Perspectivas sobre el código seguro

Existe una verdad algo incómoda, que los gobiernos, las grandes corporaciones e incluso algunos líderes de la industria tienden a pasar por alto: como sociedad, estamos en una batalla constante contra las ciberamenazas y actualmente estamos en el bando perdedor. ¿Cómo sabemos esto? Estas estadísticas cuentan una historia aleccionadora:

• Se estima que la ciberdelincuencia tiene un costo global de 6 billones de dólares de aquí a 2021
• Se produce un ciberataque cada 39 segundos
• El 24% de las filtraciones de datos son causados por un error humano
• Un alarmante 77% de las organizaciones no tener un plan de respuesta a incidentes de ciberseguridad que se amplía en toda la empresa y se aplica de manera uniforme entre los departamentos.

En lo que respecta a los especialistas en ciberseguridad, tenemos una escasez crítica de personal; es poco probable que se llene la brecha de habilidades y no hay ningún ejército secreto de AppSec que venga a rescatarnos. Lo sabemos desde hace años y tenemos que cambiar nuestro enfoque. En nuestro caso, el mejor ataque es una buena defensa, y podemos atacar primero si tenemos un buen plan.

Todo esto suena un poco deprimente, pero no es tan malo como algunos nos hacen creer. Tenemos un as bajo la manga y el clima de ciberseguridad nos presenta una oportunidad de oro. No necesita buscar más allá de sus equipos de desarrollo internos para encontrar al personal que vendrá a rescatar a la organización, pero su programa de seguridad debe respaldar su trayectoria para convertirse en ingenieros conscientes de la seguridad que estén preparados para compartir la responsabilidad de programar de forma segura.

Cualquier entrenamiento antiguo no servirá - ya lo hemos dicho lo suficiente, pero incluso la formación adecuada que involucre, desarrolle conocimientos contextuales y ayude a los desarrolladores a disfrutar de la seguridad podría ser mucho más eficaz si tan solo estuviera más adaptada a las necesidades de la empresa, las amenazas a las que se enfrenta y los requisitos de cumplimiento que ayudan a las empresas a mantener todos nuestros datos seguros.

Y ahí es donde nuestras funciones más recientes, Cursos, entra en juego. Por cierto, si tienes la referencia en el título, oficialmente eres viejo (o simplemente aprecias un clásico).

Aprendizaje específico de la organización: desarrolle la defensa, refuerce las habilidades de los desarrolladores

Tenemos todo tipo de opiniones sobre por qué algunos tipos de formación para desarrolladores son mejores que otros (es decir, no hay que aburrirlos hasta la muerte con horas de sermones en vídeo genéricos y secos, y esperar que florezca la pasión por la programación segura). Sin embargo, incluso con un aprendizaje competitivo diseñado para adaptarse a la mentalidad de los desarrolladores, es posible que el contenido sea un poco más amplio de lo que se necesita para cumplir con los requisitos particulares de una organización.

Un curso seleccionado que contenga los módulos exactos en los que tus desarrolladores deberían demostrar su competencia tendrá un gran impacto y les permitirá empezar a trabajar de inmediato en lo que respecta a las mejores prácticas de seguridad en su trabajo diario. Personalice los programas para que se adapten a los equipos de frontend, a los ingenieros de nube, etc., con la capacidad de analizar en profundidad las vulnerabilidades más importantes, en los lenguajes y marcos que sean relevantes para ellos. Los desarrolladores aumentarán sus habilidades con un contexto, puntos de contacto y experiencia continuos, mientras que la empresa se beneficiará de una conciencia precisa sobre los problemas que representan un mayor riesgo.

Personalice un curso para garantizar el cumplimiento

En todo el mundo se están imponiendo normas más estrictas relacionadas con la ciberseguridad, y el cumplimiento de la seguridad del software es una base excelente sobre la que construir una cultura de seguridad positiva y eficaz. No debería ser aburrido, y un buen programa de seguridad despierta un sentimiento de orgullo y responsabilidad en los desarrolladores, en lugar de quejarse y ponerse la palma de la cara.

Como punto de partida, es una muy buena idea poner a todos al día con el Top 10 de OWASP, pero para alcanzar realmente nuevos niveles de cumplimiento relevantes para la industria, puedes diseñar un curso personalizado en torno a los requisitos de las normativas específicas. Por ejemplo, una organización financiera podría adaptar un curso a los requisitos de cumplimiento de su software, de acuerdo con la Pautas de PCI-DSS que rigen las aplicaciones de procesamiento de pagos y tarjetas. Hay mucho en juego cuando te encargas de procesar y almacenar información confidencial, como los números de tarjetas de crédito, y conseguir la máxima especificidad con el aprendizaje de los desarrolladores evita el ruido, proporciona la formación adecuada en el momento adecuado y hace que la aptitud del equipo sea mucho más fácil de supervisar.

Así es como General Electric (GE) utiliza los cursos en sus equipos:

«Los cursos son una gran solución para nuestros ingenieros. Con la nueva función, que agrupa la ruta de aprendizaje, los vídeos y los puntos de control en un módulo personalizable, podemos diseñar el contenido en función de lo que necesitamos en cada momento. Las capacidades de cumplimiento y la flexibilidad brindan una oportunidad aún mejor para garantizar un proceso más ágil y flexible. Esta capacidad ha ayudado a General Electric a adaptar la formación pertinente a cada ingeniero de forma más rápida y sencilla que nunca».

Y recuerde, puede que se trate de una formación sobre cumplimiento curada, pero aun así se ofrece como una experiencia de aprendizaje pequeña, contextual y atractiva que es mucho más atractiva para los desarrolladores.

Una cultura de seguridad positiva basada en el respeto y la relevancia

La educación es un proceso que dura toda la vida, pero en el frenético mundo de DevSecOps, hay muchos platos que hacer girar. El tiempo reservado para la formación debe utilizarse con prudencia, con una ruta de aprendizaje viable que siga atrayendo y añadiendo valor.

Al seleccionar un curso personalizado que sea muy relevante, respetas el tiempo y el flujo de trabajo del desarrollador y, al mismo tiempo, trabajas para lograr una reducción mensurable de las vulnerabilidades y los riesgos de ciberseguridad para la empresa.

La relación entre los especialistas e ingenieros de AppSec suele estar plagada de malentendidos y tensiones, pero el aprendizaje estructurado con los cursos puede permitir a ambas partes ponerse de acuerdo con las prácticas recomendadas de seguridad. No cabe duda de que los desarrolladores apreciarán que el equipo de AppSec les dé la posibilidad de centrarse en las soluciones, ya que minimiza la carga que tienen que soportar y les ayuda a crear un estándar de código más elevado.

Elimine las debilidades, amplíe la higiene de seguridad a nivel empresarial

Todos somos humanos y, lamentablemente, cometemos errores. Esos errores pueden ser extremadamente costosos en el mundo digital, pero son asombrosamente comunes. Los de Symantec Informe sobre amenazas a la seguridad en Internet de 2019 confirmó que se robaron más de 70 millones de registros como resultado de la mala configuración de los cubos S3. Los errores de configuración de seguridad son una de las principales causas de las filtraciones de datos, y la causa principal son los errores humanos alrededor de una cuarta parte de ellos.

Estos problemas ocurren por varias razones, pero la falta de conciencia y capacitación en materia de seguridad es un factor importante para que los atacantes puedan aprovechar las pequeñas oportunidades. Para lograr una higiene de seguridad escalable que tenga un impacto positivo, debe contar con un curso personalizado para su empresa. No muestres piedad con tus enemigos y elimina cualquier oportunidad que tengan para causar el mayor dolor de cabeza que puedas encontrar.

