tendrán que adaptar las conversaciones a las distintas áreas de la empresa. Tradicionalmente, los proveedores de seguridad se dirigen principalmente a los CISO o a los responsables de seguridad. En 2024, habrá una mayor necesidad de la capacidad de demostrar la reducción de riesgos en contextos cada vez más específicos para los ejecutivos a través de L&D y DevOps/AppSec - además de Seguridad/CISOs.

El "gatekeeping" será la puerta de entrada a la madurez de la seguridad en el desarrollo de software 

Los CISO siguen estando sometidos al escrutinio de demostrar el valor empresarial de los esfuerzos de ciberseguridad, así como la eficacia de su programa a lo largo del tiempo. Los desarrolladores tendrán que demostrar cada vez más que son conscientes de la seguridad antes de que se les asignen proyectos con repositorios sensibles. Los CISO que adopten una norma de "control de acceso" y den prioridad a la codificación segura desde el principio del proceso de creación de software posicionarán mejor a sus equipos para la excelencia en seguridad. 

La seguridad reactiva se considerará anticuada 

A medida que el objetivo de aumentar la resiliencia cibernética sigue dominando las estrategias cibernéticas en múltiples sectores verticales, aquellos que confían en la reacción y la respuesta a incidentes como los únicos principios básicos de su plan se encontrarán en un lugar de exposición y riesgo inaceptables. El "giro a la izquierda" debe ser algo más que una palabra de moda que envejece rápidamente; la seguridad a nivel de código debe ser prioritaria, junto con la mejora de las cualificaciones y la verificación de la competencia de los desarrolladores que trabajan en el software y la infraestructura digital crítica que damos por sentada. Ahora más que nunca, tanto los gobiernos como las empresas deben comprometerse con un programa de seguridad preventivo y altamente concienciado en el que cada miembro del personal pueda compartir la responsabilidad.

Como líderes en formación e implantación de codificación segura, estamos entusiasmados con el año que se avecina y con la colaboración con nuestros más de 600 clientes para adelantarnos a esta dinámica cambiante. Qué aspecto tiene su 2024 y cómo puede ayudarle Secure Code Warrior ?

¿Quiere saber más? Síganos en X y LinkedIn para estar al día de todos los anuncios.

La velocidad de la innovación en la computación en la nube y la IA está en su punto más alto. Netskope, líder mundial en SASE, ayuda a las organizaciones a sacar partido de todo ello al tiempo que aborda las amenazas en evolución, los nuevos riesgos y los cambios tecnológicos. Sin embargo, estas dinámicas desafiantes han ejercido presiones añadidas sobre el ciclo de vida de desarrollo de software.

James Robinson, CISO adjunto de Netskope, ha estado a la vanguardia de la búsqueda de formas de garantizar que el equipo de desarrollo de su organización se mantenga al día en los nuevos lenguajes y tecnologías, pero también que el equipo esté capacitado en el panorama de la seguridad en constante evolución. Cuando se dio cuenta de que las capacidades de formación actuales sólo cubrían un puñado de lenguajes, era obvio que se necesitaba una alternativa mejor.

Al trabajar con Secure Code Warrior, han creado un programa que hace que los contenidos de seguridad sean visibles y accesibles para los desarrolladores, de modo que no se desvíen hacia soluciones no validadas. Los contenidos personalizables y la miríada de actividades prácticas de aprendizaje de Secure Code Warrior han cambiado el juego para Netskope, con una mayor participación en el ágil learning platform de SCW y el hecho de que estos esfuerzos ya no se sienten como si fueran un check-the-box - sino contenidos y activaciones significativas para la comunidad de desarrolladores.

¿Cómo ha sido su viaje completo y cuáles han sido los resultados hasta ahora?

• Descubra la historia de Netskope en este nuevo estudio de caso que puede leer aquí.
• Vea aquí un seminario web conjunto con Secure Code Warrior y Netskope sobre "Ir más allá del cumplimiento de la normativa". 

Se mire por donde se mire, existe una fijación constante con la tecnología de IA en casi todas las verticales. Alabada por algunos como la respuesta a la creación rápida de funciones en el desarrollo de software, la ganancia en velocidad tiene un precio: la posibilidad de que se introduzcan graves errores de seguridad en las bases de código, gracias a la falta de conocimiento contextual de la propia herramienta y a los escasos conocimientos de seguridad de los desarrolladores que confían en ella para aumentar la productividad y generar respuestas a situaciones de desarrollo difíciles. 

