Maschinen für künstliche Intelligenz setzen sich überall durch, und jedes neue Modell und jede neue Version bringt scheinbar leistungsfähigere und beeindruckendere Funktionen hervor, die in einer Vielzahl von Bereichen eingesetzt werden können. Ein Bereich, der als möglicher Anwendungsfall für KI vorgeschlagen wurde, ist das Schreiben von Code, und einige Modelle haben ihre Fähigkeiten bereits in einer Vielzahl von Programmiersprachen unter Beweis gestellt.

Die Prämisse, dass KI die Jobs menschlicher Softwareingenieure übernehmen könnte, ist jedoch übertrieben. Alle führenden KI-Modelle, die heute im Einsatz sind, haben in Bezug auf ihre fortgeschrittenen Programmierkenntnisse kritische Grenzen aufgewiesen. Nicht zuletzt neigen sie dazu, Fehler und Sicherheitslücken in den Code einzubringen, den sie mit knackender Geschwindigkeit kompilieren.

Es stimmt zwar, dass der Einsatz von KI dazu beitragen kann, überlasteten Programmierern etwas Zeit zu sparen, aber in Zukunft werden Menschen und KI wahrscheinlich zusammenarbeiten, wobei talentiertes Personal ausschließlich dafür verantwortlich ist, kritisches Denken und Präzisionsfähigkeiten anzuwenden, um sicherzustellen, dass der gesamte Code so sicher wie möglich ist. Daher ist die Fähigkeit, sicheren Code zu schreiben, Sicherheitslücken zu erkennen und sicherzustellen, dass Anwendungen so gut wie möglich geschützt sind, lange bevor sie überhaupt in eine Produktionsumgebung gelangen, von entscheidender Bedeutung.

In diesem neuen Whitepaper von Secure Code Warrior erfahren Sie:

• Die Fallstricke des blinden Vertrauens in die LLM-Codeausgabe.
• Warum sicherheitserfahrene Entwickler der Schlüssel zur sicheren „Kopplung“ der Programmierung mit KI-Codierungstools sind.
• Die besten Strategien, um die Entwicklungskohorte im Zeitalter der KI-gestützten Programmierung weiterzubilden.
• Eine interaktive Herausforderung, um KI-Einschränkungen aufzuzeigen (und wie Sie sie überwinden können).

‍

La gestión de riesgos del desarrollador es un enfoque holístico y proactivo de la seguridad de las aplicaciones, centrado en quienes contribuyen al código y no en los bits y bytes de la propia capa de la aplicación.

Mida, gestione y mitigue de forma proactiva los riesgos de seguridad de los desarrolladores en todo el SDLC para mejorar la postura de seguridad, lanzar software más rápidamente y reducir las vulnerabilidades en un 53% o más.

La filosofía que subyace a la gestión de riesgos de los desarrolladores es que, mediante la mejora de las competencias de quienes contribuyen al código y la aplicación de la gobernanza a las habilidades de codificación segura mediante programación, los beneficios y el impacto de las iniciativas de código seguro impulsadas por los desarrolladores aumentan exponencialmente.

OpenText Application Security, anteriormente conocido como Fortify, y Secure Code Warrior Se han asociado para mejorar la seguridad de las aplicaciones, capacitando a los desarrolladores para que se conviertan en expertos en seguridad. La integración permite capacitación específica sobre vulnerabilidades, una remediación más rápida y capacitación práctica para capacitar a los desarrolladores en la escritura de código seguro desde el principio.

Esta colaboración reduce los riesgos de seguridad, minimiza los costes y agiliza el cumplimiento de la normativa al integrar la seguridad en el ciclo de vida del desarrollo de software, lo que ayuda a las empresas a fomentar la confianza de los clientes y a enviar más rápidamente código de alta calidad.

Más información sobre la colaboración en nuestro One Pager.

Innovar con rapidez y seguridad - Trust Agent: AI

La adopción generalizada de herramientas de codificación de IA está introduciendo una nueva capa crítica de riesgo en su ciclo de vida de desarrollo. Sin visibilidad ni gobernanza, se expone a la "IA en la sombra" y a una afluencia de código inseguro. Agente de confianza: AI proporciona la capacidad de observación y el control que necesita para gestionar con confianza la adopción de la IA sin sacrificar la seguridad. Al correlacionar el uso de herramientas de IA con las habilidades de codificación segura de los desarrolladores, nuestra solución le ayuda a identificar y mitigar el riesgo a nivel de commit, garantizando que pueda innovar de forma más rápida y segura que nunca.

