Secure-by-Design es la última iniciativa en boca de todos, y el gobierno australiano, colaborando con CISA en los niveles más altos de la gobernanza mundial, está guiando un estándar más alto de calidad de software y seguridad de los vendedores.

Un repunte significativo en la seguridad del software requerirá una oleada de apoyo para la creación de habilidades de seguridad y, cuando se trata de desarrolladores, un énfasis en el aprendizaje continuo en torno a las mejores prácticas de codificación segura. Resulta reconfortante asistir a un nuevo capítulo de la industria, en el que los gobiernos de todo el mundo están dando ejemplo y proporcionando orientaciones adecuadas para mitigar las insidiosas vulnerabilidades a nivel de código.

La Australian Women in Security Network (AWSN) ha trabajado incansablemente para promover la presencia de más mujeres en puestos de ciberseguridad en Australia. Nosotros, junto con el Commonwealth Bank (CBA), organizamos recientemente un concurso de codificación segura tournament para que desarrolladores y profesionales expertos en seguridad mostraran sus habilidades en un entorno amistoso y competitivo.

El acto del 17 de julio contó con una nutrida asistencia de mujeres increíbles que representaban a múltiples verticales, y es seguro decir que sus contribuciones ayudarán a convertir a Australia en una de las naciones más ciberseguras del mundo en 2030.

Aval para un futuro más seguro

Tuvimos la suerte de contar con la presencia de la Teniente General Michelle McGuiness, Coordinadora de Ciberseguridad de Australia, en el evento conjunto AWSN/CBA/SCW tournament . Sus palabras, que se refirieron directamente a las iniciativas australianas Six Cyber Shields (Seis escudos cibernéticos) y respaldaron los principios de seguridad por diseño, resonaron en la sala de dedicados profesionales cibernéticos comprometidos con los cambios positivos y los estándares más altos de diseño y ejecución de software:

‍

‍

Queremosque todo el país participe en la resolución de los problemas [de ciberseguridad], y eso incluye asegurarnos de que creamos una mano de obra cibernética fuerte y diversa y, por supuesto, integradora y acogedora".

Nuestra estrategia se articula en torno a seis escudos cibernéticos que ayudan a proteger nuestras empresas, nuestras organizaciones y nuestros ciudadanos. Quizá lo más pertinente para el acto de hoy sea nuestro trabajo en el marco de la estrategia que se centra en la seguridad desde el diseño y la seguridad por defecto. Deberíamos confiar plenamente en que no nos expondremos a riesgos innecesarios cuando compremos dispositivos digitales o programas informáticos.

Y, por supuesto, la industria tiene un gran papel que desempeñar a la hora de ayudarnos a fomentar, hacer crecer y apoyar estas vías en beneficio de su empresa, en beneficio de nuestra economía... y de la seguridad de nuestra nación... Felicito a Secure Code Warrior y a la CBA, así como a... la AWSN, por su liderazgo a la hora de reunir el actode hoy".

¿Qué pasa cuando codificas como una chica?

Siempre me ha llamado la atención algo increíble cada vez que celebramos eventos a gran escala como éste en tournament . Suelen participar en ellos decenas de miles de desarrolladores y, como ocurre estadísticamente en todo el sector, un porcentaje bastante pequeño de los participantes son mujeres.

Sin embargo, a menudo una participante femenina acaba en el podio de los ganadores y comparte la bolsa de premios. Creo que esto dice mucho a favor de la inclusión de las mujeres en espacios tradicionalmente dominados por hombres. No sólo pertenecen a ellos, sino que pueden sobresalir y ser una fuerza de aspiración dentro de sus equipos.

La competencia fue feroz en este evento, y nuestras ganadoras absolutas, Bella Howard y Shanelle Haire, tienen claramente un futuro brillante en la vanguardia de las prácticas de seguridad impulsadas por los desarrolladores. Comentaron su victoria:

"Estamos encantados de haber ganado. Trabajar en equipo ha sido fundamental para nuestro éxito: creemos que nuestras diversas habilidades y experiencias se complementan a la perfección.

También queremos reconocer que todo el mundo tuvo una actuación excepcional. Nos sentimos muy honrados de haber ganado y disfrutamos mucho del evento. Esperamos veros en la próxima".

Conozcámoslos un poco mejor:

‍

• ¿Cuánto tiempo lleva trabajando en sus habilidades de codificación segura?

Los dos estudiamos una doble licenciatura en informática, donde empezaron a tomar forma nuestras aptitudes para la codificación segura. Bella se interesó mucho por la ciberseguridad y ambos asistimos a eventos y talleres para ampliar nuestros conocimientos en este campo.

A través de nuestro empleo, hemos tenido la oportunidad de utilizar Secure Code Warrior, que ha sido fundamental en nuestro desarrollo. El enfoque de Bella en las prácticas de codificación segura mejora sus conocimientos como analista de seguridad, mientras que el papel de Shanelle como ingeniera de software exige una mentalidad segura, por lo que la codificación segura es una parte esencial de sus responsabilidades.

• ¿Tiene algún consejo para las mujeres en el campo de las ciencias, la tecnología y la ingeniería que están empezando su carrera profesional?

Recomendamos encarecidamente participar en comunidades de seguridad y aprender de quienes ya trabajan en este campo. Unirse a comunidades dirigidas por mujeres también es una forma fantástica de obtener el apoyo de mujeres que han estado en tu lugar y pueden ofrecerte una valiosa orientación y aliento.

Asista a eventos como Secure Coding Tournament y otros talleres relacionados con el sector para aprender y establecer contactos mientras se divierte. Busca mentores que puedan guiarte a lo largo de tu carrera y ofrecerte valiosas ideas. No espere a sentir que lo sabe todo antes de empezar: la experiencia práctica es la mejor manera de aprender.

• ¿Qué haría para promover la importancia de las buenas prácticas de ciberseguridad?