La tecnología LLM (Large Language Model) representa un cambio radical en las herramientas de asistencia y, si se utiliza de forma segura, podría convertirse en el compañero de programación en parejas que tantos ingenieros de software anhelan. Sin embargo, se ha demostrado rápidamente que el uso descontrolado de las herramientas de desarrollo de IA puede tener un impacto perjudicial, y un estudio de 2023 de la Universidad de Stanford reveló que la dependencia de los asistentes de IA probablemente daría lugar a un código con más errores e inseguro en general, además de un aumento de la confianza en que el resultado es seguro.

Aunque es válido suponer que las herramientas seguirán mejorando a medida que avance la carrera por perfeccionar la tecnología de la IA, una serie de recomendaciones -incluida una nueva Orden Ejecutiva de la Administración Biden, así como la Ley de Inteligencia Artificial de la UE- convierten su uso en un camino complicado en cualquier caso. Los desarrolladores pueden adelantarse perfeccionando sus habilidades de seguridad a nivel de código, su concienciación y su pensamiento crítico en torno a los resultados de las herramientas de IA y, a su vez, convertirse en ingenieros de mayor nivel.

¿Cómo introducen vulnerabilidades los asistentes de codificación de IA? Juega a nuestra NUEVA misión pública y compruébelo usted mismo.

‍

Ejemplo: Cross-site scripting (XSS) en 'ChatterGPT'.

Nuestra nueva misión pública revela la interfaz familiar de un LLM popular, y utiliza un fragmento de código real generado a finales de noviembre de 2023. Los usuarios pueden interpretar este fragmento e investigar cualquier posible fallo de seguridad si se utilizara para el fin previsto.

Basándose en la pregunta: "¿Puedes escribir una función JavaScript que cambie el contenido del elemento HTML p, cuyo contenido se pasa a través de esa función?", el asistente de IA produce obedientemente un bloque de código, pero no todo es lo que parece.

¿Has jugado ya al desafío? Si no es así, inténtalo ahora antes de seguir leyendo.

... vale, ahora que lo has completado, sabrás que el código en cuestión es vulnerable a cross-site scripting (XSS). 

El XSS es posible gracias a la manipulación de la funcionalidad básica de los navegadores web. Puede producirse cuando una entrada no fiable se muestra como salida en una página, pero se interpreta erróneamente como código ejecutable y seguro. Un atacante puede colocar un fragmento malicioso (etiquetas HTML, JavaScript, etc.) dentro de un parámetro de entrada que, cuando se devuelve al navegador, se ejecuta en lugar de mostrarse como datos.

Uso seguro de los asistentes de codificación de IA en el desarrollo de software

Una encuesta reciente realizada a equipos de desarrollo en activo reveló que casi todos ellos (el 96 %) han empezado a utilizar asistentes de IA en su flujo de trabajo, y que el 80 % incluso se salta las políticas de seguridad para mantenerlos en su conjunto de herramientas. Además, más de la mitad reconoció que las herramientas de IA generativa suelen crear código inseguro, aunque es evidente que esto no frenó su adopción.

En esta nueva era de los procesos de desarrollo de software, desalentar o prohibir el uso de estas herramientas es poco probable que funcione. En su lugar, las organizaciones deben permitir que sus equipos de desarrollo utilicen las ganancias de eficiencia y productividad sin sacrificar la seguridad o la calidad del código. Esto requiere una formación precisa sobre las mejores prácticas de codificación segura, y darles la oportunidad de ampliar sus habilidades de pensamiento crítico, asegurándose de que actúan con una mentalidad de seguridad en primer lugar, especialmente al evaluar la amenaza potencial de la salida de código del asistente de IA. 

Para saber más

Para XSS en general, consulte nuestra guía completa.

¿Quiere saber más sobre cómo escribir código seguro y mitigar los riesgos? Pruebe gratis nuestro desafío de inyección XSS.

Si está interesado en obtener más directrices de codificación gratuitas, consulte Secure Code Coach, que le ayudará a mantenerse al día de las mejores prácticas de codificación segura.

‍

En el panorama en constante evolución de la ciberseguridad, el papel de los desarrolladores en la protección de los activos digitales es cada vez más importante. Sin embargo, el reto reside en educar a los desarrolladores que, inherentemente centrados en la resolución de problemas y la eficiencia, pueden no dar prioridad a la seguridad. En esta entrada de blog, exploramos tres pasos críticos para estructurar un programa de educación en seguridad que no sólo involucre a los desarrolladores, sino que también reduzca significativamente las vulnerabilidades, enun notable 53%. Desde el fomento de las relaciones hasta la aplicación de un enfoque escalonado, estas estrategias tienen como objetivo dotar a los desarrolladores de los conocimientos y habilidades necesarios para unas prácticas de codificación seguras.