Ya estamos viendo un impacto sorprendente en nuestros clientes, incluido este proveedor líder de SaaS de contabilidad basado en la nube:

«La ruta de aprendizaje personalizada de los cursos ha supuesto un punto de inflexión. La especificidad de los lenguajes de programación y las vulnerabilidades proporcionan más control y flexibilidad para crear la experiencia de aprendizaje adecuada para cada desarrollador en función de las necesidades individuales y de la empresa. El uso de Courses junto con la plataforma de codificación segura más amplia de Secure Code Warrior ha transformado el compromiso de nuestros desarrolladores, ya que ahora están más interesados en mejorar sus habilidades de codificación segura para escribir un código mejor y más seguro».

Prepárate para DevSec. Obtenga más información sobre la nueva función de cursos de Secure Code Warrior aquí.

Con 2020 viendo un enorme aumento en el trabajo remoto, además de las continuas filtraciones de datos a gran escala y un enfoque cada vez mayor en las consecuencias de comprometer la privacidad en línea, nunca ha habido un enfoque público más centrado en la ciberseguridad. Como resultado, los gobiernos de todo el mundo han intervenido para remodelar y actualizar sus planes e infraestructuras de ciberseguridad, incluidas las estrategias y normativas que las empresas deben seguir a la hora de gestionar nuestros recursos digitales más preciados.

Las directrices de protección estratégica para la ciberseguridad no son un concepto nuevo, y organizaciones como NIST han influido en las políticas de los departamentos gubernamentales mundiales durante muchos años. A medida que avanzamos a un ritmo vertiginoso en el avance digital, a muchos les resulta difícil mantenerse al día con la cantidad de amenazas, los posibles vectores de ataque y los requisitos de cumplimiento que forman parte de un panorama en constante cambio.

Un reciente incumplimiento de 54.000 licencias de conducir de Nueva Gales del Sur como resultado de un bucket de S3 mal configurado y de fácil acceso en un servidor de terceros, ha puesto en peligro a miles de personas, y el investigador de seguridad que lo denunció admitió que es posible que los datos ya se hayan vendido en la web oscura. Lo triste es que se trata de una solución fácil y no habría sido posible si la seguridad hubiera sido una prioridad para los configuradores de la caché.

El Gobierno australiano publicó recientemente el Estrategia Australiana de Ciberseguridad 2020, destacando las nuevas iniciativas y el aumento de financiación de 1.670 millones de dólares que se utilizarán durante la próxima década para lograr su «visión de crear un mundo en línea más seguro para los australianos, sus empresas y los servicios esenciales de los que todos dependemos». Evidentemente, se trata de una revisión y un plan actualizado que acogemos con gran satisfacción, sobre todo si se tiene en cuenta que uno de los principales objetivos es:

«Acciones de las empresas para proteger sus productos y servicios y proteger a sus clientes de las vulnerabilidades cibernéticas conocidas«.

Si bien los organismos gubernamentales tienden a centrarse (como deberían) en las medidas de seguridad relacionadas con la infraestructura crítica de un país (áreas que están listas para un ataque organizado catastrófico), lo que faltaba en el pasado eran directrices para las empresas que recopilan y utilizan nuestros datos todos los días.

Ahora, cuando se trata de estrategias oficiales como esta, no siempre se trata de cerveza y bolos. Puede resultar un poco difícil de interpretar e impreciso en cuanto a los detalles, lo que deja en manos del equipo de seguridad de la organización la elaboración de un plan basado en directrices no específicas. Este problema no es exclusivo del gobierno de Australia, pero analicemos su nuevo lanzamiento.

Centrarse en la reacción, no en la prevención.

La Estrategia de Ciberseguridad de Australia actualizada es un avance más relevante con respecto a la última versión de 2016, con planes bastante completos para las empresas, especialmente para las pymes. La estrategia describe lo siguiente:

«El gobierno y las grandes empresas ayudarán a las pequeñas y medianas empresas (PYMES) a crecer y aumentar su conciencia y capacidad en materia de ciberseguridad. El Gobierno australiano colaborará con las grandes empresas y los proveedores de servicios para proporcionar a las pymes información y herramientas en materia de ciberseguridad como parte de «paquetes» de servicios seguros (como el bloqueo de amenazas, los antivirus y la formación en materia de ciberseguridad)».

Esto proporcionará a las pymes una base básica decente sobre la que proteger sus negocios de las ciberamenazas, pero es en gran medida un enfoque reactivo, y la atención se centra en las herramientas de detección, una parte relativamente pequeña del panorama de la ciberseguridad.

Sorprendentemente, también hay poca información sobre cómo las grandes empresas pueden protegerse y reducir sus vectores de ataque. Si bien muchos pueden formar parte de los planes para proteger la infraestructura crítica (como las telecomunicaciones y el transporte), servicios financieros, venta al por menor, y muchos otros mercados verticales tienen mucho que perder cuando se trata de un ciberataque exitoso. Quizás esto forme parte de la próxima legislación, pero aun así, es fundamental destacar la importancia de aplicar meticulosas mejores prácticas de ciberseguridad a nivel empresarial para lograr un cambio significativo y una disminución de los datos comprometidos y la ciberdelincuencia.

En general, cuando se considera la estrategia en su conjunto, se basa en un enfoque reactivo. La lucha contra los ciberataques, la desarticulación de los ciberdelincuentes activos y la garantía de su persecución, así como el intercambio de información de inteligencia con los aliados internacionales, son factores importantes, pero imagínese si la norma nacional de protección se centrara en la prevención. Además de las medidas de protección para la infraestructura crítica, si la seguridad fuera una prioridad en todas las empresas y cada persona que toque el código que crea nuestro mundo digital estuviera debidamente equipada para bloquear los ataques antes de que se produzcan, el ahorro de tiempo, dinero y angustia para las víctimas es inconmensurable.

La resiliencia es posible, pero hay que planificarla.

Del esfuerzo del Gobierno australiano por tomarse en serio la ciberseguridad se desprende claramente que se la ha identificado como un área de riesgo clave a nivel nacional. Como cualquier otro ataque malintencionado que tenga la capacidad de perturbar nuestro modo de vida, la resiliencia es absolutamente crucial, no solo para resistir un intento de este tipo, sino también para disuadir de que se produzca. A fin de cuentas, incluso los actores de las amenazas pueden ser perezosos y, si se ponen demasiados obstáculos para lograr su objetivo, optarán por un objetivo más fácil para alcanzar su objetivo.

Por el momento, nos enfrentamos a una escasez mundial de habilidades de ciberseguridad, y esto es algo que mantiene despiertos a los CISO de todo el mundo por la noche. Miles de millones de líneas de código, violaciones de datos constantes y a gran escala y un mayor riesgo de penalización (solo en Marriott) recibió una multa de 123 millones de dólares en virtud del RGPD por su violación de datos en 2018... y ellos tuvo otra infracción este año) ha creado más que nunca un abismo en la demanda de especialistas en seguridad que, siendo realistas, es poco probable que se cierre. Simplemente hay demasiado código y muy pocos recursos para garantizar que esté fortificado desde todos los ángulos.

Entonces, ¿deberíamos renunciar a la idea de que alguna vez nos mantendremos firmes frente a las ciberamenazas? No hay ninguna posibilidad. La resiliencia requiere utilizar todos los recursos disponibles y pensar un paso por delante. Y para muchas empresas, sus desarrolladores pueden desbloquear un poderoso método de fortificación justo cuando se escribe el código. Cuando se combina con una cultura de seguridad visible y positiva en toda la empresa, esto proporciona una base segura que es difícil de romper para muchos atacantes. Sin embargo, este método requiere tomar las sugerencias de la Estrategia de Ciberseguridad de Australia, como ejemplo, y profundizar en la forma en que se pueden personalizar para respaldar un cambio efectivo que sea relevante para la empresa.