Es crucial subrayar que la seguridad es responsabilidad de todos. Para que la seguridad sea eficaz en profundidad, todas las personas que trabajan en la pila tecnológica, así como todos los usuarios de la tecnología, deben ser conscientes de las mejores prácticas de seguridad y adherirse a ellas. Si fomentamos una cultura en la que la seguridad se considere una responsabilidad colectiva, podremos proteger mejor nuestros sistemas y datos.

‍

Damos las gracias a todos los participantes y esperamos colaborar con la AWSN en futuros proyectos.

‍

Las organizaciones entienden que los principios de seguridad desde el diseño sólo se aplican con éxito a través de la seguridad impulsada por los desarrolladores. Después de todo, los desarrolladores son los que diseñan, construyen y, en última instancia, comprometen el código que alimenta el software de una organización. Garantizar que estos inestimables colaboradores tengan los conocimientos y habilidades necesarios para aplicar las mejores prácticas de código seguro es absolutamente fundamental. Sin embargo, el desafío de implementar esto a menudo se reduce a alinear el conocimiento y las habilidades de código seguro de los desarrolladores con los lenguajes de programación que utilizan cuando construyen software.

Este reto se complica aún más por el gran volumen y la mezcla de lenguajes de programación que se utilizan en la base de código de una organización, a menudo con total desconocimiento de los equipos de seguridad. Entonces, ¿cómo pueden los CISO, los responsables de seguridad de aplicaciones y los responsables de ingeniería garantizar que el código que se produce y se confirma está respaldado por el conocimiento y las habilidades de un desarrollador en el lenguaje de programación específico de esa confirmación?
‍

Presentación de SCW Trust Agent

Secure Code Warrior ha lanzado SCW Trust Agent para responder a esta difícil pregunta. SCW Trust Agent ofrece a los responsables de seguridad la visibilidad y el control necesarios para ampliar la seguridad impulsada por los desarrolladores, lo que permite a estos y a los equipos entregar código con mayor rapidez y, al mismo tiempo, mantener y mejorar la seguridad de lo comprometido.
‍

¿Cómo funciona el agente fiduciario SCW?

SCW Trust Agent se conecta a su repositorio de código para evaluar los metadatos de cada confirmación de código. Inspecciona al desarrollador que realizó la confirmación, los lenguajes de programación utilizados y la fecha exacta en que se envió el código. A continuación, combina este análisis con los datos y la información de SCW's agile learning platform para determinar si el desarrollador tiene suficientes conocimientos de seguridad en ese lenguaje de programación específico. Basándose en esta información, devuelve una calificación sobre la salud de esa confirmación de acuerdo con la configuración de su política. Estas políticas son personalizables y configurables por los usuarios administradores, que pueden establecer directrices y requisitos específicos para los commits que pueden tener un umbral de requisitos mayor o menor en función de la sensibilidad general de ese proyecto o repositorio.
‍

Reforzar su postura de seguridad

Disponer de esta visibilidad y de un control personalizable no sólo proporciona a una organización información sobre el estado general de las confirmaciones en todos sus repositorios, sino también las herramientas que necesita para reforzar su postura de seguridad, mitigando el riesgo mediante un enfoque proactivo. SCW Trust Agent trata de garantizar que los desarrolladores conozcan y sepan las implicaciones de seguridad del lenguaje de codificación específico que utilizan cuando van a realizar una confirmación. Esta garantía reduce la probabilidad de introducir inadvertidamente una vulnerabilidad en el código que pueda ser explotada.
‍

Optimizar el ciclo de vida del desarrollo

Este enfoque proactivo no sólo mejora la postura global de seguridad de una organización, sino que también puede impulsar nuevas optimizaciones en el ciclo de vida del desarrollo. Al garantizar que los desarrolladores tienen conocimientos y habilidades de código seguro en el lenguaje de su compromiso, se reduce el número de vulnerabilidades introducidas que más tarde tendrían que ser identificadas y remediadas. La remediación y el retrabajo tienden a ser grandes pérdidas de tiempo para los desarrolladores, a menudo interrumpiendo su flujo de trabajo y afectando a su velocidad. La reducción de vulnerabilidades a través de un enfoque proactivo minimiza estos ciclos de remediación manteniendo a los equipos de desarrollo enfocados en la entrega de código y capacidades de alto valor.
‍

Ampliación de la seguridad impulsada por los desarrolladores

SCW Trust Agent proporciona a las organizaciones las herramientas que necesitan para ampliar sus programas de seguridad impulsados por los desarrolladores. Los CISO y los equipos de seguridad de aplicaciones tienen la visibilidad y el control que necesitan para aplicar una gobernanza adecuada, cumplir e incluso superar las normas de cumplimiento con información detallada sobre el diseño, la aplicación y el cumplimiento de las políticas. Por su parte, los desarrolladores están capacitados para entregar código seguro con mayor rapidez gracias a la formación en código seguro específica para los lenguajes que utilizan en el código que entregan.

SCW Trust Agent funciona con cualquier herramienta de gestión de código fuente basada en Git y la conexión de su repositorio de código es sencilla gracias a las múltiples opciones de conectividad, que incluyen la carga local, basada en la nube y manual. Para obtener más información, visite www.scwtrustagent.com o póngase en contacto con nosotros, nos encantaría hablar sobre cómo podemos ayudar a su organización a fortalecer su postura de seguridad y escalar la seguridad impulsada por los desarrolladores.

‍

Nos complace continuar la conversación sobre la última mejora de la plataforma SCW: SCW Trust Score. Esta innovadora función se lanzó oficialmente en mayo y representa un avance fundamental en nuestra misión de dotar a los desarrolladores y las organizaciones de las herramientas que necesitan para escribir código seguro.

En esencia, SCW Trust Score ofrece información muy valiosa sobre la postura de seguridad de su organización y la eficacia de sus prácticas de codificación segura. Veamos las principales ventajas y beneficios de SCW Trust Score.

