¿Qué mantiene despiertos por la noche a los equipos de desarrollo cuando se trata de programación segura?

El código inseguro le costó millones a la empresa. ¿Qué hay de la introducción de prácticas de codificación seguras?

En un mundo que depende casi por completo del software, es fundamental garantizar la seguridad del código. La demanda del mercado y la rentabilidad financiera lo exigen. Sin embargo, existen muchas preocupaciones en torno a la seguridad del código, y son muchos los obstáculos que impiden su introducción completa y eficaz. Más que nunca, se requiere un nuevo método de trabajo. Por ello, en 2020, Evans Data Corp. encargó Secure Code Warrior la realización de una investigación primaria* sobre la actitud de los desarrolladores y sus gerentes hacia la programación segura, los procedimientos de código seguro y los procesos de seguridad (descargar el informe técnico). aquí).

Actualmente, a la empresa le resulta difícil implementar prácticas de código seguras. Los desarrolladores y los gerentes asumen las brechas de seguridad y la responsabilidad del código como una responsabilidad especial.

Es evidente que se necesitan mejores cursos de formación y un programa que fomente prácticas de codificación seguras. Esta necesidad es clara, si tenemos en cuenta las preocupaciones de los desarrolladores y sus responsables en lo que respecta a la codificación segura. Nuestra investigación* ha demostrado que estos dos grupos comparten las mismas preocupaciones fundamentales. Sin embargo, debido a sus diferentes funciones, difieren en cuanto a cuáles de estas preocupaciones son más urgentes.

El principal problema para los desarrolladores es la «introducción de código, que reproduce las brechas de seguridad anteriores». No es de extrañar que los desarrolladores se fijen en la calidad de sus códigos. Ningún desarrollador quiere ser la fuente de código inseguro, ni de código que deba revisarse y ralentice al equipo.

El segundo problema más importante para los desarrolladores es cómo lidiar con los errores causados por los empleados. El cumplimiento de los términos y la responsabilidad por el código también están siempre en lo alto de la lista; además, el hecho de que aprender a escribir código seguro sea un reto fue otro requisito para un nuevo proceso de formación en código seguro.

El gerente ve más bien desde arriba que desde abajo.

Como jefa de equipo y líder de equipo, sus principales empleados son los responsables del código. Cuando un equipo produce código, la responsabilidad recae en el gerente.

El código, que replica las vulnerabilidades de seguridad anteriores, ocupa el segundo lugar. El hecho de que el proceso de aprendizaje sea un reto ocupa el tercer lugar. Dado que las medidas actuales de formación en código seguro no están dando resultado, los directivos se dan cuenta de que es necesario un nuevo enfoque. ‍

Obstáculos para la introducción de prácticas de codificación seguras

A medida que gestionamos los obstáculos, la introducción de prácticas de codificación seguras en sus organizaciones, hay dos cosas que quedan claras: la comunicación y la formación.

El 45 % mencionó la falta de comunicación entre las partes interesadas y la dirección como un obstáculo importante. El 42 % se queja de la falta de conocimientos sólidos de programación entre los nuevos empleados. Al mismo tiempo, el 40 % indicó que el tiempo de formación y los recursos eran insuficientes.

Existen obstáculos relacionados con los procesos y el personal que dificultan la introducción satisfactoria de prácticas de código seguro en todas las empresas.

Pero, a pesar de estos problemas persistentes, aún puede lograr avances. La falta de conocimientos sólidos de programación con nuevas configuraciones y la insuficiencia de formación y recursos son fáciles de superar.

Los desarrolladores están en primera línea cuando se trata de cerrar brechas de seguridad. Pero, ¿reciben el apoyo, las herramientas y la formación que les corresponde en el acuerdo de seguridad?

Debido a sus preocupaciones, la respuesta breve es «no».

La verdad es que la formación adecuada no debería parecer una vorlesung.

Secure Code Warrior, un enfoque guiado por personas, el desarrollo en el área de la codificación segura, el desarrollador activo en sus funciones en el área de la codificación segura. Nuestra plataforma de aprendizaje probada ofrece a los equipos de desarrollo y seguridad un aprendizaje contextualizado y altamente relevante dentro de sus flujos de trabajo preferidos. Ty les permite no solo encontrar fallos de seguridad, sino también evitar que se produzcan.

Esta formación orientada a la práctica es una oportunidad para seguir formándose, un paso adelante en la carrera profesional. La única ventaja para los desarrolladores es que se toman en serio la necesidad de subsanar mis carencias en materia de seguridad y se unen al resto del equipo para crear un estándar de código más uniforme.

Si desea obtener más información y ver el impacto potencial en la capacidad de sus equipos para «empezar desde cero» y enviar código seguro más rápidamente sin comprometer la seguridad, reserve ahora una demostración.

‍*Resultado de la reacción ante la prevención: El rostro cambiante de la seguridad de las aplicaciones. Secure Code Warrior Evans Data Corp. 2020