Para ello, es importante desglosar un par de consejos:

• Formación sobre sensibilización en materia de seguridad: se dirige específicamente a las pymes y, en el contexto de todo el informe, tiene como objetivo principal enseñar a todo el personal la higiene básica de la seguridad (por ejemplo, detectar correos electrónicos de suplantación de identidad, no hacer clic en enlaces desconocidos, etc.). Siendo realistas, debe ir mucho más allá y centrarse en funciones específicas, especialmente para quienes se dedican al código, como los desarrolladores. Es imperativo que la formación en materia de seguridad sea un componente de las medidas preventivas y del fomento de la resiliencia
• Educación: En un cambio refrescante, hay un plan detallado para abordar la escasez de habilidades de ciberseguridad durante la próxima década, haciendo hincapié en la formación en ciberseguridad desde la escuela primaria y secundaria hasta la educación superior. Esto es muy necesario si queremos construir las superestrellas de la seguridad del futuro, pero desde la perspectiva de abordar las necesidades empresariales en este momento, la formación práctica en codificación segura para la cohorte de desarrollo es una necesidad absoluta para empezar a reducir las vulnerabilidades comunes y debe formar parte de un programa de seguridad funcional.

Como expertos en seguridad, debemos hacer más para ayudar a las empresas de todo el mundo a entender la importancia de crear un programa de seguridad interna que vaya más allá de las simples medidas fundamentales de concienciación. Dedicar tiempo a mejorar las habilidades de los desarrolladores alivia la presión sobre los especialistas en AppSec, que tienen el exceso de trabajo, y garantizar que toda la organización esté tan concienciada con la seguridad como sea posible en el contexto de su función es vital para reducir el área de ataque del software a la superficie amenazada.

La mejora de las habilidades de los desarrolladores es un tiempo bien empleado, entonces, ¿por qué tantas empresas lo ignoran?

Una encuesta reciente de DDLS concluyó que hay muy poco sentido de prioridad en lo que respecta a la formación en ciberseguridad en las organizaciones australianas. De hecho, ni siquiera figuraba entre las tres principales prioridades de formación, a pesar de que el 77% de los encuestados califica el conocimiento de la ciberseguridad como «extremadamente» o «muy importante» en sus negocios.

No es de extrañar, entonces, que Australia esté esforzándose por cerrar la creciente brecha de habilidades y tenga mucho trabajo por hacer para crear una infraestructura más resiliente, desde los servicios esenciales hasta el comercio minorista y todo lo demás.

Aquí hay una enorme oportunidad para gobiernos para crear una certificación básica o regulación de habilidades de seguridad, y la estrategia alude a esto como una forma de trabajar con recursos limitados. Sin embargo, una vez más, esta parece ser una propuesta para el futuro, y tenemos las herramientas para empezar mucho antes si nos centramos primero en las áreas de alto impacto. Para mí, la esperanza reside en los equipos de desarrollo de cada organización y, si cuentan con las herramientas y los conocimientos necesarios para tener éxito, pueden eliminar de inmediato las vulnerabilidades más comunes y reducir significativamente el riesgo de que se produzca una violación de datos en su organización.

En 2019, El 24% de todas las filtraciones de datos se debieron a errores humanos - es decir, errores de configuración de seguridad, que suelen ser correcciones relativamente simples a nivel de código. Si la formación se convierte en una prioridad, junto con la creación de conciencia en materia de seguridad en toda la empresa, apuesto a que habría menos CISO que los CISO firmaran las notificaciones de infracciones a miles de clientes comprometidos.

Durante años, los responsables de seguridad han invertido mucho en programas de codificación segura, pero una pregunta fundamental sigue sin respuesta: ¿Sabemos realmente quién está introduciendo código y posee las habilidades necesarias para escribir, revisar y, en última instancia, entregar código seguro?

Los enfoques tradicionales de "cambio a la izquierda" dejan a las empresas luchando con enormes puntos ciegos cuando se trata de descubrir e incorporar desarrolladores para programas de codificación segura. Como los administradores de programas dependen de comprobaciones manuales, hojas de cálculo y estructuras orgánicas de RR.HH. para realizar un seguimiento de las habilidades de codificación segura de los desarrolladores, a menudo surgen "desarrolladores en la sombra" que contribuyen con código a través de bases de código críticas pero carecen de competencia en seguridad. Esta realidad socava gravemente los objetivos de un SDLC seguro y complica la gobernanza, dificultando la demostración de la competencia en materia de seguridad a la hora de enfrentarse a revisiones internas o externas.

Secure Code Warrior's Trust Agent elimina este riesgo, transformando su programa de codificación segura en una defensa verificable y supervisada continuamente que proporciona a los responsables de seguridad de aplicaciones y a los CISO la confianza necesaria para demostrar que sus desarrolladores poseen la competencia necesaria en materia de seguridad en cada commit.

Supervisión y garantía continuas con el agente fiduciario

Sin una supervisión continua, el riesgo para los desarrolladores permanece oculto. Trust Agent ofrece una visibilidad continua al hacer operativa la seguridad en el nivel de confirmación del código.

Descubrimiento continuo del desarrollador: Conocer el alcance

Antes de asegurar su código base, debe saber quién lo está tocando.

Trust Agent explora automáticamente sus repositorios integrados para descubrir a todos los contribuidores de código activos en toda su base de código. Esto ayuda a abordar un reto crítico de la incorporación, un proceso continuo, y responde a la pregunta: ¿sabe cuándo se incorporan nuevos ingenieros o contratistas, y si están recibiendo formación inmediata y relevante sobre codificación segura? Mediante la supervisión continua de los commits, nos aseguramos de que todos los desarrolladores sean identificados inmediatamente y de que su viaje hacia la codificación segura pueda comenzar, eliminando los retrasos típicos de la incorporación y garantizando el alcance integral del programa.

‍

Competencia verificada: Supervisar el código, no sólo la finalización del aprendizaje

Además de descubrir a todos los contribuidores de código, Trust Agent transforma los datos de aprendizaje en pruebas fehacientes mediante la supervisión continua de las habilidades de codificación segura aplicadas en tiempo real. Proporciona una profunda capacidad de observación mediante la correlación de cada confirmación de código con la competencia de codificación segura específica del lenguaje verificada del desarrollador.

Esto es crucial para mandatos como PCI DSS 4.0 (Requisito 6.2.2), que exige específicamente la formación en código seguro cada 12 meses en el lenguaje o marco en el que los desarrolladores envían el código. Trust Agent le proporciona las pruebas auditables necesarias para demostrar que la competencia en seguridad está alineada con los lenguajes y marcos de trabajo utilizados en sus aplicaciones críticas.

Además, Trust Agent proporciona información inmediata sobre su postura de riesgo al señalar qué equipos o repositorios de código tienen grandes volúmenes de commits de desarrolladores sin los conocimientos de seguridad adecuados. Esta visibilidad permite a los administradores del programa asignar fácilmente la formación adecuada a los desarrolladores adecuados basándose en los datos más relevantes en tiempo real.

Gobernanza integrada y control de las políticas

En última instancia, la gobernanza debe aplicarse para reducir realmente el riesgo para la seguridad de los desarrolladores. Trust Agent ofrece la posibilidad de hacer obligatoria la competencia en seguridad trasladando los controles directamente a los flujos de trabajo de desarrollo existentes, con la capacidad de definir políticas de confirmación basadas en la tolerancia al riesgo de su organización. Trust Agent automatiza la gobernanza directamente en el flujo de trabajo de confirmación, con puertas de políticas que pueden configurarse para registrar, advertir o bloquear solicitudes de extracción si el nivel de conocimientos de codificación segura de un desarrollador es insuficiente. Esta gobernanza integrada es la clave para garantizar realmente que la seguridad es un requisito y no una sugerencia opcional.
‍

Garantizar el futuro del desarrollo

El paso a una competencia verificable en codificación segura no consiste solo en pasar auditorías; al fin y al cabo, se trata de enviar código innovador y seguro. Incluso o especialmente con el aumento del desarrollo asistido por IA, el principio fundamental sigue siendo: los desarrolladores deben ser competentes en seguridad para reducir realmente el riesgo. Al hacer que la competencia en codificación segura de los desarrolladores sea un requisito medible, SCW Trust Agent es la pieza crítica que garantiza que su organización no solo cumpla las obligaciones normativas y de conformidad, sino que refuerce fundamentalmente su postura de seguridad desde dentro.