• Visibilidad: En los programas de aprendizaje y formación, que dependen de varios factores para tener éxito, surgen diversas habilidades y competencias en los equipos. A pesar de someterse a programas de código seguro idénticos, los equipos a menudo ofrecen un espectro de conocimientos, que abarca a los mejores, a los de rendimiento medio y a los que necesitan apoyo adicional. SCW Trust Score proporciona a las organizaciones una medición basada en datos de la eficacia de su programa de aprendizaje de seguridad mediante la agregación de la postura de seguridad individual de los desarrolladores a medida que utilizan Secure Code Warrior.
  
  
• Métricas de evaluación comparativa: Las organizaciones necesitan un punto de referencia para definir la curva de campana de la posición de seguridad de sus desarrolladores y señalar las áreas que deben optimizarse para crear realmente un equipo de software preparado para la seguridad y de alto rendimiento y productividad. Con SCW Trust Score, las organizaciones pueden evaluar su postura de seguridad en relación con los puntos de referencia y las mejores prácticas del sector. Al aprovechar esta métrica integral, las partes interesadas pueden identificar áreas de fortaleza y oportunidades de mejora con una precisión sin precedentes.
  
  
• Potenciada por los datos: SCW Trust Score aprovecha la potencia de 20 millones de puntos de datos de aprendizaje procedentes de más de 600 empresas y 250.000 desarrolladores. Al analizar todas las actividades de aprendizaje completadas en nuestra plataforma, nuestro algoritmo genera una puntuación exhaustiva. Esta puntuación tiene en cuenta factores como la amplitud y profundidad de las actividades de aprendizaje, la comprensión de la actividad, la frecuencia del aprendizaje, la descripción del trabajo, el ciclo de vida de la incorporación y el número total de desarrolladores formados.
  
  

Estamos orgullosos de haber continuado nuestras conversaciones con clientes y clientes potenciales recientemente en la RSAC, donde despertó un gran interés entre clientes, socios y líderes del sector.

Nos complace anunciar que organizaremos un seminario web el 12 de junio, en el que nuestro Director de Tecnología y Cofundador, Matías Madou, ofrecerá una visión general de SCW Trust Score y sus aplicaciones prácticas en escenarios reales. Esperamos contar con su presencia.

Por último, hacemos extensivo nuestro agradecimiento a todos los miembros de la comunidad de clientes y socios que han contribuido al desarrollo y perfeccionamiento de la puntuación de confianza de SCW. Juntos, nos embarcamos en un viaje hacia la comprensión de cómo es una buena postura de seguridad en todas las organizaciones.

Los desarrolladores se enfrentan a retos constantes para mantener sus habilidades al día y mantenerse a la vanguardia. Con la tecnología avanzando a un ritmo vertiginoso y la aparición periódica de nuevas herramientas y marcos de trabajo, la necesidad de un aprendizaje continuo nunca ha sido tan crítica. En esta era digital, en la que la información está al alcance de la mano, los desarrolladores pueden aprovechar el poder de los contenidos de aprendizaje bajo demanda para impulsar sus carreras y seguir siendo relevantes en el competitivo campo del desarrollo de software.

El aprendizaje de contenidos bajo demanda ofrece a los desarrolladores varias ventajas clave. Los recursos bajo demanda ofrecen una flexibilidad y comodidad sin precedentes, lo que permite a los desarrolladores aprender a su propio ritmo y adaptar la formación a sus apretadas agendas y preferencias personales. Además, las plataformas ágiles suelen ofrecer rutas de aprendizaje específicas adaptadas a los objetivos y niveles de habilidad individuales, lo que maximiza la eficiencia del aprendizaje y garantiza que los desarrolladores adquieran las habilidades necesarias para avanzar en su carrera profesional. En última instancia, el aprendizaje bajo demanda fomenta una cultura de desarrollo continuo de habilidades, lo que permite a los desarrolladores seguir siendo ágiles y resistentes frente a los cambios tecnológicos y garantiza su éxito a largo plazo en el campo del desarrollo de software.

‍

En Secure Code Warrior, nos comprometemos a proporcionar a los desarrolladores el contenido más completo y sólido disponible. Nuestro objetivo no es sólo ofrecer recursos superiores de aprendizaje y desarrollo, sino también entregarlos en el momento adecuado con información relevante para las necesidades actuales de los desarrolladores. Este compromiso se materializa en nuestra pestaña Explorar, una biblioteca de contenidos dentro de la plataforma SCW diseñada para abordar el reto de la dispersión de recursos. Explore consolida todo el contenido de formación en una ubicación centralizada, proporcionando a los usuarios una visión completa de los tipos de contenido disponibles sin esfuerzo. Ya sea que los alumnos busquen dominar un nuevo lenguaje de programación o explorar conceptos intrincados, Explore los tiene cubiertos. Nuestro catálogo de contenidos, meticulosamente seleccionado, satisface una amplia gama de intereses y niveles de habilidad, garantizando que haya algo para todos. Con Explore, los estudiantes descubrirán una gran cantidad de tutoriales interactivos, ejercicios prácticos y escenarios del mundo real, todos ellos diseñados para mejorar la experiencia de aprendizaje y capacitar a los desarrolladores para sobresalir.

‍

‍

Los ecosistemas tecnológicos actuales se caracterizan por la innovación y la disrupción constantes, por lo que la necesidad de plataformas de aprendizaje ágiles es cada vez más crítica. Los métodos tradicionales de aprendizaje y desarrollo de habilidades ya no bastan para seguir el ritmo de los rápidos avances tecnológicos y las dinámicas demandas del sector. Como resultado, las organizaciones están recurriendo a las plataformas de aprendizaje ágil para proporcionar a los desarrolladores las herramientas y los recursos que necesitan para adaptarse y prosperar en este entorno vertiginoso en el que la seguridad impulsada por los desarrolladores es esencial.