Descargue nuestro one-pager hoy mismo para saber cómo SCW Trust Agent: AI puede ayudarle a reforzar su postura de seguridad, optimizar su ciclo de vida de desarrollo y reducir significativamente las vulnerabilidades.

‍

Sage es una multinacional británica de software empresarial que ofrece a las empresas programas y servicios sencillos y fáciles de usar para nóminas, recursos humanos y finanzas. En 2017, era la segunda mayor empresa tecnológica del Reino Unido, el tercer mayor proveedor mundial de software de planificación de recursos empresariales y el mayor proveedor de pequeñas empresas, con más de 6 millones de clientes en todo el mundo.

Situación 

Antes de trabajar con Secure Code Warrior, Sage empezó a perfilar su Red de Campeones de Seguridad durante aproximadamente 10 años. A pesar de la sólida red de desarrolladores centrados en la seguridad, la formación era esporádica y no estaba estructurada para centrarse en la reducción de riesgos. 

Sage reconoció que era importante dedicar tiempo a establecer relaciones e integrar la seguridad a lo largo de un periodo de tiempo con un enfoque flexible. El programa de Sage vinculó sus objetivos a la reducción de riesgos y al impacto material de ese programa. Al poner a prueba el programa con determinadas unidades de negocio, se centraron en cómo medir la reducción de riesgos y transmitirla a la empresa para conseguir la aceptación de los desarrolladores y los altos directivos. 

Acción

Mads Howard, responsable de seguridad centrada en las personas de Sage, trabajó con los desarrolladores para conocer a los campeones de la seguridad. Se reunió con desarrolladores de cada unidad de negocio y les entrevistó para saber qué les motiva, cómo les gusta aprender y qué limitaciones ven en su trabajo. Ella y su equipo trabajaron para establecer relaciones con los desarrolladores y sus jefes de equipo, y destacaron la importancia de ser flexibles en su enfoque.

Mads hace hincapié en el establecimiento de relaciones,

"Dedicamos mucho tiempo a entablar relaciones con los jefes de los equipos de desarrollo, los jefes de los equipos de ingeniería y los jefes de producto: las personas que controlan el tiempo dedicado a la formación durante los ciclos de sprints".

Según Mads, también se redujo a ampliar su red de campeones de seguridad,

"La red de campeones de seguridad se ha considerado un control clave de ese programa. Así que para que los productos avanzaran en este programa, tuvimos que tomarnos realmente en serio el papel de tener a alguien como campeón de seguridad y también proporcionarle una sólida formación en seguridad." 

El objetivo de los equipos de seguridad global de Sage era implantar un programa de control de seguridad que tuviera en cuenta las necesidades de aprendizaje de los desarrolladores en un entorno tecnológico complejo y elegir un socio que trabajara junto con sus herramientas de seguridad existentes para ayudar en la gestión de vulnerabilidades. 

Era importante que la educación se considerara un aspecto importante de un programa maduro de control de la seguridad. Se centraron en medir la reducción de riesgos a través de: 

• Mejora de la puntuación de riesgo
• Edad de la vulnerabilidad Reducción de la vulnerabilidad acumulada
• Tiempo de resolución
• Sin vulnerabilidades cerradas frente a vulnerabilidades abiertas
• Número de incidencias por línea de código escrito por Sage (no por terceros)

Para Mads,

"La siguiente fase para Sage como empresa es demostrar que la mejora de las competencias a través de un programa de codificación segura que esté integrado en los flujos de trabajo de los desarrolladores ofrece una reducción de riesgos cuantificable."

Resultados

Mads destacó la importancia de la colaboración y la orientación que Secure Code Warrior les proporcionó a ella y a su equipo,

"Sinceramente, sin el apoyo de Secure Code Warrior no habríamos podido llegar tan lejos y crear un programa con este nivel de madurez en términos de capas o equipos de desarrollo de distintas tecnologías". 

Una vez que Mads y su equipo completaron las entrevistas y obtuvieron la aceptación de los desarrolladores, empezó a implantar Secure Code Warrior como parte de un programa más amplio de cultura de seguridad. 

Los resultados, según Mads, son,

"Sage tiene ahora más de 200 campeones de seguridad inscritos en el programa, y si un campeón de seguridad está dedicando 3,5 horas a la semana (o el 10% de su tiempo) a la creación de habilidades, puede abogar por un programa de codificación segura, puede abogar por la formación continua y puede abogar por el valor que les da." 

