Lo mejor del brunch: nuestros líderes en AppSec comparten su sabiduría

A lo largo de mi carrera como profesional de AppSec, he tenido la suerte de conocer y establecer contactos con algunos de los talentos más increíbles de la industria, cada uno de los cuales ha dejado su huella al ayudar a proteger y fortalecer las crecientes redes de código del mundo. En esta etapa de mi viaje (¡con un poco más de conocimiento y mucho menos esfuerzo!) , a menudo me piden que hable con las futuras estrellas de la seguridad del software, y es un trabajo que me encanta. Sin embargo, también comprendo lo importante que es ser visible como líder y mentor para quienes buscan mantenerse firmes y crecer en sus funciones.

Hace poco estuve en Londres con algunos de los Secure Code Warrior y organizamos un brunch con el objetivo de reunir a un puñado de superestrellas de AppSec para establecer contactos, obtener información y disfrutar de uno o dos pasteles. Ante más de sesenta invitados, expusieron su amplia experiencia como parte de un panel de expertos, lo que hizo que todos se entusiasmaran con el futuro de la seguridad de las aplicaciones.

Al abordar temas candentes, como la forma de aprovechar al máximo el presupuesto de AppSec de una organización, así como varias preguntas difíciles de la audiencia, el panel ofreció una verdadera magia matutina que, sin duda, ayudará a los gerentes de seguridad, los especialistas y sus desarrolladores a crear programas viables dentro de sus organizaciones.

Tuvimos el privilegio de recibir a los siguientes líderes para el panel, Herramientas vs. Personas: ¿Su presupuesto de AppSec se ocupa adecuadamente de ambas?

• Vincent Gilbert, CISO, Societe Generale
• Dric Levy-Böncheton, director ejecutivo, Cetome
• Reena Shah, directora de cultura y conciencia de seguridad y privacidad, M&G Prudencial
• Lee Thurlow, director global de AppSec, Pearson
• Lewis Bramfitt, director general, Laboratorio Bramfitt.

Cada orador compartió sus opiniones sobre el panorama de las herramientas de AppSec (spoilers): dado que muchas organizaciones generan tanto software, puede ser un campo minado seleccionar herramientas que realicen todas las funciones que necesita. Al fin y al cabo, ninguna herramienta en particular puede abarcarlo todo).

Reena Shah también hizo una observación interesante. En tan solo unos pocos años, hemos visto un cambio positivo en la percepción de AppSec en las grandes organizaciones, lo que ha permitido que un elemento fundamental comience a tomar forma: la inversión en personal para mantener las mejores prácticas y la cultura de seguridad:

«Creo que está cambiando. Cuando empecé esto hace cuatro años, tratar de conseguir un presupuesto y un equipo en lo que respecta a la cultura y la concienciación en materia de seguridad era realmente difícil. Y lo que estoy descubriendo ahora es que ese ya no es mi desafío. Para mí es muy fácil decir: «Este es el presupuesto que necesito, estas son las personas que necesito para reducir los riesgos. Estoy viendo un cambio radical, y creo que eso se debe a que la junta directiva (y la alta dirección) están entendiendo lo importante que es proporcionar fondos para ayudarnos a reducir los incidentes de seguridad». Lo dijo ella.

Puedes ver el panel completo ahora mismo:

Para mí, es increíblemente reconfortante ver que en el futuro de AppSec se hace hincapié en la formación y los conocimientos adecuados para los desarrolladores que están en primera línea, lo que les permite formar una sólida defensa contra las vulnerabilidades antiguas que aún se les acechan en la cabeza.

Las herramientas brindan un nivel de soporte, pero en realidad, es hora de que nos enfrentemos a los hechos. Simplemente tenemos que dejar de repetir los mismos errores.

Cerrar el bucle de errores de AppSec

Como parte del brunch de líderes en AppSec, también realicé una presentación sobre cómo podemos abordar el costoso y continuo problema de las mismas vulnerabilidades de seguridad que aparecen una y otra vez. Es posible que las herramientas las encuentren, pero no están haciendo mucho para evitarlas. Los desarrolladores deben recibir la formación adecuada para detener su introducción desde el principio.

Y, bueno, los desarrolladores somos un grupo divertido. Algunas capacitaciones son mucho más eficaces que otras en lo que respecta al compromiso y la retención. Puedes ver mi presentación completa aquí:

Un énfasis en formación en seguridad, así como una conciencia general y una cultura positiva entre los desarrolladores y AppSec es como la kriptonita para un atacante. Esas pequeñas puertas traseras se cierran, esas formas fáciles de almacenar nuestros datos se agotan, y los superhéroes de la seguridad trabajan juntos para convertir la seguridad en sinónimo de calidad de software.

De forma lenta, pero segura, estamos llegando allí.