Por qué nunca debemos pasar por alto el factor humano en la ciberseguridad

Recientemente, nos alegró mucho ver la primera publicación del Consejo Tecnológico de Forbes de nuestro presidente y director ejecutivo, Pieter Danhieux, en directo. En la publicación se describía detalladamente cómo la formación continua de los desarrolladores para crear un código más seguro es la clave para prevenir los ciberataques y las violaciones de la protección de datos. Además, se mostraba cómo esos mismos desarrolladores conscientes de la seguridad pueden contribuir a proporcionar un código mejor y más seguro más rápidamente de lo que muchos departamentos de TI creen. La necesidad de este enfoque es sin duda convincente. Un estudio reciente reveló que ahora se produce un ciberataque cada 39 segundos, y todos hemos visto los trastornos que ha causado un solo ataque exitoso de ransomware al oleoducto Colonial, que en general no fue tan destructivo como el hackeo de SolarWinds.

‍

Muchas vulnerabilidades de seguridad frecuentes siguen existiendo porque nadie se ha molestado en mostrar a los desarrolladores cómo se pueden sustituir los patrones de codificación deficientes por un método mejor, con el que se puedan ejecutar las mismas funciones de una manera más segura. Y las consecuencias de reparar el software en una fase tardía de su desarrollo son extremadamente costosas, tanto en términos de horas dedicadas como de retrasos en la implementación. Reparar el código después del lanzamiento, especialmente después de que un atacante haya aprovechado una vulnerabilidad previamente desconocida, puede costar a veces millones de dólares. Y eso sin tener en cuenta el daño a la reputación de una empresa tras una infracción grave.

Los desarrolladores con formación en seguridad se convierten naturalmente en mejores programadores. Sin duda, los CISO no deben renunciar tan fácilmente a sus herramientas de seguridad, pero si adoptan un enfoque de seguridad inclusivo y preventivo desde arriba, pueden aprovechar el mayor recurso de su empresa, el factor humano, especialmente cuando se trata de la codificación segura desde el inicio del ciclo de desarrollo de software.

A tal fin, a continuación se enumeran las tres estrategias más importantes que debe tener en cuenta.

1. Sea proactivo, no reactivo.

Las empresas suelen caer en la trampa de actuar de forma reactiva, por ejemplo, respondiendo a las actividades de la competencia, en lugar de desarrollar y perseguir una visión única. Muchas también adoptan este enfoque cuando se trata de vulnerabilidades de seguridad en el código y solo se toman en serio la ciberseguridad cuando se ven obligadas a ello tras sufrir una infracción. Por desgracia, para entonces el daño ya está hecho. Las multas, los costes de recuperación, la pérdida de clientes y la restauración de la marca tienen un impacto negativo en los resultados empresariales. Otra forma de reaccionar en lugar de actuar es confiar en el escaneo automático o manual del código para encontrar vulnerabilidades en el código existente, en lugar de centrarse en crear código seguro. Lamentablemente, el escaneo de código no es una solución perfecta. Es decir, cuantas más vulnerabilidades contenga el código, mayor será la probabilidad de que algunas se cuelen.

Solo si adopta un enfoque proactivo y colabora con los desarrolladores para ayudarles desde el principio a crear código seguro, podrá establecer un ciclo de desarrollo de software que reduzca considerablemente la probabilidad de que se publiquen vulnerabilidades de codificación para los usuarios.

2. Mejorar las cualificaciones, sin exagerar.

Una vez que haya decidido proporcionar a los desarrolladores los conocimientos que necesitan para crear código seguro, elija su enfoque con cuidado. Los talleres de formación internos que paralizan la programación frustran tanto a los desarrolladores como a los gerentes. Los cursos externos, a los que hay que asistir por la tarde o durante el fin de semana, son aún menos populares. El mejor enfoque consiste en ampliar los conocimientos de programación de forma gradual. Proporcione información relevante paso a paso durante el proceso de codificación, esencialmente formación continua, sin distraer demasiado a los desarrolladores ni ralentizar el proceso de desarrollo.

3. Crear incentivos, no dar nada por sentado.

Los desarrolladores no deben considerar las mejoras de seguridad como un castigo o una tarea tediosa. Los gerentes deben inspirar a los desarrolladores transmitiéndoles la importancia que tiene el código seguro para el éxito de la empresa. También es importante transmitirles que los programadores seguros son más valiosos para la empresa y que en el futuro se beneficiarán de mayores oportunidades profesionales.

La administración Biden es bienvenida La orden ejecutiva ha puesto mayor énfasis en la ciberseguridad y en la necesidad de «incluir criterios para evaluar las prácticas de seguridad de los propios desarrolladores y proveedores, e identificar herramientas o métodos innovadores para demostrar el cumplimiento de las prácticas de seguridad». Aunque las herramientas son indispensables, no son suficientes. Ninguna herramienta podrá nunca excluir por completo la capacidad de una persona de ignorar, malinterpretar, abusar o eludir de alguna manera los sistemas y herramientas implementados. Para maximizar la seguridad de sus empresas, los CISO deben aprovechar el factor humano y animar a los desarrolladores a convertirse en defensores y practicantes voluntariosos de la seguridad.