Una de las principales razones por las que las plataformas de aprendizaje ágil son esenciales es su capacidad para ofrecer contenidos de aprendizaje oportunos y pertinentes. Las plataformas de aprendizaje ágil aprovechan los mecanismos dinámicos de entrega de contenidos, como los módulos de microaprendizaje y los recursos justo a tiempo, para proporcionar a los desarrolladores los conocimientos que necesitan, precisamente cuando los necesitan. Otra gira en torno a su capacidad para ofrecer flexibilidad y personalización, lo que permite a los desarrolladores adaptar sus experiencias de aprendizaje a sus necesidades y preferencias individuales. Tanto si prefieren tutoriales interactivos, laboratorios prácticos o contenidos en vídeo, los desarrolladores pueden elegir el formato que mejor se adapte a su estilo de aprendizaje y a sus horarios.

En general, las plataformas de aprendizaje ágil desempeñan un papel crucial a la hora de capacitar a los desarrolladores para que prosperen en el cambiante y acelerado panorama tecnológico actual. Al ofrecer experiencias de aprendizaje oportunas, relevantes y personalizadas, estas plataformas permiten a los desarrolladores adquirir nuevas habilidades, mantenerse a la vanguardia de las tendencias del sector e impulsar la innovación dentro de sus organizaciones. En Secure Code Warrior, tenemos muy en cuenta a los desarrolladores a la hora de mejorar continuamente nuestra plataforma. Conscientes del papel fundamental que desempeñan los desarrolladores en la creación de software seguro, nos aseguramos de que nuestras mejoras no sólo aborden los retos actuales, sino que también permitan a los desarrolladores crear código resistente con confianza. Estas son algunas de las mejoras de la plataforma para desarrolladores que hemos implementado recientemente para reforzar esta dedicación.

Creemos que podemos ser más eficaces a la hora de involucrar a sus desarrolladores a través de canales de comunicación modernos como Microsoft Teams. Nuestra integración con Microsoft Teams es nuestro primer paso hacia la próxima generación de comunicaciones con los usuarios dentro de la plataforma SCW. Invítelos a nuevas actividades de aprendizaje y envíeles recordatorios personalizados sobre las actividades de aprendizaje del curso. También puede utilizar Teams como un canal de entrega para Nudges, donde puede Nudge participantes del curso para completar su curso a través de la notificación de Teams.

‍

Nuestra pestaña Explorar se suma a nuestra innovación de productos orientada a los desarrolladores. Tanto si los usuarios desean mejorar sus habilidades como sumergirse en nuevas áreas, Explorar garantiza una experiencia de desarrollador fluida y enriquecedora al proporcionar un centro integral para la formación a su propio ritmo y la ampliación de conocimientos. Con más de 7.000 actividades disponibles en 64 idiomas, Explorar permite a los usuarios descubrir, reproducir y repetir sin esfuerzo actividades de aprendizaje adaptadas a sus preferencias. Haga clic aquí para obtener más información sobre Explore y la importancia de los contenidos a la carta.

‍

Por último, los informes son cruciales para que la formación de los desarrolladores sea eficaz y atractiva. No sólo hacen un seguimiento del progreso y garantizan el cumplimiento de las normas de seguridad, sino que también identifican las lagunas en las que los desarrolladores pueden mejorar. Esta información permite una formación a medida que refuerza las defensas de seguridad y mantiene el aprendizaje pertinente y específico. Los informes también ayudan a justificar la inversión en formación demostrando su repercusión, lo que garantiza un apoyo continuo a las iniciativas de seguridad. En general, los informes son herramientas esenciales para mejorar tanto el cumplimiento como el compromiso de los desarrolladores, manteniendo a todos en el buen camino y comprometidos en su viaje de aprendizaje. Esté atento a las próximas novedades sobre los informes de SCW.

‍

Para obtener más información sobre las nuevas funciones, consulte nuestro último seminario web sobre productos o póngase en contacto con nosotros hoy mismo.

‍

Las instituciones de servicios financieros tienen razones de peso para asegurarse de que el código de software que utilizan es seguro. Una motivación obvia, por supuesto, es la necesidad de proteger sus datos de una violación, que puede ser costosa en términos de información personal filtrada, gastos de limpieza, multas y restitución, y daños a la reputación de una organización. Otro motivo constante es la necesidad de cumplir toda una serie de normativas industriales y gubernamentales.

Como manejan tanta información sensible, personal y financiera, así como el dinero de la gente, los servicios financieros son un sector muy regulado. Dependiendo de los servicios que presten, las empresas deben cumplir una mezcla de normas y requisitos.

La Payment Card Industry Data Security Standard (PCI DSS) es bien conocida por sus normas de protección de datos de titulares de tarjetas, por ejemplo. Los requisitos de la Ley Sarbanes-Oxely regulan la gestión de los registros financieros. Las empresas que operan a escala internacional están familiarizadas con la Digital Operational Resilience Act (DORA), que es un marco vinculante de gestión de riesgos, y las normas mundiales para transferencias de fondos establecidas por la Society for Worldwide Interbank Financial Telecommunication, conocida como Swift.

Y leyes como la Ley de Privacidad del Consumidor de California (CCPA) y el Reglamento General de Protección de Datos (GDPR) de la UE establecen requisitos para proteger la privacidad y la información personal de los clientes. Hay otras, como las normativas establecidas por la Oficina del Interventor de la Moneda (OCC) de Estados Unidos y el Banco Central Europeo (BCE).

Por si fuera poco, la Estrategia Nacional de Ciberseguridad establece, entre otras cosas, que los fabricantes de software deben ser considerados responsables de la seguridad ineficaz de los programas informáticos. Y la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA), junto con 17 socios estadounidenses e internacionales, ha publicado orientaciones sobre los principios de Secure-By-Design para el desarrollo de software. 