Para obtener más información, reserve una demostración o póngase en contacto con su Gestor de Éxito de Clientes hoy mismo.

‍

Las mismas 10 vulnerabilidades de software han causado más brechas de seguridad en los últimos 20 años que ningún otro. Sin embargo, muchas empresas siguen optando por la remediación posterior a la violación y al suceso, tratando de superar las ramificaciones humanas y empresariales de todo esto. Pero ahora, un nuevo estudio de investigación apunta a una nueva dirección dirigida por el ser humano.

‍A continuación, se analizan las ideas derivadas de un estudio realizado por Secure Code Warrior con Evans Data Corp titulado «Pasar de la reacción a la prevención: el rostro cambiante de la seguridad de las aplicaciones» (2021) que explora las actitudes de los desarrolladores hacia la codificación segura, las prácticas de código seguro y las operaciones de seguridad. Descargue el documento técnico aquí.

‍‍En el estudio que se publicará próximamente, se preguntó a los desarrolladores y gerentes de desarrollo sobre las actividades que asocian con la codificación segura. Las tres respuestas principales fueron:

• Uso de herramientas de escaneo en aplicaciones implementadas.
• Revisar manualmente el código en busca de vulnerabilidades.
• La práctica activa y continua de escribir software que esté protegido contra las vulnerabilidades.
  ‍

Entonces, ¿qué nos dice esto? Dos de las tres respuestas principales siguen centrándose en enfoques reactivos: la primera depende de las herramientas (escáneres) y la segunda de que el desarrollador (es decir, el ser humano) realice las comprobaciones manuales, en ambos casos después el código está escrito. Las vulnerabilidades detectadas con estos métodos deben enviarse al equipo de desarrollo para que las revise, lo que repercute en los plazos y los costes del proyecto.

Al mismo tiempo, dos de las tres actividades nominadas se basan en el elemento humano, un indicador de la creciente percepción de la seguridad como un problema humano. Sin embargo, de todas las actividades nominadas, la más reveladora es la número 3, que identifica el factor humano escribiendo software que esté protegido contra las vulnerabilidades en primer lugar. Esto pone de manifiesto un cambio hacia la izquierda: un enfoque proactivo y preventivo que incorpora la seguridad en el software desde el principio del ciclo de vida del desarrollo del software.

Reactivo puede equivaler a CARO

Según un estudio* de IBM, es treinta veces más caro corregir las vulnerabilidades en el código posterior al lanzamiento que si se encontraran y corrigieran desde el principio. Se trata de un poderoso incentivo para adoptar un nuevo enfoque proactivo y más humano de la defensa de la seguridad del software, que permita a los desarrolladores programar de forma más segura desde el principio.

Esto es lo que se podría llamar un defensa dirigida por humanos. Pero para que los desarrolladores empiecen a preocuparse por la seguridad, tiene que formar parte de su forma de pensar y programar todos los días. Se trata de un llamamiento a adoptar nuevos enfoques de formación que sean sumamente pertinentes para el trabajo diario de los desarrolladores y que los inspiren a querer aprender, algo que no puede decirse de los modelos de formación actuales.

Para crear una cultura de seguridad proactiva, se necesita una nueva formación que:

• convierte la codificación segura en una experiencia positiva y atractiva para los desarrolladores a medida que aumentan sus habilidades de seguridad de software
• anima a los desarrolladores a ver sus tareas de codificación diarias con una mentalidad de seguridad
• hace que la codificación segura sea intrínseca a su flujo de trabajo diario
  

Cuando estos hilos se unen, se evita que se produzcan vulnerabilidades en primer lugar, lo que permite a los equipos enviar código de calidad más rápido y con confianza. La buena noticia es que ya existe una plataforma de aprendizaje que «empieza por la izquierda» en el proceso de desarrollo de software, una plataforma que ya está dotando a los desarrolladores de las habilidades y herramientas necesarias para crear código de calidad desde el principio.
‍‍

‍

*IBM Software Group: minimizar los defectos del código para mejorar la calidad del software y reducir los costos de desarrollo
https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html

Una versión de este artículo apareció en Lectura oscura. Se ha actualizado y distribuido aquí.

Cuando hablo con los desarrolladores sobre seguridad, uno de mis mantras es que «el único código de calidad es el código seguro». Esto sigue siendo cierto; es posible que hayamos escapado a un desastre cuando el software vulnerable salió a la venta en la década de los 90, pero hoy no vale la pena correr el riesgo. A lo largo de los años, muchos han trabajado arduamente para inculcar en los desarrolladores una mentalidad consciente de la seguridad y, al hacerlo, es de esperar que la seguridad sea sinónimo de calidad en lo que respecta a la autoevaluación de su código.

Sin embargo, tras una reflexión (y un debate entre mis compañeros), quizás esté simplificando demasiado el concepto. Es totalmente posible crear código que sea realmente seguro, pero que muestre signos de una técnica de desarrollo incierta u otras áreas problemáticas que lo hagan menos que ideal.

Nuestra industria habla extensamente sobre la noción de «cambiar a la izquierda». En mi opinión, se trata de «empezar» por la izquierda, permitiendo que las cohortes de ingeniería compartan la responsabilidad de la seguridad (que es un aspecto de la calidad) y dándoles la posibilidad de borrar las vulnerabilidades comunes al alcance de la mano (literalmente). Sin embargo, a la luz de este dilema actual, parece que hay que ir un poco más allá.

El código de un cierto nivel de calidad es, por definición, también seguro, pero no todo el código seguro es necesariamente de buena calidad. ¿Empezar «a la izquierda de la izquierda» es la fórmula para garantizar estándares de codificación puros y seguros?

¿Qué aspecto tiene un código seguro de «mala calidad»?

Vamos a ver con lupa este fragmento de código:

Si analizamos este código desde una perspectiva de seguridad, este fragmento es seguro y no es un punto de entrada para que un atacante aproveche una vulnerabilidad de inyección SQL.

¿Es un ejemplo de código de alta calidad? La verdad es que no, lamentablemente. Un simple cambio en el argumento de int (ger) a un Cuerda El valor permite que la entrada del usuario de forma libre manipule la consulta, a diferencia de un número que no puede. Ese cambio (o copiar y pegar de forma fortuita la cadena sql desde otro lugar) crea inmediatamente un entorno en el que es posible que se produzcan vulnerabilidades en la inyección de SQL y todos los riesgos asociados a ellas:

En este caso, las medidas de seguridad tenían un alcance muy limitado, mientras que un desarrollador más minucioso (o experimentado) podría haber adoptado un enfoque diferente y haber considerado las implicaciones de una estructura argumental ineficiente. Un código de envío como este no solo es una mala práctica, sino que también es un mal ejemplo para otros miembros de la cohorte de desarrolladores.

La «triple amenaza» del software: ¿forma, función, parecido a una fortaleza?

Una «triple amenaza» en la industria del entretenimiento es una persona que puede actuar, bailar y cantar con un nivel de habilidad igualmente alto. Son las personas temidas y envidiadas en todas las audiciones, y son los unicornios de un espacio ya de por sí competitivo. Cada sector tiene su propia versión de un ejemplo excepcional y de primer nivel de sus productos y servicios, y el software no es la excepción.