Con el apoyo de los altos cargos y objetivos cuantificables en torno a la reducción de riesgos, Mads pudo empezar a medir el éxito no sólo en relación con el número de personas en una plataforma y las horas jugadas, sino también con el tiempo necesario para solucionar vulnerabilidades, la antigüedad de las vulnerabilidades y la comparación con las nuevas funciones creadas para los clientes, a fin de obtener un punto de vista holístico sobre la reducción de vulnerabilidades. Para un equipo, el impacto fue enorme, con una reducción del 82% en el tiempo medio para solucionar una vulnerabilidad.. 

Sin embargo, lo que más importaba, añadió Howard, era lo incuantificable: la implicación, el compromiso y la voluntad de los equipos de participar en el programa.

Principales conclusiones

La experiencia de Sage subraya la relevancia de una formación en seguridad bien planificada y ejecutada, la importancia de un enfoque flexible e integrado, una lección que merece la pena aprender para cualquier organización que aspire a un programa de codificación sólido y seguro. Según Mads, es importante recordar que trabajar con los desarrolladores, y no contra ellos, es la clave para implantar con éxito un programa de control de la seguridad e integrar la seguridad en la cultura de la empresa. 

• La creación de una cultura de la seguridad no se consigue de la noche a la mañana. Es importante dedicar tiempo a establecer relaciones e integrar la seguridad a lo largo de un periodo de tiempo, y dedicar recursos a ello. 
• Vincule todo a la reducción de riesgos y céntrese en cuál es el impacto material de un programa de codificación segura.
• Concéntrese en cómo puede medir esa reducción de riesgos para transmitirla a la empresa, de modo que tanto los desarrolladores como los altos directivos consideren que el programa ha tenido impacto y éxito. 

Para los desarrolladores que quieran ser campeones de la seguridad, ella y su equipo también ofrecieron este consejo: 

• Crea a tu alrededor una red de personas interesadas en la seguridad y participa en conferencias y charlas. Dedica tiempo a aprender sobre los temas que te interesan. 
• Tenga en cuenta que la cultura de una organización no va a cambiar de la noche a la mañana y que tardará tiempo en desarrollarse y madurar. 

‍

Principales conclusiones

Kamer van Koophandel (KVK) ha creado un programa de seguridad moderno y centrado en los desarrolladores que destaca como modelo para el sector. En colaboración con Secure Code Warrior, KVK ha integrado prácticas de codificación segura en los flujos de trabajo de desarrollo cotidianos, ha establecido un programa de certificación estructurado que se aplica en toda la organización y ha logrado una reducción cuantificable del riesgo que demuestra el poder de un enfoque proactivo de la seguridad impulsado por los desarrolladores. Entre los aspectos más destacados se incluyen:

«Ya contábamos con una sólida base de seguridad, pero queríamos ir más allá y hacer que la seguridad fuera algo natural para todos los desarrolladores. Por eso nos asociamos con Secure Code Warrior convertimos la formación en la piedra angular de nuestra estrategia, dotando a nuestros equipos de los medios necesarios para crear software seguro con confianza desde el principio».

– Sebastiaan Rijnbout, responsable de productos de servicios de desarrollo

El reto

Creación de una mentalidad de seguridad centrada en los desarrolladores

La Cámara de Comercio de los Países Bajos (KVK) desempeña un papel fundamental en el apoyo a los emprendedores de todo el país. Como organismo oficial responsable del registro de empresas, entidades jurídicas y organizaciones que realizan actividades económicas, la KVK fomenta la transparencia y refuerza la integridad del ecosistema empresarial. Más allá del registro, la KVK proporciona información y asesoramiento valiosos sobre temas empresariales clave, desde orientación jurídica y normativa hasta conocimientos sobre financiación, novedades actuales y ciberseguridad. Al ofrecer datos fiables y colaborar con las partes interesadas económicas tanto a nivel nacional como regional, la KVK contribuye a crear un entorno seguro y bien informado en el que los emprendedores puedan prosperar. Cuando la KVK inició su andadura para mejorar aún más la seguridad de las aplicaciones, ya había establecido medidas de seguridad básicas, entre ellas pruebas de penetración. Aunque estas medidas proporcionaban información valiosa, la KVK vio la oportunidad de ampliar la seguridad en una fase más temprana del ciclo de vida del desarrollo y capacitar a los desarrolladores para que se hicieran responsables de la reducción de riesgos.

En 2022, KVK seleccionó Secure Code Warrior lanzó su primera iniciativa de formación en codificación segura con un enfoque centrado en los desarrolladores. Lo que comenzó como un esfuerzo de base para involucrar a los desarrolladores, evolucionó rápidamente hasta convertirse en un programa interfuncional respaldado por la dirección y la oficina del CISO, transformando el desarrollo seguro de una aspiración en un estándar organizativo.