1. Establecer relaciones y mantener el compromiso de los promotores 

Los desarrolladores a menudo carecen de conocimientos iniciales sobre seguridad, pero su principal objetivo es resolver rápidamente los problemas relacionados con el código. Para despertar su interés por la seguridad, es crucial hacer hincapié en el valor de estos temas y hacerlos prácticos. Es fundamental implantar un programa que permita a los desarrolladores formarse de forma independiente y a su propio ritmo en todos los lenguajes de programación de su pila tecnológica. Establezca relaciones sólidas con los desarrolladores y los jefes de equipo para asignar un tiempo realista a la formación sobre código seguro.

El primer paso fundamental es implantar un programa que permita a los desarrolladores ser independientes y formarse a su propio ritmo. Esto significa que debe abarcar todos los lenguajes de programación utilizados en su pila tecnológica. Tenga en cuenta las necesidades de aprendizaje de los desarrolladores en un entorno complejo y piense en cómo funcionará junto con sus herramientas de seguridad existentes para ayudar en la gestión de vulnerabilidades.

2. Priorizar las vulnerabilidades recurrentes  

Utilizando sus herramientas de escaneo y pruebas de penetración, vigile de cerca sus vulnerabilidades críticas y recurrentes para orientarse sobre qué contenido educativo de codificación segura construirá las piedras angulares de su programa. Utilizar sus herramientas existentes e integrar estos hallazgos en su programa de código seguro será clave. Considere también las siguientes métricas para priorizar sobre qué vulnerabilidades necesitan ser educados sus desarrolladores: 

• Edad media de vulnerabilidad 
• Número de vulnerabilidades pendientes
• Tiempo medio de resolución (MTTR)  
• Número de vulnerabilidades cerradas frente a vulnerabilidades abiertas
• Número de incidencias por línea de código propio (no de terceros)

Las expectativas en torno a los resultados del programa también deben fijarse desde el principio. Los desarrolladores que participen en el programa deben alcanzar un determinado nivel de conocimientos de codificación segura, que puede medirse por el número de vulnerabilidades que resuelven y no vuelven a introducir. 

3. Implantar un programa escalonado de desarrollo de habilidades de codificación segura 

Una vez que haya integrado la participación de los desarrolladores en la seguridad con el proceso de análisis y pruebas, es el momento de animar a los desarrolladores a ser proactivos a la hora de perfeccionar sus habilidades de codificación segura, incentivándoles para que continúen con su formación en codificación segura. Esto puede hacerse estructurando el programa en niveles o "cinturones" para que los desarrolladores avancen hacia áreas más complejas de la seguridad. 

He aquí un ejemplo de cómo Thales estructuró su programa de educación en seguridad: 

1. Concienciación : aumenta el nivel básico de concienciación en materia de seguridad y establece una base de referencia para los conocimientos de los desarrolladores sobre el tema de la seguridad .
2. Básico: enseña conocimientos básicos de seguridad, como detectar código vulnerable y comprender las vulnerabilidades más comunes .
3. Autónomo: utiliza tácticas probadas para localizar y corregir vulnerabilidades con la ayuda de Secure Code Warrior.
4. Experto: se convierte en un defensor de la seguridad definido y experto en todas las áreas relevantes importantes para la empresa.

Promover el autoaprendizaje también motivará a sus desarrolladores a mantenerse al día sobre nuevos vectores de ataque, mejores prácticas, nuevos lenguajes y vulnerabilidades recién descubiertas. Una vez que todos hayan alcanzado un nivel básico de competencia en codificación segura, aproveche un programa que le ayude a ahorrar tiempo con sólo un par de aprendizajes clave cada mes a través de contenido relevante, en lugar de una formación anual de una hora orientada al cumplimiento. El tiempo ahorrado mediante la formación de los desarrolladores se manifestará en la reducción del trabajo necesario para corregir vulnerabilidades que no deberían haberse introducido en primer lugar. 

Conclusión:

En el dinámico ámbito de la ciberseguridad, en el que las amenazas mutan tan rápidamente como avanza la tecnología, un programa de formación en codificación de seguridad proactivo y bien estructurado para los desarrolladores es una salvaguarda empresarial fundamental. Mediante la creación de relaciones sólidas con los desarrolladores, la priorización de las vulnerabilidades recurrentes y la aplicación de un desarrollo de habilidades por niveles, las organizaciones pueden fortalecer su código base contra una brecha potencialmente devastadora. 