Si pensamos en tres elementos clave en las aplicaciones que son difíciles de equilibrar con una calidad igual (alta), podrían ser la funcionalidad y la elegancia, además de una seguridad férrea y la rentabilidad si tenemos en cuenta la velocidad de entrega requerida. Ahora bien, este último atributo es, sin duda, un factor determinante para la eficacia con la que se aplican las otras dos opciones, y puede ser un catalizador para que la calidad general decaiga con el tiempo.

Sin embargo, ¿es necesario que todo el software funcione como Hugh Jackman o podemos salirnos con la suya con Nicolas Cage? Pongámoslo de esta manera: si consigues meter a Wolverine en tu equipo, lo harás lo mejor que puedas.

Martin Fowler hizo la pregunta: ¿Vale la pena la alta calidad? en el desarrollo de software, concluyendo que no solo «valió la pena», sino que en realidad fue más barato con el tiempo. La mayoría de los usuarios no se van a poner a analizar minuciosamente si el código es un desastre o si la seguridad es tan importante como todo lo demás. Sin embargo, quienes utilicen las herramientas perderán un tiempo precioso rehaciendo código torpe para añadir funciones más nuevas, o revisando las partes principales del proyecto para entender lo que está pasando o, en el peor de los casos, solucionando una vulnerabilidad que el equipo de AppSec ha conseguido recuperar y ha retrasado su producción. Dedicar tiempo ahora a crear código seguro y de buena calidad ahorra muchos problemas futuros, sin mencionar el costo de desentrañar un trabajo mal ejecutado.

Los desarrolladores expertos en seguridad escriben código que conserva su visión creativa y de resolución de problemas en la entrega de funciones, y se preocupan por eliminar los problemas de seguridad comunes que los ingenieros pueden controlar en su etapa del proceso. El código seguro no es muy eficaz de forma aislada, y por eso la idea de empezar «de izquierda a izquierda» ayudará a fomentar una cultura de seguridad como algo natural para los desarrolladores, ya que les permitirá ofrecer funciones increíbles con un riesgo reducido.

Comenzar «a la izquierda de la izquierda» es fundamental para una experiencia de usuario segura.

La seguridad ha sido una consideración en la experiencia del usuario del software durante mucho tiempo, pero es evidente que el éxito ha sido desigual. Se explicaron los errores de configuración de seguridad 21% de las filtraciones de datos basadas en la nube el año pasado, con errores cometidos por aficionados, como almacenar contraseñas en texto sin formato, que provocaron graves pérdidas de productividad, ingresos y confianza de los clientes para las empresas afectadas.

Eso, y los propios usuarios pueden ser su peor enemigo cuando se trata de proteger sus propios datos. Demasiada gente siguen utilizando la palabra «contraseña» como contraseña o utilizan la misma combinación en varias cuentas confidenciales.

No conozco a ningún desarrollador que se ponga manos a la obra cuando le dicen que tiene que trabajar en una pantalla de inicio de sesión, y no es de extrañar: es un equilibrio delicado diseñar un flujo de seguridad que sea sólido y funcional y en el que los usuarios puedan navegar de una manera que tenga sentido para ellos, con la menor interrupción posible.

Si pones demasiados pasos y restricciones complejos, es posible que los usuarios se desconecten para no volver nunca (lo que sería un desastre para una nueva aplicación), lo que sería demasiado confuso y podrías terminar causando un dolor de cabeza al equipo de soporte al responder a las consultas de los usuarios que intentan acceder a sus cuentas. Si lo pones demasiado fácil, estarás fallando en lo que respecta a la seguridad.

Una experiencia de usuario segura y exitosa debe integrar una seguridad estricta en un flujo que tenga sentido, presentado de manera que no reste valor a todo lo demás que es atractivo del software. No cabe duda de que puedes cumplir el objetivo de programar una función de inicio de sesión segura, introduciendo todo tipo de requisitos complejos de contraseñas, CAPTCHA, minijefes y cuatro oleadas de zombis, pero si se trata de un desastre total que repele a los usuarios, es que no da en el blanco.

Siente las bases para la excelencia del software.

Como desarrollador, sé que la gran mayoría de nosotros nos enorgullecemos de nuestro trabajo y queremos hacer lo correcto. Los obstáculos molestos, como las limitaciones de tiempo, los cambios repentinos en el objetivo actual o las correcciones urgentes, pueden interrumpir el flujo y provocar errores, pero la cruda verdad es que muchos ingenieros de software no están preparados para el éxito.

Comenzar «a la izquierda de la izquierda» es un concepto que prioriza a los desarrolladores y requiere que las organizaciones se tomen en serio la idea de mejorar su cohorte de ingenieros. Los desarrolladores preocupados por la seguridad valen su peso en oro, y el apoyo en forma de formación, suministro de las herramientas adecuadas y la oportunidad de ser asesorados por desarrolladores más experimentados fomentará un entorno en el que el código se elabore con una mentalidad que priorice la seguridad, con la precisión y la atención al detalle necesarias para llevar el software al siguiente nivel.

¿Estás listo para encender el fuego de la codificación segura que llevas dentro? Enfréntate al desafío.

‍

Es esa época especial del año (al menos para nosotros) en la que reflexiono sobre nuestra última vuelta alrededor del sol y lo que se ha hecho en los trescientos sesenta y cinco días anteriores para prepararnos para un nuevo año de crecimiento, lecciones e inevitable imprevisibilidad.

Si bien no creo que nadie pudiera haber presagiado los giros y vueltas del año pasado (al fin y al cabo, creo que la mayoría de nosotros nos enfrentamos a más curvas que los Dodgers de Los Ángeles), todavía estamos aquí. El correr del tiempo no supuso un freno repentino a los puntos débiles del año que no se puede nombrar, pero a mi alrededor veo la inquebrantable capacidad de recuperación de las personas, las empresas y nuestra industria.

Entonces, ¿qué avances hemos logrado en nuestro objetivo de proteger el código en toda la galaxia?

Hemos potenciado nuestra gama de productos.

La plataforma de formación Secure Code Warrior siempre será el corazón y el alma de nuestras ofertas, pero nuestras principales prioridades son esforzarnos por crear más variedad y más herramientas elegidas por los desarrolladores.

Queremos inspirar a los desarrolladores a adoptar un enfoque de codificación segura y preventiva que permita a todos los equipos ofrecer software de calidad con confianza.

Me enorgullece detallar lo que nuestro equipo de productos se ha esforzado tanto por implementar; se han fijado metas increíbles durante todo el año:

• Adquisimos Adversary.io e integramos su tecnología, su equipo increíblemente capacitado y sus clientes empresariales en menos de 9 meses.
• Alcanzamos el increíble hito de apoyar más de 50 lenguajes de programación, que incluye la infraestructura como pilares del código, como Docker, Ansible, Terraform, Kubernetes, Powershell y CloudFormation, así como nuevas incorporaciones, como Rust y Go.
• Aportar los conocimientos de seguridad al desarrollador mediante el lanzamiento de productos completamente nuevos extensiones para GitHub Actions and Issues, además de Atlassian JIRA Cloud & Server, que proporciona aprendizaje contextual justo donde los desarrolladores juegan sin necesidad de cambiar de tarea
• Guía de código de calidad en tiempo real en el IDE con Sensei, ahora disponible en Mercado de JetBrains para que todos los desarrolladores detecten errores de seguridad, apliquen las mejores prácticas, compartan conocimientos y eviten problemas de rendimiento y deudas técnicas
• Facilitar que las empresas interactúen con los desarrolladores y escalen la codificación segura mediante la publicación Cursos, una función completamente nueva que permite seleccionar rutas de aprendizaje para los objetivos que son más relevantes para una organización y sus objetivos de seguridad. También hemos añadido Misiones, una interesante mejora de la plataforma insignia, que pone a los desarrolladores en el asiento del piloto de un exploit. Es el siguiente paso de un enfoque de aprendizaje escalonado para ofrecer a los desarrolladores una base viable y duradera para el éxito.