Un hilo común para las empresas de servicios financieros es que el código seguro es un elemento crítico para ayudar a cumplir los objetivos de esas normativas que pueden facilitar la demostración de su cumplimiento. Y subraya por qué los desarrolladores necesitan formación y actualización para garantizar que la seguridad se aplica al código desde el principio del proceso de desarrollo.

Como ejemplo de cómo funciona, veamos la versión más reciente de PCI DSS.

La codificación segura (y la formación de los desarrolladores) es el núcleo de PCI DSS 4.0

La norma PCI DSS 4.0, que será obligatoria a partir del 1 de abril de 2024, incluye varias actualizaciones sustanciales con respecto a la norma PCI DSS 3.2.1, entre las que destaca el énfasis en el papel que desempeñan los desarrolladores a la hora de garantizar la seguridad del código de software.

La PCI reconoció hace tiempo la importancia del software seguro. La versión 2.0, que se publicó en 2017, incluía orientaciones para desarrolladores sobre cómo garantizar transacciones seguras en dispositivos móviles. Las directrices de la versión 4.0 hacen ahora hincapié en la aplicación de las mejores prácticas de seguridad al desarrollo de software e incluyen algunas orientaciones específicas sobre la formación de los desarrolladores. 

Los requisitos suelen establecerse a grandes rasgos, aunque las empresas pueden querer aplicar un enfoque más exhaustivo.

Por ejemplo, un requisito de la versión 4.0 afirma que "se definen y comprenden los procesos y mecanismos para desarrollar y mantener sistemas y software seguros". Una buena forma de asegurarse de que esto es así es que los desarrolladores reciban una formación precisa en los lenguajes de programación y marcos de trabajo que utilizan, con el fin de colmar cualquier laguna de conocimientos.

Otro requisito establece que los desarrolladores que trabajen con software a medida y personalizado deben recibir formación al menos una vez cada 12 meses, que cubra:

• Seguridad del software pertinente para su función laboral y lenguajes de desarrollo.
• Diseño de software seguro y técnicas de codificación. 
• Cómo utilizar las herramientas de pruebas de seguridad -si se utilizan- para detectar vulnerabilidades en el software.

Pero, en realidad, una vez al año no es suficiente para abordar los principales problemas de seguridad y acabar con los malos hábitos de codificación. La formación debe ser continua y mesurada, con un proceso de verificación de las competencias para garantizar que se hace un buen uso de ella.

PCI DSS 4.0 incluye más de media docena de otros requisitos que abordan áreas como la prevención y mitigación de diversos tipos de ataques, la documentación de componentes de software de terceros, la identificación y gestión de vulnerabilidades y otras medidas de seguridad. En todos los casos, las organizaciones harían bien en aplicar a fondo esas medidas. La formación sobre vectores de ataque debe ser frecuente, no anual. Los componentes de terceros, que suelen ser una fuente de vulnerabilidades, deben inventariarse cuidadosamente mediante un programa de lista de materiales de software (SBOM). Y las organizaciones deben asegurarse de tener funciones claramente definidas para gestionar las vulnerabilidades.

La nueva versión también ofrece a las organizaciones cierta flexibilidad a la hora de cumplir sus requisitos, centrándose en los resultados más que en marcar casillas, al tiempo que añade nuevos requisitos para los controles de autenticación, la longitud de las contraseñas, las cuentas compartidas y otros factores. 

La conformidad comienza al principio del SDLC

Lo que estas normativas tienen en común es que intentan establecer normas estrictas para proteger los datos y las transacciones en el sector de los servicios financieros. Y, como en el caso de la última versión de la PCI DSS, hacen cada vez más hincapié en la importancia de un código seguro al principio del ciclo de vida de desarrollo del software (SDLC). La Estrategia Nacional de Ciberseguridad y los principios Secure by Design de CISA también responsabilizan de la seguridad a los creadores de software -antes de que se distribuya-, de modo que incluso las empresas que no se rigen directamente por la normativa de servicios financieros deben cumplirla.

Las organizaciones necesitan salvar la brecha que existe entre los equipos DevOps (que se centran en la velocidad de desarrollo) y los equipos AppSec (que se apresuran a introducir la seguridad en el proceso) formando a los desarrolladores para que la seguridad sea inherente a su enfoque. Sin embargo, esto requiere un complejo conjunto de habilidades que implican más de lo que pueden ofrecer las sesiones de formación anuales o los programas educativos estándar y estancados. La formación debe ser continua y ágil, diseñada para involucrar a los alumnos con escenarios activos del mundo real e impartida en pequeñas sesiones que se adapten a sus horarios de trabajo.

Las empresas de servicios financieros necesitan garantizar la seguridad tanto para protegerse contra las infracciones como para cumplir la normativa, cada vez más estricta. Los costes del incumplimiento pueden ser tan perjudiciales como una violación en términos de impacto en la reputación de una empresa y costes monetarios. El Informe de IBM sobre el coste de una violación de datos en 2023, por ejemplo, descubrió que las organizaciones con un alto nivel de incumplimiento se enfrentaban, de media, a multas y otros costes por un total de 5,05 millones de dólares, medio millón más que el coste medio de una violación de datos real.

El continuo crecimiento de los entornos basados en la nube y las transacciones digitales ha hecho que la seguridad del software en el sector de los servicios financieros sea de vital importancia, algo que reconocen normativas como PCI DSS. La mejor manera de garantizar un software seguro es mediante una codificación segura al inicio del SDLC. Y la forma de conseguirlo es formando eficazmente a los desarrolladores en prácticas de codificación segura. 

Para obtener una visión completa de cómo la codificación segura puede ayudar a garantizar el éxito, la seguridad y los beneficios de las empresas de servicios financieros, puede leer el libro electrónico recién publicado Secure Code Warrior : La guía definitiva de las tendencias de seguridad en los servicios financieros.