El éxito de un programa de este tipo no se mide meramente en la reducción de vulnerabilidades, sino en el cultivo de una mentalidad de seguridad ante todo entre los desarrolladores. A medida que navegamos por el complejo terreno de la seguridad digital, la capacitación de los desarrolladores a través de la educación se perfila como una potente estrategia para transformar una organización en un ecosistema digital resistente y seguro.

Secure Code Warrior está aquí para ayudarle a codificar de forma segura a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados al código inseguro.

Capacitar a los desarrolladores, aumentar la productividad y mitigar los riesgos

Secure Code Warrior se enorgullece de continuar con su misión de dotar a los desarrolladores y a las organizaciones de las habilidades necesarias para combatir las amenazas a la seguridad en constante evolución. En 2023, trabajamos con más de 600 empresas, y al analizar los datos de casi 75.000 desarrolladores, nuestra investigación muestra que aquellos que se comprometen con Secure Code Warrior reducen las vulnerabilidades hasta en un 53%. Esto, a su vez, se traduce en un enorme aumento de la productividad de los desarrolladores, además de ayudar a los equipos de AppSec y de seguridad a protegerse frente a los riesgos y reforzar la postura de seguridad de su organización.

A medida que nos acercamos a 2024, hemos pensado que sería útil repasar algunos de los principales avances en productos, asociaciones estratégicas y actualizaciones de la empresa que hemos realizado este año. 

‍

Innovaciones de productos

Hemos vivido un año excepcional para el aprendizaje de código seguro en nuestra comunidad de desarrolladores. He aquí algunos de los aspectos más destacados:

• Hemos añadido dos nuevos lenguajes a la plataforma (Terraform:GCP y Dart:Flutter) y hemos distribuido Coding Labs en nueve lenguajes y marcos de trabajo diferentes. 
• Secure Code Warrior albergó 820 Tournaments en 2023.
• De media, los desarrolladores dedicaron 2,3 minutos a los Coding Labs, completando más de 100.000 laboratorios en 2023. Eso suma más de 4.200 horas dedicadas a la nueva actividad de aprendizaje de Secure Code Warrior. 
• Por último, echemos un vistazo a los 10 principales sectores de procedencia de nuestros desarrolladores en función del número de alumnos activos en la plataforma. 

En 2023, Secure Code Warrior introdujo Coding Labs, nuestra actividad de aprendizaje más avanzada e interactiva, diseñada para elevar la educación en seguridad de los desarrolladores. Esta adición proporciona retroalimentación contextual en tiempo real y actualmente está disponible en más de 9 lenguajes y frameworks. Coding Labs actúa como un entrenador personal, facilitando un aprendizaje más rápido y la mejora de habilidades, y haciendo que sea más rápido para los desarrolladores pasar de "aprender" a "hacer". 

Secure Code Warrior ha seguido ampliando su biblioteca de contenidos líder en el sector con la incorporación de dos nuevos lenguajes de programación: Dart:Flutter y TeraformGCP. Otras mejoras incluyen la incorporación de directrices en courses y la integración de SCW Jira, que ofrece a los desarrolladores una visión más profunda y consejos de corrección en profundidad dentro de sus flujos de trabajo. La introducción de Multi-company Tournaments ayuda a fomentar la competencia amistosa entre desarrolladores de varias empresas y filiales, garantizando una cultura de codificación segura y escalable. Además, el despliegue de SCIM permite a los propietarios de los programas y a los administradores de las empresas gestionar las licencias de Secure Code Warrior mediante programación, garantizando la precisión y el cumplimiento a escala.

¿Quiere saber más sobre las últimas innovaciones de nuestros productos? Póngase en contacto con su Gestor de éxito de clientes o visite nuestra biblioteca de recursos para ver uno de los muchos seminarios web de productos disponibles. 

‍

‍

Asociaciones estratégicas e integraciones

Ha surgido una notable colaboración con Synopsys Developer Security Training, impulsada por Secure Code Warrior. Esta integración ofrece una estrategia de bucle cerrado para prevenir los riesgos de seguridad en el escritorio del desarrollador, acelerando la corrección de problemas a lo largo del ciclo de vida de desarrollo del software (SDLC) y las canalizaciones CI/CD. El objetivo de la asociación es establecer un enfoque global del desarrollo seguro, con reducciones cuantificables de los riesgos.

Más información sobre la asociación aquí. 

‍

Devolimpiadas 2023

Devlympics, un evento mundial anual tournament organizado por Secure Code Warrior, contó con la participación de más de 1000 desarrolladores en 2023. El evento atrajo la atención de los profesionales de la seguridad de todo el mundo, con comentarios abrumadoramente positivos:

• El 94% disfrutó participando en tournament.
• El 90% manifestó su interés por participar en la edición del año próximo.
• El 62% calificó la plataforma SCW con un 10/10, y el 91% la recomendaría a sus colegas.
• Más del 85% utilizaría la plataforma SCW si su organización tuviera acceso a tiempo completo.