... y si conoces a algún principiante en programación, debería echar un vistazo a la aplicación gratuita Secure Code Bootcamp y comenzar su viaje hacia la seguridad.

Llegamos, nos expandimos, influimos.

Nos gusta abordar la codificación segura de forma un poco diferente y, naturalmente, esperamos que este espíritu se haga popular en toda la industria. Es importante que los desarrolladores reconozcan su poder a la hora de librar una buena batalla contra los ciberatacantes, y conseguir que disfruten aprendiendo sobre seguridad es un objetivo primordial.

Miles de desarrolladores de todo el mundo se unieron a nuestros torneos virtuales, y solo en 2020 se celebraron más de 80. Estuvimos encantados de que la gente jugara como parte de Universo GitHub, mundial Cisco eventos, y DevSeccon.

Revisamos nuestros datos y vimos que cientos de miles de usuarios únicos jugaron en nuestra plataforma en 2020, lo que es alucinante si pensamos en el punto en el que empezamos hace seis años.

Me alegró mucho ver que habíamos aumentado nuestro alcance de manera significativa entre las empresas de la lista Fortune 1000, cada una de las cuales estaba dispuesta a probar algo nuevo como parte de sus programas de seguridad. Hemos encontrado sinergias, en particular, con las empresas de tecnología, muchas de las cuales optaron por el trabajo remoto y valoraron las opciones de formación a distancia.

Team Awesome se hizo más grande y más fuerte juntos.

Una de las mayores evoluciones que tuvimos como empresa el año pasado fue la adquisición de Adversary, una empresa de ciberseguridad con sede en Islandia. Teníamos mucho en común: una postura similar sobre el enfoque de la ciberseguridad centrado en las personas, unos valores alineados y unos productos complementarios. Dimos la bienvenida a su equipo al nuestro, adquiriendo una experiencia y un talento inestimables entre grandes personas.

También dimos la bienvenida a John Wilson como vicepresidente sénior de Ventas Globales, beneficiándonos de su amplia trayectoria de 25 años impulsando el crecimiento y convirtiendo a las empresas de ciberseguridad y tecnología en la nube en líderes del mercado. Sus amplios conocimientos técnicos han sido una fuerza innovadora en empresas como Symantec, Qualys, BlackBerry y Verizon, y no podríamos estar más contentos de que haga su magia con nosotros.

La falta de oficinas físicas no nos impidió incorporar a sesenta nuevos empleados en cinco países y asegurarnos de que pudieran empezar a trabajar de inmediato con soporte virtual, presentaciones y, por supuesto, el codiciado paquete de regalos para empleados entregado en su puerta.

Continuamos creciendo en todos los departamentos, todos con la misma importancia para lograr nuestra misión global de habilitar un código de calidad a gran velocidad. Sin embargo, todavía parece que acabamos de empezar.

2021, el año de cambiar la conversación.

Hace tiempo que tengo la sensación de que la sociedad simplemente no se preocupa lo suficiente por la ciberseguridad, y solo cuando ocurre algo increíblemente drástico podemos ver cómo se mueve la aguja en materia de acción y conciencia.

Cuando se produjo la enorme brecha de SolarWinds a finales del año pasado, están saliendo a la luz más detalles. Aún no se conoce el alcance total de los daños, pero este incidente podría ser el catalizador de un cambio generalizado. Los departamentos del gobierno estadounidense ya están revisando sus programas de seguridad, y el ciberespionaje es un tema muy candente entre quienes tienen mucho que perder.

Todavía podemos poner un poco de diversión en todo lo que hacemos, pero ahora es el momento de ponernos manos a la obra y trabajar para cambiar realmente la conversación.

Todos los desarrolladores que se preocupan por la seguridad hacen que nuestro mundo sea un poco más seguro frente a los ciberataques, y nuestro objetivo siempre será proporcionarles los conocimientos necesarios para tener éxito (y tal vez incluso que les encante). Nos esforzamos todos los días para crear herramientas que los desarrolladores elijan usar para aprender sobre seguridad y crear código de la más alta calidad. El código seguro debe ser el estándar, y todos podemos echar una mano para hacerlo realidad.

Según un estudio de IBM, es treinta veces más caro corregir las vulnerabilidades después del lanzamiento en comparación con encontrarlas y corregirlas inicialmente. Teniendo esto en cuenta, no es sorprendente que los CIOs con visión de futuro estén implementando prácticas de codificación seguras. Esto significa capacitar y equipar a los desarrolladores para que escriban un código que sea más seguro desde el principio, lo que los convierte en la «primera línea de defensa» de su organización. Para medir el impacto real de esta tendencia, Secure Code Warrior se asoció con Evans Data Corp* y se ocupó de un estudio reciente sobre las actitudes de los desarrolladores hacia la codificación segura, las prácticas de código seguro y las operaciones de seguridad. Esta investigación revela que la implementación de prácticas de código seguro es transformadora para las empresas en varios frentes diferentes. Descargue su copia del documento técnico here.

Codificación segura con más confianza y atención plena

Sin lugar a dudas, la implementación de prácticas de codificación seguras aumenta la conciencia de seguridad de los desarrolladores de manera que beneficie a sus empleadores. Nuestro estudio revela que el 55% de los desarrolladores afirma que una buena formación ha aumentado su confianza en sus técnicas de codificación, y el 53% afirma que una buena formación les ha permitido ser más cuidadosos a la hora de depurar y probar su propio código. Un 53% igual cree que se ha preocupado más por la seguridad a la hora de escribir código.

¿Qué nos dice esto? Nos indica que, con un poco de mejora de sus habilidades, los desarrolladores pueden transformarse en su primera línea de defensa.

Selección de herramientas más inteligentes y mayor velocidad de liberación

Cuando preguntamos a los gerentes sobre los impactos de la formación en código seguro, sus puntos de vista reflejaban sus responsabilidades gerenciales. El 43% de los gerentes estuvo de acuerdo en que la capacitación en código seguro ha ayudado a sus organizaciones a ser más cuidadosas al depurar y probar su código. El 47% reveló que una buena formación les ha permitido ser más selectivos con las opciones de herramientas que brindan más seguridad. Pero quizás lo más importante es que el 44% indicó que la formación y las técnicas de código seguro han ayudado a ahorrar tiempo y a acelerar los lanzamientos de software, una ventaja sustancial cuando la velocidad de comercialización lo es todo.

Mejora de la productividad en todos los ámbitos

Cuando preguntamos a los desarrolladores cómo la codificación segura ha ayudado a la productividad, más de la mitad consideró que había ayudado a aumentar la calidad de la codificación y del diseño de las aplicaciones.

El 63% afirmó que reduce la repetición del trabajo al evitar las vulnerabilidades recurrentes. El 70% afirmó que ayudó a eliminar los errores que provocan modificaciones o parches. El 56% afirma que ha mejorado la productividad en la depuración y las pruebas. Podemos observar que la transformación está en marcha en varias etapas del ciclo de vida del desarrollo de software.

Team Dynamics and code quality

Las prácticas de código seguro también tienen un impacto en la dinámica del equipo. Si bien de forma individual, los desarrolladores aprenden a programar de forma más segura, su código no existe en el vacío. Su código a menudo depende del trabajo de otros y viceversa. La implementación de prácticas de codificación seguras hace que los desarrolladores compartan y busquen conocimientos de codificación seguros, lo que impulsa una mejor comunicación entre los desarrolladores, los desarrolladores y la administración, y el equipo de desarrollo y las partes interesadas.

• El 60% de los desarrolladores encuestados cree que el empleo de prácticas de código seguro ha aumentado su comunicación con otros desarrolladores
• El 45% afirma que el contacto con la dirección ha aumentado.

Los gerentes se hacen eco de estas opiniones, aunque desde una perspectiva diferente. El 62% de los gerentes encuestados afirman que las prácticas de código seguro requieren que dediquen más tiempo a administrar a las personas y ayudan a aumentar la velocidad de las publicaciones de código.