Consulte las páginas del Secure Code Warrior para obtener más información sobre la ciberseguridad, el panorama cada vez más peligroso de las amenazas y saber cómo puede emplear tecnología innovadora y formación para proteger mejor a su organización y a sus clientes.

‍

El sector de la ciberseguridad ha vuelto a ponerse en alerta tras el descubrimiento de un insidioso fallo en la cadena de suministro de software. La vulnerabilidad, que afecta a la biblioteca de compresión de datos XZ Utils incluida en las principales distribuciones de Linux, se registra bajo el código CVE-2024-3094 y se reduce a una puerta trasera insertada deliberadamente por un mantenedor voluntario del sistema en el que se confiaba. Permitiendo la ejecución remota de código (RCE) en algunos casos si se explota con éxito, representa un problema de alta gravedad con la capacidad de causar graves daños en los procesos de construcción de software establecidos.

Afortunadamente, otro mantenedor descubrió esta amenaza antes de que el código malicioso entrara en las versiones estables de Linux, pero todavía plantea un problema para aquellos que han comenzado a ejecutar la versión 5.6.0. y 5.6.1. de XZ Utils como parte de Fedora Rawhide, y se insta a las organizaciones a parchearlo como una prioridad de nivel de emergencia. Si este descubrimiento no se hiciera a tiempo, el perfil de riesgo lo convertiría en uno de los ataques a la cadena de suministro más devastadores de los que se tiene constancia, quizá eclipsando incluso a SolarWinds.

La dependencia de los voluntarios de la comunidad para mantener los sistemas críticos está ampliamente documentada, pero rara vez se habla de ella hasta que salen a la superficie problemas de gran impacto como este incidente. Aunque su incansable labor es esencial para el mantenimiento del software de código abierto, este incidente pone de manifiesto la necesidad de hacer hincapié en la concienciación y las aptitudes de los desarrolladores en materia de seguridad, por no hablar de la necesidad de reforzar los controles de acceso a los repositorios de software.

¿Qué es el backdoor de XZ Utils y cómo se mitiga?

El 29 de marzo, Red Hat publicó una alerta de seguridad urgente para informar a los usuarios de Fedora Linux 40 y Fedora Rawhide de que las últimas versiones de las herramientas y librerías de compresión "XZ" contienen un código malicioso que parece haber sido creado a propósito para facilitar el acceso no autorizado de terceros.Cómo se inyectó este código malicioso será probablemente objeto de intenso estudio en el futuro, pero equivale a un sofisticado y paciente ejercicio de ingeniería social de años de duración por parte del actor de la amenaza, un atacante seudónimo llamado "Jia Tan". Este individuo dedicó incontables horas a ganarse la confianza de otros mantenedores, haciendo contribuciones legítimas al proyecto XZ Utils y a la comunidad durante más de dos años, hasta que finalmente se ganó el estatus de "mantenedor de confianza" después de que múltiples cuentas de títeres de la sombra erosionaran la confianza en el propietario voluntario del proyecto, Lasse Collin:

‍

‍

Este escenario inusual es un ejemplo perfecto de una persona altamente técnica que sigue siendo víctima de tácticas normalmente reservadas para su uso contra aquellos que son menos expertos, lo que demuestra la necesidad de una formación de concienciación de seguridad precisa y basada en roles. Sólo gracias a la curiosidad y rapidez mental de Andres Freund, ingeniero de software de Microsoft y mantenedor de PostgreSQL, se descubrió la puerta trasera y se revirtieron las versiones, deteniendo así lo que podría haber sido el ataque a la cadena de suministro más devastador de los últimos tiempos.

La puerta trasera en sí está siendo rastreada oficialmente como una vulnerabilidad de la mayor gravedad posible en el registro del NIST. Inicialmente se pensó que permitía eludir la autenticación SSH, pero investigaciones posteriores revelaron que permitía la ejecución remota de código sin autenticación en sistemas Linux vulnerables, incluyendo Fedora Rawhide, Fedora 41, Kali Linux, openSUSE MicroOS, openSUSE Tumbleweed y algunas versiones de Debian.

Jia Tan parece haber hecho todo lo posible para ofuscar el paquete malicioso, que, cuando se activa para construirse a sí mismo durante el proceso de construcción, dificulta la autenticación en SSHd a través de systemd.Como Red Hat detalló, en las circunstancias adecuadas, esta interferencia podría potencialmente permitir a un atacante romper la autenticación SSHd y obtener acceso remoto no autorizado a todo el sistema.

‍

Microsoft, entre otros, ha publicado una guía completa sobre el escaneo de sistemas en busca de instancias del exploit y la mitigación de su efecto, y la acción inmediata recomendada por CISA es que los desarrolladores y usuarios afectados deben actualizar XZ Utils a una versión no comprometida, como XZ Utils 5.4.6 Estable.

Prevenir este tipo de ataque es increíblemente difícil - especialmente cuando se utilizan componentes de código abierto en el software - ya que hay muy poca garantía y transparencia sobre la seguridad de la cadena de suministro. Ya hemos combatido los fallos accidentales en la cadena de suministro de software, pero este riesgo se ha elevado hasta incluir fallos de seguridad colocados deliberadamente con malicia para comprometer la seguridad del código abierto.

La mayoría de los desarrolladores no serán capaces de detener un ataque de esta naturaleza a menos que tengan un fuerte sentido de la conciencia de la seguridad, conocimientos sanos de seguridad y una pizca de paranoia. Es casi un caso de requerir una mentalidad de actor de amenazas. Sin embargo, una consideración principal debería centrarse siempre en los repositorios de código fuente controlados internamente (es decir, no de código abierto). Sólo deberían tener acceso a ellos las personas con conocimientos de seguridad pertinentes y verificados. Los profesionales de la seguridad de las aplicaciones podrían considerar una configuración como los controles de seguridad a nivel de rama, que sólo permiten a los desarrolladores con conocimientos de seguridad introducir cambios en la rama maestra final.