Lea el informe completo aquí. ¿No quiere perderse las Devolimpiadas del año que viene? Marque en su calendario los días 15 y 16 de octubre de 2024 y registre su interés para que le mantengamos informado. 

‍

Escuche a sus colegas

A medida que nos hemos ido asociando con nuestros clientes, Secure Code Warrior se ha ido integrando profundamente en su ecosistema de seguridad y ha tenido un profundo impacto en la productividad de sus desarrolladores y en la reducción de riesgos. Este año hemos tenido noticias de varios clientes y hemos recopilado las principales enseñanzas y opiniones de sus expertos en la materia para compartirlas con nuestros colegas de la comunidad de seguridad de aplicaciones en general.  

• Workday: Una notable reducción de 4662 problemas de seguridad a cero en aproximadamente 18 meses.
• Thales: Logró una reducción global de vulnerabilidades en dos años, sin reintroducción a nivel de código fuente.
• Envestnet: Los desarrolladores solucionaron 2,7 veces más vulnerabilidades que sus compañeros, cerrando problemas a un ritmo de 4,5 por desarrollador.
• Netskope: Alcanzar sus objetivos de cumplimiento sin la formación tradicional "check-the-box", con mayores tasas de compromiso en su programa de codificación segura.
• Colgate-Palmolive: Colocó a los desarrolladores en el centro de su estrategia de código seguro e integró Secure Code Warrior a la perfección en sus flujos de trabajo mediante Okta.
• Sage: Creó una comunidad de campeones de seguridad de primera clase y redujo el tiempo medio de corrección de vulnerabilidades en un 82%.

Escuche directamente a nuestros clientes hablar de cómo han creado sus programas de código seguro, fomentado una cultura en la que la seguridad es lo primero y mejorado su postura de seguridad. 

‍

Respuesta rápida de SCW a las vulnerabilidades de ciberseguridad

Secure Code WarriorEl programa de Respuesta Rápida de la Comisión Europea aborda las vulnerabilidades críticas actuales que asolan nuestro mundo, como el exploit de día cero MOVEit, las vulnerabilidades de alta gravedad libcurl/curl y mvcRequestMatcher Spring. Estos incidentes subrayan la importancia de adoptar medidas de seguridad proactivas y de educar continuamente a los equipos de ingeniería sobre las vulnerabilidades recientes. Más información sobre estas vulnerabilidades críticas a continuación, cada uno viene con una misión libre que se puede jugar a través de la práctica.

• MOVEit Zero-day misión gratuita
• libcurl/ misión de vulnerabilidad de curl 
• mvcRequestMatcher Misión de Spring 

‍

Financiación importante y reconocimiento

Con oficinas en Sídney y Melbourne (Australia), Boston (EE.UU.), Bélgica e Islandia, SCW se enorgullece de albergar una comunidad de desarrolladores que representan una amplia variedad de sectores y regiones. 

El 13 de julio de 2023, Secure Code Warrior anunció un logro sin precedentes: el cierre de su ronda de financiación de serie C, liderada por Paladin Capital Group, con la impresionante cifra de 50 millones de dólares. Esto eleva la financiación total a más de 100 millones de dólares, lo que subraya la confianza y el apoyo obtenidos desde la creación de la empresa.

‍

Únase a la creciente comunidad 

Secure Code WarriorEl compromiso de la empresa con la innovación, las asociaciones estratégicas y el éxito de sus clientes nos enorgullece de celebrar nuestros éxitos como líder en formación e implantación de codificación segura. 

¿Quiere saber más? Síganos en X y LinkedIn para estar al día de todos los anuncios. 

Eso es todo por ahora, ¡nos vemos en 2024!

Cómo el aprendizaje ágil con Secure Code Warrior reduce las vulnerabilidades

La educación en materia de seguridad debe evolucionar 

Uno de los retos a los que se enfrentan los equipos de seguridad hoy en día es que no hay tiempo suficiente para integrar la codificación segura en una fase más temprana del ciclo de desarrollo. Los responsables de seguridad también deben replantearse el valor que los desarrolladores obtienen de la experiencia de aprendizaje del código seguro, cómo hacer que el programa sea más atractivo y, lo que es más importante, más impactante. Lo último que se desea es que el programa de formación en seguridad se perciba como un obstáculo para la productividad. El objetivo de abordar la formación en seguridad para desarrolladores debería basarse en vías atractivas, integraciones con flujos de trabajo y una amplitud de contenido que ayude a que los conceptos se queden grabados, lo que se traduce en una reducción de las vulnerabilidades que se introducen. 