Para las organizaciones que implementan prácticas de código seguro, el aumento de la comunicación tiene un impacto transformador en la dinámica del equipo, lo que repercute positivamente en la calidad del código y en la velocidad de comercialización.

Transformation of reactive to preventiva

Por último, el código seguro afecta a la forma en que los desarrolladores y los administradores de desarrollo aplican las medidas de seguridad y las métricas correspondientes.

En la actualidad, el 81% de las organizaciones sigue confiando en métricas reactivas, como el recuento de defectos y las métricas de los escáneres, para determinar la calidad de la seguridad.

Sin embargo, estas actividades reactivas se complementan cada vez más con métricas proactivas o preventivas o ceden paso a ellas. El 67% de las organizaciones ahora mide el conocimiento de los desarrolladores sobre los 10 principales de OWASP como una métrica de preparación para la seguridad. Otras métricas proactivas que se utilizan cada vez más incluyen:

• Medir la competencia de los desarrolladores en torno a la seguridad de las aplicaciones
• Preapproved code use
• Cumplimiento de los requisitos reglamentarios.

El 90% de los desarrolladores ahora prestan atención a estas medidas preventivas. Sin embargo, si bien el conocimiento y la implementación de prácticas de codificación seguras van en aumento, aún queda mucho camino por recorrer para aprovechar todo su potencial.

¿A dónde ir desde aquí?

Como defensores del cambio en la codificación segura, Secure Code Warrior adopta un enfoque dirigido por personas para ayudarlo a transformar a sus desarrolladores en su primera línea de defensa y en su enfoque de seguridad general de reactivo a proactivo. Nuestra plataforma de aprendizaje comprobada ofrece formación práctica y contextual en 52 categorías lingüísticas y marcos específicos, con desafíos similares a los que enfrentan los desarrolladores en el mundo real. Gracias a nuestra amplia experiencia, sabemos que los desarrolladores prefieren el método de aprender haciendo a la lucha que supone un aprendizaje estático basado en la teoría. Si quieres ver el impacto transformador que esto puede tener en tus equipos y en su capacidad para publicar código de calidad con confianza, reserve una demostración ahora.

‍

*Pasar de la reacción a la prevención: la cara cambiante de la seguridad de las aplicaciones. Secure Code Warrior y Evans Data Corp. 2020
1. IBM Software Group; minimizar los defectos del código para mejorar la calidad del software y reducir los costos de desarrollo - https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html

‍

Publicado originalmente en CSO Online

Como hacker ético (semiretirado), profesional de la seguridad y friki informático en general, podría decirse que me importa mucho la tecnología. Me interesa saber cómo se creó, qué hace y cómo va a mejorar o hacer más eficiente algún aspecto de nuestras vidas. Siempre miro "bajo el capó" de los dispositivos y veo algunos de los mejores (y peores) ejemplos de código que existen. Hace poco, miré cómo mi sistema de aire acondicionado podía controlarse de forma remota con una aplicación de Android (imagina mi sorpresa cuando descubrí que cualquiera en la red WiFi podía controlar esa cosa sin ningún tipo de autenticación).

La seguridad de los programas informáticos es siempre una prioridad para mí, al igual que el peligro real que supone nuestro estilo de vida, cada vez más digital y de intercambio de información personal. Al fin y al cabo, nos encontramos en un territorio en gran medida no regulado, no supervisado y felizmente ignorado. Estamos en el Salvaje Oeste.

Como sociedad colectiva, no miramos bajo el capó de la tecnología que usamos cada día. Aunque series de televisión tan populares y aclamadas como Mr. Robot ayudan a la concienciación general, no somos conscientes de la seguridad... de hecho, la mayoría de nosotros no tiene ni idea de lo seguro que es el software dentro de la miríada de aplicaciones, servicios y cosas cada vez más conectadas que compramos y utilizamos. Ni siquiera es que confiemos intrínsecamente en ellos: simplemente no pensamos en ellos en absoluto.

Sony PlayStation Network (PSN), Ticketmaster, Yahoo, Facebook, Target: todas y cada una de estas empresas de uso generalizado han sido víctimas de una filtración de datos. Sus vulnerabilidades de software fueron explotadas y millones y millones de registros de clientes quedaron expuestos. Estos ejemplos representan una fracción de las violaciones globales que han tenido lugar en los últimos diez años. Son una costosa consecuencia de la escasa seguridad del software, que permite a los malos robar nuestra valiosa información.

Cuando la mayoría de la gente piensa en violaciones de datos, piensa en violaciones de la seguridad de la información, se entiende que son una pesadilla para la empresa violada y un inconveniente para aquellos cuyos datos personales se han visto afectados, pero en serio, ¿cuál es el problema? Si se sigue ignorando la seguridad, ¿son realmente tan grandes las consecuencias? Hasta ahora no ha ocurrido nada tan importante: las violaciones de datos tienen graves repercusiones para las empresas responsables de ellas, pero es su problema, ¿no? Pierden negocio, pierden la confianza de los consumidores; en última instancia, es su trabajo resolverlo y pagar los daños.

La seguridad del software debería ser la prioridad de toda organización.

Hay una razón bastante sencilla para explicar por qué la seguridad del software no es la preocupación número uno de todas las organizaciones con un equipo de desarrollo: todavía no han perdido la vida suficientes personas y no hay suficiente conocimiento sobre los riesgos.

¿Morbo? Tal vez. Pero es la pura verdad. La reglamentación, las normas de construcción y la atención que se presta a la ley (como la de, por ejemplo, los organismos gubernamentales) se produce cuando hay un coste humano real.

Por ejemplo, un puente. Los ingenieros civiles (una profesión con cientos de años de antigüedad) consideran que la seguridad es una parte fundamental de la construcción de un puente. Su enfoque va mucho más allá de la estética y la funcionalidad básica. Todos los puentes que se construyen deben cumplir estrictas normas de seguridad, y tanto la profesión de ingeniero civil como la sociedad en su conjunto han aprendido con el tiempo a esperar un alto nivel de seguridad. Hoy en día, un puente que no cumple los requisitos de seguridad se considera peligroso e inutilizable. Esta es una evolución a la que tenemos que llegar dentro de la ingeniería de software.

A modo de ejemplo más moderno, echemos un vistazo a la industria del juguete. En la década de 1950 se produjo un gran aumento de la producción y las ventas de juguetes gracias al baby boom de la posguerra. Curiosamente, también se informó de que el número de visitas a las salas de urgencias por incidentes relacionados con los juguetes había aumentado durante esta época. Las flechas de los juguetes provocaban lesiones en los ojos, los juguetes pequeños (y las piezas desmontables de los juguetes más grandes) se ingerían, y los hornos de juguete comercializados para las niñas eran capaces de calentarse a temperaturas más altas que los hornos domésticos normales.

Era una especie de "salvaje oeste", con poca regulación, salvo algunas prohibiciones aisladas y retiradas de productos en las circunstancias más graves. Los fabricantes de juguetes eran básicamente libres de producir los juguetes que quisieran, y cualquier preocupación por la seguridad solía señalarse cuando ya se habían producido varios incidentes. No fue hasta que se aprobaron proyectos de ley como la Ley de Seguridad de los Juguetes de Richard Nixon de 1969, que las pruebas y la posterior prohibición de los juguetes peligrosos se convirtieron en una norma, tanto en Estados Unidos como en el resto del mundo. Aunque siguen ocurriendo accidentes, hoy en día el proceso general de fabricación de juguetes adopta una política de "seguridad ante todo", y nuestros hijos corren mucho menos peligro potencial.