Los mantenedores voluntarios son héroes, pero hace falta (o debería hacer falta) un pueblo para mantener un software seguro.

Para quienes no pertenecen al ámbito de la ingeniería de software, la noción de que una animada comunidad de voluntarios mantiene concienzudamente sistemas críticos en su propio tiempo es un concepto difícil de entender, pero esta es la naturaleza del desarrollo de código abierto, y sigue siendo un área de riesgo crítico para los profesionales de la seguridad que protegen la cadena de suministro.

El software de código abierto es una parte vital del ecosistema digital de prácticamente todas las empresas, y los mantenedores de confianza (la mayoría de los cuales actúan de buena fe) son verdaderamente heroicos en su búsqueda desinteresada del progreso tecnológico y la integridad, pero es una farsa mantenerlos aislados. En estos tiempos centrados en DevSecOps, la seguridad es una responsabilidad compartida, y cada desarrollador debe estar armado con el conocimiento y las herramientas adecuadas para navegar por los problemas de seguridad que probablemente se encuentren en su día a día. La concienciación sobre la seguridad y las habilidades prácticas no deberían ser negociables en el proceso de desarrollo de software, y depende de los líderes de seguridad influir en el cambio a nivel empresarial.
‍

‍Construyahoy mismo una próspera cultura de la seguridad en su organización con un profundo Courses de Secure Code Warrior.

Los desarrolladores de software han demostrado que están preparados y dispuestos a hacer uso de la inteligencia artificial (IA) generativa para escribir código, y en general han visto algunos resultados favorables. Pero también hay muchos indicios de que podrían estar jugando a un juego peligroso.

Según una encuesta reciente de GitHub, más del 90 % de los desarrolladores estadounidenses utilizan herramientas de codificación con IA, citando ventajas como tiempos de ejecución más rápidos, resolución rápida de incidencias y un entorno más colaborativo, algo que consideran importante. Trabajar con herramientas de IA permite a los desarrolladores desprenderse de tareas rutinarias, lo que les permite trabajar en tareas más creativas que benefician a sus empresas y, no por casualidad, reduce las posibilidades de agotamiento en el trabajo.

Sin embargo, los estudios también han demostrado que las herramientas de IA son propensas a introducir fallos al escribir código. Según una encuesta de Snyk, aunque el 75,8% de los encuestados afirma que el código de IA es más seguro que el código humano, el 56,4% admite que la IA a veces introduce problemas de codificación. Y lo que es más alarmante, el 80% de los encuestados afirma que se salta las políticas de seguridad del código de IA durante el desarrollo.

Desde que ChatGPT de OpenAI debutó en noviembre de 2022, el uso de modelos de IA generativa se ha extendido con la velocidad del rayo por todo el proceso de desarrollo de código en los servicios financieros, al igual que en muchos otros campos. La rápida aparición de otros modelos, como GitHub Copilot, OpenAI Codex y una lista creciente de otros, sugiere que solo hemos arañado la superficie de lo que la IA generativa puede hacer y del impacto que puede tener. Pero para que ese impacto sea positivo, tenemos que asegurarnos de que el código que genera es seguro.

Los errores de codificación pueden propagarse rápidamente

Ya sea creado por desarrolladores humanos o por modelos de IA, el código va a contener algunos errores. Con la IA ayudando a acelerar el desarrollo de código para satisfacer las demandas cada vez mayores en entornos informáticos altamente distribuidos y basados en la nube, podrían aumentar las posibilidades de que el código defectuoso se propague ampliamente antes de ser detectado. 

Los modelos de IA que se entrenan para escribir código ingieren miles de ejemplos de código que realizan diversas tareas y, a partir de ellos, pueden crear su propio código. Pero si las muestras a partir de las que trabaja contienen fallos o vulnerabilidades -ya hayan sido creadas originalmente por un humano o por otra IA-, el modelo podría transferir esos fallos a un nuevo entorno. 

Teniendo en cuenta que la investigación ha demostrado que los modelos de IA no son capaces de reconocer de forma fiable los fallos del código que utilizan, hay pocas defensas integradas contra la propagación de fallos y vulnerabilidades. La IA no sólo cometerá errores de codificación, sino que repetirá sus propios errores y los de otras fuentes hasta que la vulnerabilidad se identifique en algún momento, tal vez en forma de violación de una empresa que utilice el software creado por ella.

La verdadera defensa contra la proliferación de fallos de codificación es que los humanos y los modelos de IA trabajen juntos. Los desarrolladores humanos deben supervisar la escritura del código de la IA y servir de control contra las prácticas de codificación inseguras y el código vulnerable. Pero para que esto ocurra, los desarrolladores deben estar bien formados en las mejores prácticas de escritura de código seguro para que puedan identificar los errores de codificación que pueda cometer una IA y corregirlos rápidamente.

Los retos de la creación y corrección de códigos de IA

La repentina explosión de los grandes modelos lingüísticos (LLM) como ChatGPT ha sido una especie de arma de doble filo. Por un lado, las empresas y los usuarios de a pie han experimentado un enorme aumento de la productividad gracias al uso de la IA para realizar tareas que requieren mucho tiempo, son onerosas o difíciles. Por otro lado, ha habido muchos ejemplos de lo que puede salir mal cuando se confía ciegamente en la IA para que se encargue del trabajo.

Los modelos de inteligencia artificial han cometido errores flagrantes, han mostrado sesgos y han producido alucinaciones. En muchos casos, la raíz del problema estaba en unos datos de entrenamiento inadecuados o irresponsables. Cualquier modelo de IA es tan bueno como los datos con los que se entrena, por lo que es esencial que los datos de entrenamiento sean exhaustivos y se examinen cuidadosamente. Sin embargo, incluso entonces se cometerán algunos errores.