Al integrar el aprendizaje seguro del código en el flujo de trabajo de sus desarrolladores y reducir la carga de tiempo que les supone, estos pueden ver un gran impulso en su capacidad para codificar de forma más segura y ser más productivos. Secure Code Warrior ha analizado los datos de más de 75 000 desarrolladores que utilizan nuestra plataforma y ha descubierto que el aprendizaje ágil ayuda a los desarrolladores a introducir un 53 % menos de vulnerabilidades en el código base. 

Esto requiere un cambio de enfoque para que los desarrolladores se entusiasmen con el tema a través de un aprendizaje más práctico e integraciones con sus herramientas y entorno para impulsar un compromiso más profundo y momentos de microaprendizaje con un gran impacto. 

Según Derek Fisher, líder en seguridad de aplicaciones, "Todos estamos bastante familiarizados con la formación anual sobre cumplimiento a la que nos someten en cualquier organización. Suele ser lo que yo llamo 'la muerte por Powerpoint', un montón de diapositivas y tal vez un assessment al final... realmente ineficaz y consume mucho tiempo. Teníamos formación, pero era la habitual basada en el cumplimiento, con alguna formación específica sobre seguridad basada en diapositivas y grabaciones de audio. Nos dimos cuenta de que los desarrolladores no se implicaban mucho ni aprendían de los materiales, así que tuvimos que cambiar de estrategia."

Integre la experiencia de aprendizaje con sus flujos de trabajo de desarrollador

Secure Code Warriorofrece contenido de microburst justo a tiempo en el flujo de trabajo diario del desarrollador. Esta integración con las herramientas de seguridad está diseñada para eliminar el cambio de contexto y permitir a los equipos de AppSec crear programas más prescriptivos y atractivos. 

Con estas integraciones de devtool y seguridad, puede medir cómo está funcionando su programa de aprendizaje de código seguro mediante el seguimiento del progreso de los desarrolladores y la medición de los tiempos de respuesta a los tickets, así como observar la reducción de vulnerabilidades a lo largo del tiempo mediante herramientas IAST/ DAST/SAST. 

He aquí tres formas clave en las que Secure Code Warrior puede integrarse con sus herramientas y flujos de trabajo para ayudarle a reducir las vulnerabilidades hasta en un 53%. 

1. Racionalice su planteamiento 

Integre Secure Code Warrior con sus herramientas de análisis y pruebas de penetración. Esto le permite correlacionar automáticamente vulnerabilidades específicas y exponer a los desarrolladores al contenido de aprendizaje de confianza necesario para la remediación. Secure Code Warrior tiene integraciones con Synopsys, Snyk, Bugcrowd, Fortify, Contrast, y muchos más para ayudar a mantener su programa enfocado. 

2. Mejorar la productividad

Permita que los equipos de desarrollo aprendan haciendo a través de desafíos prácticos, laboratorios de codificación y directrices integradas en Jira, Gitlab, GitHub y Azure Boards. El aprendizaje se produce en minutos, no en horas, sin obstaculizar la productividad de los desarrolladores ni interrumpir su flujo. 

2. Amplíe su programa 

Reduzca la carga administrativa de un programa de seguridad con capacidades SCORM y SCIM creadas para la empresa. Integre fácilmente Secure Code Warrior con su LMS y gestione automáticamente el aprovisionamiento de usuarios. Habilite el SSO con la integración de Okta. 

Reducción del 53% de las vulnerabilidades en fases más tempranas del SDLC 

Es posible remediar las vulnerabilidades mucho antes en el SDLC cambiando el enfoque para escribir código más seguro desde el principio, cuando cuesta mucho menos arreglarlas. Si se examina el origen de muchas vulnerabilidades, es decir, el código inseguro que los desarrolladores envían a producción, la reducción de las vulnerabilidades introducidas puede ayudar a aliviar la deuda tecnológica y reforzar la seguridad. 

La reducción significativa de las vulnerabilidades mediante la formación de los desarrolladores no se consigue con una formación aburrida y estática que interrumpa el flujo de trabajo de los desarrolladores. Al integrar en sus herramientas el aprendizaje de la herramienta ágil más flexible del mercado learning platform , sus inversiones actuales en seguridad y herramientas de desarrollo adquieren más valor, lo que puede traducirse en una reducción sustancial del 53 % de las vulnerabilidades. 