La solución

Construir una cultura, no solo un programa

Con el patrocinio del CISO, el equipo de ciclo de vida de desarrollo de software seguro de KVK se asoció con Secure Code Warrior definir una estrategia para toda la organización y crear un programa de certificación obligatorio basado en funciones que:

KVK aprovechó la flexibilidad de la plataforma Secure Code Warriorpara crear un programa de certificación adaptado a las necesidades específicas de su organización. Al asignar los programas de formación a funciones específicas, los nuevos empleados comienzan con la formación de sensibilización sobre el Top 10 de OWASP, mientras que los ingenieros sénior abordan ejercicios avanzados basados en escenarios que se ajustan a los flujos de trabajo del mundo real. Los desarrolladores de nivel campeón asesoran a sus compañeros, fomentan el intercambio de conocimientos y ayudan a ampliar los conocimientos sobre seguridad en todos los equipos. El programa de KVK incluye una recertificación anual para garantizar que las habilidades se mantengan actualizadas, con una implementación completa en curso a medida que la organización continúa ampliando su cobertura y adaptándose a nuevos riesgos, como las vulnerabilidades impulsadas por la IA y las amenazas emergentes.

«La integración de las certificaciones en nuestro proceso de desarrollo supuso un punto de inflexión», afirma Sebastiaan. «Demostró a todos los desarrolladores que la seguridad es una prioridad compartida y una parte natural de cómo creamos software. Con Secure Code Warrior, el aprendizaje no es algo puntual, sino continuo, contextual y perfectamente integrado en nuestra cultura de desarrollo diaria».

El resultado: la formación se consideró relevante, alcanzable y directamente relacionada con el trabajo diario de los desarrolladores. A principios de 2024, el 90 % de los desarrolladores de KVK había obtenido la certificación de nivel básico, un hito que validó tanto la estrategia como el cambio cultural hacia una seguridad dirigida por los desarrolladores.

Los resultados

Impacto real, progreso medible

La inversión de KVK en desarrollo seguro con Secure Code Warrior dado resultados muy positivos:

KVK aprovecha SCW Trust Score®, un índice de referencia que mide el compromiso de una organización con las prácticas de codificación segura basándose en métricas de seguridad clave. En el transcurso de seis meses, la puntuación Trust Score de KVK aumentó significativamente, situándola entre el 12 % de las organizaciones mejor valoradas a nivel mundial.

«La puntuación SCW Trust Score nos ofrece una visión clara y basada en datos de dónde se encuentran nuestros riesgos y cómo centrar nuestra formación en los aspectos más importantes», explicó Sebastiaan. «No es solo un punto de referencia, es una hoja de ruta que nos ayuda a demostrar el progreso y el valor real para el negocio del desarrollo seguro».

KVK, en colaboración con Secure Code Warrior, ha establecido un nuevo estándar para la seguridad impulsada por los desarrolladores. Al unir un liderazgo sólido, una estrategia clara y resultados medibles, han transformado el desarrollo seguro en una capacidad empresarial fundamental, que cumple con los requisitos de cumplimiento normativo y sirve de modelo para el sector. Gracias a que los informes de SCW se ajustan a las normas de certificación ISO 27001/27002, KVK también puede validar la eficacia de su programa durante las auditorías, lo que demuestra que el desarrollo seguro no es solo una recomendación, sino una necesidad.

KVK tiene planes de ampliar su programa de certificación más allá de la ingeniería para incluir a los evaluadores de control de calidad, DevOps y desarrolladores de bajo código, reforzando así que la seguridad es una responsabilidad compartida en toda la organización. También planean introducir el contenido centrado en IA/LLM de SCW para ayudar a los desarrolladores a programar de forma segura junto con herramientas como GitHub Copilot, y están trabajando con SCW Professional Services para optimizar la implementación de Trust Agent. Estos esfuerzos muestran lo que es posible cuando la programación segura se convierte en una responsabilidad compartida, no solo para los desarrolladores, sino para toda la organización.

«Nuestra colaboración con Secure Code Warrior sido fluida y productiva», afirma Sebastiaan. «Nos han ayudado a implementar y mejorar nuestro programa de formación, lo que ha dado lugar a una reducción cuantificable del riesgo y a una cultura más sólida de desarrollo seguro».

Con Secure Code Warrior, KVK ha sentado unas bases sólidas para el desarrollo seguro, y esto es solo el principio.

Durante el seminario web habla de:

• Posibles métodos para localizar a los promotores
• Retos de los clientes de SCW
• Agente de confianza: Compromisos para el descubrimiento de desarrolladores
• Próximos pasos para nuevos clientes
  ‍