El uso de la IA para la codificación se enfrenta a muchos de los mismos obstáculos. Se ha demostrado que el código generado por la IA contiene una serie de fallos, como vulnerabilidades de secuencias de comandos en sitios cruzados e inyección de código, así como ataques específicos de la IA y el aprendizaje automático (ML), como la inyección puntual. Los modelos de IA también operan en una caja negra porque sus procesos no son transparentes, lo que impide que un equipo de seguridad o desarrollo vea cómo una IA llega a sus conclusiones. Como resultado, el modelo puede repetir los mismos errores una y otra vez. Las mismas deficiencias que pueden afectar a la escritura de código también se trasladan al uso de la IA para la corrección de código y el cumplimiento de los requisitos de conformidad. 

La posibilidad de que los modelos de IA creen o repitan fallos ha crecido hasta el punto de que los LLM cuentan ahora con su propia lista de las diez principales vulnerabilidades del Open Web Application Security Project (OWASP).

Los desarrolladores y la IA pueden colaborar para crear código seguro

La preocupación por los posibles fallos del código generado por IA puede hacer que algunas organizaciones se cuestionen, aunque sea brevemente, si seguir adelante con esta tecnología. Pero los beneficios potenciales son demasiado grandes para ignorarlos, sobre todo a medida que los desarrolladores de IA siguen innovando y mejorando sus modelos. Es poco probable que el sector de los servicios financieros vuelva a meter al genio en la botella. Los bancos y las empresas de servicios financieros ya están impulsados por la tecnología y operan en un campo en el que siempre buscan una ventaja competitiva. 

La clave está en implantar los modelos de IA de forma que se minimicen los riesgos. Y eso significa contar con desarrolladores concienciados con la seguridad y formados a fondo en las mejores prácticas de codificación segura, para que puedan escribir ellos mismos código seguro y supervisar de cerca el código que producen los modelos de IA. Si los motores de IA y los desarrolladores humanos trabajan juntos en estrecha colaboración, con los desarrolladores teniendo la última palabra, las empresas pueden cosechar los beneficios de una mayor productividad y eficiencia, al tiempo que mejoran la seguridad, limitan el riesgo y garantizan el cumplimiento. 

Para obtener una visión completa de cómo la codificación segura puede ayudar a garantizar el éxito, la seguridad y los beneficios de las empresas de servicios financieros, puede leer la guía recién publicada Secure Code Warrior : La guía definitiva sobre tendencias de seguridad en los servicios financieros.

‍

‍

Consulte las páginas del Secure Code Warrior para obtener más información sobre la ciberseguridad, el panorama cada vez más peligroso de las amenazas y saber cómo puede emplear tecnología innovadora y formación para proteger mejor a su organización y a sus clientes.

‍

Recientemente tuve el privilegio de ser el anfitrión de un webinar donde nuestro CTO Matias Madou y Sharon Kochevsky de Mednd.ioabordaron el tema de hacerse cargo de las alertas de vulnerabilidades. Durante la sesión exploraron tanto los desafíos como las soluciones en el manejo de alertas de vulnerabilidades de seguridad. En caso de que te hayas perdido el seminario web, aquí tienes algunos puntos clave de su conversación. Por supuesto, el seminario web también está disponible aquí para obtener todos los detalles. 

Impacto de la IA en la seguridad

Matías utilizó la analogía de los coches autoconducidos para explicar el estado actual de la IA en la creación de software seguro. Aunque técnicamente los coches autoconducidos pueden conducir solos, siguen teniendo problemas en la carretera. Por ejemplo, se refirió a una situación en la que los coches autoconducidos se encontraron con un problema en la carretera con el que nunca antes se habían topado y, como resultado, se rompieron de forma fantasma. Los problemas llegarán, y son los técnicos humanos los que tienen que resolverlos. Del mismo modo, si los desarrolladores siguen ciegamente a la IA, podrían aparecer errores en el código y vulnerabilidades.  

Para que la IA produzca mejores resultados, Matías subrayó la necesidad de regularidad y de numerosos ejemplos de código de calidad para entrenar a los desarrolladores en los modelos de IA. Aunque actualmente la IA funciona bien en marcos genéricos, se queda corta con las aplicaciones del mundo real que operan con millones de líneas de código.

Explicó además que los desarrolladores experimentados podrían aprovechar las ventajas de la IA generativa para acelerar la codificación, pero que los no formados podrían suponer una amenaza, ya que podrían reproducir y pegar códigos defectuosos a gran velocidad. 

Pasar a la proactividad

Un tema que centró el debate fue el cambio hacia acciones proactivas. En lugar de vigilar los problemas de seguridad, Sharon Kochevsky aboga por que las empresas y los programas de AppSec adopten un enfoque más proactivo con correcciones reales de código frente a un enfoque reactivo centrado en los informes de seguridad. En línea con Matias, subraya la necesidad de superar las prácticas puramente administrativas y centrarse en resultados consecuentes. El panel también debatió las principales áreas de creación de informes junto con la utilización de productos de seguridad incorporados con cuadros de mando en tiempo real y seguimiento de problemas. 

Acortar distancias 

Sharon y Matías también identificaron un problema crucial que debe abordarse: la desconexión entre desarrolladores y responsables de seguridad. Las organizaciones y empresas están incorporando ahora a campeones de seguridad para ayudar a salvar la brecha. Se trata de profesionales de la seguridad ubicados dentro del equipo de ingeniería, que ayudan a promover medidas de seguridad proactivas.

Ni que decir tiene que solo hemos arañado la superficie de este tema y que la conversación se extiende más allá de estos seminarios web; el debate y el compromiso continuos son cruciales en nuestro sector en constante evolución. Si desea saber más o volver a ver la sesión, ya está disponible a la carta.

‍