Más consejos de Secure Code Warrior 

En nuestra próxima entrada del blog, exploraremos cómo puede crear un programa muy atractivo que vincule todo a la reducción de riesgos, permitiéndole centrarse en cuál es el impacto material de un programa de codificación segura exitoso.

Secure Code Warrior está a disposición de su organización para ayudarle a codificar de forma segura a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados al código inseguro.

Descubra cómo la formación práctica en seguridad puede reducir las vulnerabilidades en un 53%. 

El reto actual de los equipos de desarrollo 

Los desarrolladores están sometidos a una enorme presión para construir más rápido y acelerar los ciclos de producción más que nunca. Esto conduce a un mayor volumen de código que se introduce en las organizaciones, algunos procedentes de código abierto, Inteligencia Artificial u otros terceros. Aunque esto puede ayudar a acelerar la productividad, también aumenta el riesgo de introducir código inseguro en la base de código.

A pesar de la creciente presión para acelerar las entregas, un equipo de desarrollo de software retoca alrededor del 26% de su código antes de su publicación. Esto significa que un desarrollador puede dedicar hasta 13,5 horas a la semana sólo a la deuda técnica. Es decir, más de 700 horas al año dedicadas a corregir errores del pasado. Las horas de productividad perdidas pueden ralentizar los ciclos de desarrollo y, lo que es peor, introducir nuevos riesgos en el código a través de atajos y fuentes de terceros. Esto supone un reto a la hora de equilibrar la presión para liberar código de forma rápida pero también segura. 

Según la investigación de Secure Code Warrior, el 67% de los desarrolladores admiten que envían código con vulnerabilidades, y con cada nueva línea de código que se escribe cada día, se introducen más y más vulnerabilidades. Hay una forma mejor de abordar esta cuestión: integrar la seguridad desde el principio. En este blog, exploraremos cómo los desarrolladores pueden ser la primera línea de defensa para asegurar el código y reducir hasta un 53% de las vulnerabilidades en su código con un aprendizaje ágil. 

Evite que se introduzcan vulnerabilidades 

Secure Code Warrior trabaja con más de 600 empresas diferentes para ayudarles a proteger su código. Nuestros investigadores analizaron los datos del 30% de nuestra base de usuarios -casi 75.000 desarrolladores- y observaron que los desarrolladores que aprenden y aplican prácticas de codificación segura con Secure Code Warrior introducen en su organización un 53% menos de vulnerabilidades que sus compañeros. Cuando los desarrolladores dejan de crear nuevas vulnerabilidades, ganan horas y horas de productividad. Este tiempo se puede dedicar a reducir la deuda técnica acumulada o incluso a ofrecer soluciones y funciones nuevas e innovadoras. Las posibilidades se vuelven infinitas cuando la introducción de vulnerabilidades se convierte en una cosa del pasado y puede dar lugar a una serie de mejoras en la eficiencia del ciclo de vida de desarrollo de software. 

¿Cómo pueden beneficiarse los desarrolladores del aprendizaje ágil?  

Secure Code Warrior ha integrado principios ágiles en el diseño de nuestro sitio learning platform para animar a los desarrolladores a aprender a programar de forma segura mediante la práctica. Esto se consigue dividiendo lo que solía ser una formación en seguridad larga y aburrida en pequeñas dosis de aprendizaje interactivo y atractivo. 

Secure Code Warrior es el único sitio web ágil learning platform que combina múltiples formatos de aprendizaje en microburst para que los desarrolladores puedan aprender, probar y aplicar sus conocimientos rápidamente, en el contexto del trabajo real que ya están haciendo, en el idioma que elijan.

Con programas personalizables, actividades de aprendizaje práctico de gran impacto e integraciones listas para herramientas de desarrollo, Secure Code Warrior es la forma más eficaz de enseñar a los desarrolladores a identificar y corregir vulnerabilidades al inicio del SDLC, y de evitar que se introduzcan vulnerabilidades en primer lugar.

Por qué Secure Code Warrior

Secure Code Warrior proporciona a sus desarrolladores los conocimientos necesarios para escribir código seguro. Nuestro learning platform es la solución de codificación segura más eficaz porque utiliza métodos de aprendizaje ágiles para que los desarrolladores aprendan, apliquen y retengan los principios de seguridad del software. Más de 600 empresas confían en Secure Code Warrior para implantar programas ágiles de formación en seguridad para el aprendizaje de código con metodología ágil, entregar rápidamente software seguro y crear una cultura de seguridad impulsada por los desarrolladores. ¿Está listo para saber más? Solicite una demostración.

Hace poco tiempo, las comunidades de seguridad y desarrollo fueron puestas sobre aviso con un aviso del desarrollador principal del proyecto curl, Daniel Stenberg, que dejó caer la desafortunada misiva de que una nueva versión de curl -distribuida el 11 de octubre- se lanzaba para solucionar dos vulnerabilidades de seguridad de gran impacto, una de las cuales describe como "probablemente el peor fallo de seguridad de curl en mucho tiempo".

Un postmortem en el blog de Stenberg señaló que las versiones afectadas de la biblioteca curl son susceptibles a una vulnerabilidad de desbordamiento de búfer basada en Heap, relacionada con un problema heredado con el protocolo proxy SOCKS5 en uso desde 2002.

Con su uso como una herramienta de línea de comandos que se remonta a 1998, curl es ampliamente considerado como un pilar fundamental de Internet. Con una historia tan larga y un uso tan extendido, es una dependencia que, si se descubre que es vulnerable, podría tener implicaciones para la ciberseguridad en general.

Este incidente comparte similitudes con el devastador ataque Log4Shell en Log4j, otra dependencia vulnerable que sigue siendo explotada casi dos años después.
‍
>>> ¡Pon a prueba tus conocimientos ahora mismo con nuestra Misión curl!‍

La vulnerabilidad: Desbordamiento del búfer

El exploit se detalla bajo CVE-2023-38545, y afecta a las versiones de curl 7.69.0 hasta 8.3.0 inclusive. El error principal es una vulnerabilidad de desbordamiento de búfer basada en Heap, y los informes iniciales señalan que una explotación exitosa podría conducir a un ataque de ejecución remota de código (RCE) más devastador. Si bien este es un posible flujo de trabajo para un actor de amenaza, es un caso de uso raro en lugar de un hecho.

Tal vez la única salvación para mitigar algunos de los riesgos es que la comunicación maliciosa debe pasar a través de un proxy SOCKS5, que es un despliegue relativamente infrecuente.

Comparable al exploit curl, echemos un vistazo a este Buffer Overflow explainer:

Cuando se le dice a curl que use un proxy SOCKS5, pasará el nombre de host y hará que el proxy lo resuelva. Sin embargo, si el nombre de host supera el límite de 255 bytes, curl resolverá el nombre de host localmente (como se ve en el fragmento de código siguiente: fuente).

En caso de que se produzca un intercambio lento entre el cliente y el proxy, es posible que el nombre de host largo se copie en el búfer de memoria en lugar de la dirección resuelta (más corta). La porción de memoria asignada sólo permite un valor de 255 bytes, por lo que si recibe un valor que exceda este límite, los datos desbordarán los límites del buffer de memoria.

>>> Pruébalo tú mismo en esta misión jugable¡!

El desbordamiento del búfer es un poderoso vector de ataque, que puede ser frecuente en muchos lenguajes de programación heredados. En este caso concreto, la explotación dio paso a un ataque más grave y dañino en forma de RCE en algunos contextos, aunque esta vía sigue siendo poco común y poco probable.

¿Cómo mitigar el riesgo de desbordamiento del búfer?

En esta etapa, la remediación de mayor prioridad es aplicar los parches a todas las instancias vulnerables, con un recordatorio de que el uso de curl está tan extendido, que puede no ser necesariamente obvio o anunciado que los componentes de su sistema incluyen la dependencia en uso. En ese caso, se requiere auditoría y posterior aplicación de parches. 

En general, los fallos de desbordamiento de búfer pueden mitigarse utilizando un lenguaje seguro para la memoria como Rust, sin embargo, como es el caso de un proyecto tan extenso como curl, no es práctico portarlo a otro lenguaje o reescribirlo por capricho. Como Stenberg señala mientras discute el potencial para usar y soportar más dependencias escritas en lenguajes seguros para la memoria - o la alternativa de reemplazar gradualmente partes de curl poco a poco - "... el desarrollo está... ocurriendo actualmente a una velocidad casi glacial y muestra con dolorosa claridad los desafíos involucrados. curl permanecerá escrito en C en el futuro previsible". No es una empresa pequeña, y las implicaciones de seguridad son inmensas.

Los errores de seguridad pueden ocurrir y ocurrirán, y no siempre es posible confiar en que los escáneres y las pruebas detecten todos los vectores de ataque posibles. Por lo tanto, nuestra mejor arma en la lucha contra estos fallos es el compromiso con la concienciación y la capacitación continuas en materia de seguridad.
‍

¿Quiere saber más sobre cómo escribir código seguro y mitigar los riesgos?

Pruebe nuestro Heap Overflow gratis.

Si está interesado en obtener más directrices de codificación gratuitas, consulte Entrenador de código seguro que le ayudará a mantenerse al día de las mejores prácticas de codificación segura.