En la seguridad del software, ahora mismo estamos en el salvaje oeste. Aparte de las leyes y reglamentos obvios en relación con la privacidad (especialmente recientemente con el GDPR) y la protección de los datos de los clientes, así como la legislación obligatoria de notificación de infracciones en algunos países, se dice y se hace muy poco en la corriente principal de las empresas o la comunidad sobre el nivel de seguridad incorporado en el software. Incluso esas leyes se relacionan más con la responsabilidad de la empresa que con el software real que se regula, o con el hecho de tener un estándar de seguridad obligatorio que cumplir.

Llegaremos allí, pero puede que primero haya que recorrer un camino de destrucción.

Gartner estima que habrá 8.400 millones de dispositivos conectados a Internet en uso en 2020; una cifra que representa un aumento del 31% desde 2016. Esto incluye la electrónica de consumo, así como cosas como dispositivos médicos y equipos específicos de la industria. Eso es un montón de oportunidades para un hacker.

Imagina que el software que ejecuta el marcapasos de alguien es inseguro. Un hacker podría entrar y potencialmente detener el corazón de su víctima (¿crees que es ridículo? Los médicos deshabilitaron el WiFi del marcapasos de Dick Cheney para impedir un posible asesinato mediante piratería informática). Un microondas o un hervidor de agua conectados podrían explotarse a distancia (junto con todo tipo de dispositivos de la Internet de las Cosas de los que disfrutamos en nuestros hogares), o se podrían desactivar los frenos de un coche eléctrico conectado. Puede parecer una película de acción de Hollywood, pero si el software de cualquiera de estas piezas avanzadas de tecnología conectada puede ser violado, realmente tenemos un desastre potencial en nuestras manos, al igual que las amenazas que ya hemos cubierto con las ramificaciones explosivas de los ciberataques en la industria del petróleo y el gas.

Podemos adelantarnos a las nefastas consecuencias de la piratería informática a medida que nuestras vidas se vuelven cada vez más dependientes de lo digital. Todo empieza por conseguir que los desarrolladores se entusiasmen con la codificación segura y se tomen en serio el desarrollo de una mentalidad y una cultura de seguridad sólidas en los equipos de desarrollo.

La revolución del software empieza aquí. El sector bancario está liderando la adopción de la formación gamificada en la lucha contra el código malicioso, en un enfoque verdaderamente innovador que da la vuelta a la formación tradicional (léase: aburrida). De hecho, cada uno de los seis principales bancos de Australia está involucrando a sus desarrolladores de esta manera, encendiendo su mentalidad de seguridad. Vea lo que nuestro cliente, IAG Group, hizo con su siguiente nivel tournament.

Cuando me dirijo a San Francisco esta semana para asistir a RSA, me estoy preparando para muchas conversaciones con los CISO. Puede que le sorprenda, pero la conversación con muchos CISO en estos días no es satisfactoria.

Saben que los riesgos de seguridad están aumentando, pero muchos no ven la oportunidad de mejorar la seguridad y, en cambio, creen que sus organizaciones tienen más probabilidades que nunca de ser víctimas de una violación de datos o un ataque de ciberseguridad.

Uno de los temas más comunes en mis conversaciones habituales con los CISO es su preocupación por la problemática escasez de habilidades de ciberseguridad.

«Nuestro equipo de seguridad no es lo suficientemente grande para el tamaño de nuestro equipo de ingeniería o empresa».

«Nuestro equipo de seguridad sigue siendo cazado furtivamente por empresas extranjeras que ofrecen paquetes salariales extraordinarios y la oportunidad de trabajar y explorar otros continentes».

«Nuestros expertos en seguridad están demasiado ocupados combatiendo incendios como para seguir desarrollando sus habilidades».

Este tema está respaldado por varios informes de investigación, incluida una encuesta del Ponemon Institute de 2017, en la que la «falta de personal interno competente» encabezó todas las demás formas de preocupación por la ciberseguridad de los CISO en 2018.

No es probable que esta brecha crítica en materia de seguridad desaparezca pronto, especialmente en mercados como Australia, donde los talentos más brillantes suelen trasladarse al extranjero y las leyes de inmigración dificultan cada vez más la incorporación de expertos en seguridad extranjeros al país.

Una de las cosas interesantes de la escasez de habilidades en Australia es que la falta de capacidad para contratar expertos calificados ha llevado a centrarse positivamente en el desarrollo de habilidades de seguridad nacional. Como se supone que Benjamín Franklin dijo: «De la adversidad surgen las oportunidades». Los gobiernos, las instituciones educativas, las empresas y las empresas emergentes de Australia están trabajando en programas para desarrollar una variedad de habilidades de seguridad a nivel local.

Un área en la que la adversidad de las habilidades de seguridad definitivamente ha generado oportunidades es en el desarrollo de habilidades de codificación segura dentro de los equipos de desarrollo internos y subcontratados. Dado que la mayoría de las principales brechas de seguridad del mundo pueden atribuirse a errores de codificación y que, por término medio, las brechas cuestan 3,6 millones de dólares, la seguridad del software es sin duda una parte importante del desafío de seguridad. Uno de los gastos más importantes (y cada vez más) de los presupuestos de seguridad de las aplicaciones se destina a identificar y corregir la seguridad reactiva de las aplicaciones, ya que a menudo se producen los mismos errores de siempre año tras año.

Capacitar a los desarrolladores para que escriban código seguro desde el principio es una oportunidad para que los CISO tomen un control proactivo de la difícil situación de seguridad y, además, existe la posibilidad de lograr mejoras rápidas, fáciles y mensurables» tanto para los equipos de seguridad como para los de desarrollo.

No significa reemplazar a los expertos en seguridad por desarrolladores, pero sí implica involucrar a los desarrolladores en cuestiones de seguridad, hacer que la seguridad forme parte de su mentalidad diaria y enseñarles a programar de forma segura de una manera divertida, eficaz y eficiente. El resultado será que la escasa experiencia en seguridad se dedicará mejor a encontrar y corregir los errores más complejos y problemáticos que a tratar las vulnerabilidades de siempre.

Para algunos CISO, todo esto puede parecer demasiado bueno para ser verdad o demasiado difícil de implementar, pero la verdad es que no es ninguna de esas cosas. En Secure Code Warrior, hemos visto a más y más CISO aprovechar esta oportunidad y transformar la vida laboral de los equipos de seguridad y desarrollo en el proceso.

Un grupo de CISO que ha liderado la campaña mundial para desarrollar una mentalidad y habilidades sólidas en materia de seguridad entre sus desarrolladores de software son los bancos australianos. Los bancos australianos fueron los primeros en adoptar este enfoque en 2016 y 2017. Los seis principales bancos del país ahora alientan e involucran activamente a sus equipos de desarrollo para que desarrollen habilidades de codificación seguras a través de nuestro entorno de aprendizaje en línea, autodidacta y gamificado. Los bancos también revisan periódicamente las métricas y los informes en tiempo real para verificar los puntos fuertes y débiles de sus desarrolladores y equipos.

De este enfoque se desprenden resultados tangibles y positivos, incluida la reducción de la aparición de vulnerabilidades comunes, una mayor conciencia de los desarrolladores sobre la seguridad y una mejor relación entre los equipos de seguridad y desarrollo. Las empresas que invierten en enseñar a sus desarrolladores a programar de forma segura reducirán la presión sobre sus actuales talentos de seguridad y reducirán su exposición a las inseguridades del software.

Si es un CISO (o conoce a uno) que se siente deprimido por la situación de seguridad en su organización, le animo a que piense en una forma sencilla de obtener algunos puntos positivos y tangibles de mejora de la seguridad. Capacite a sus desarrolladores para que aprendan a programar de forma segura de una manera relevante, positiva y divertida. Sus equipos de seguridad y desarrollo se lo agradecerán y, además, reducirá los costes y las demoras con la innovación y el desarrollo de productos. Apuesto a que allanará el camino para muchas conversaciones positivas sobre seguridad _...

Capacitar a los desarrolladores para que escriban código seguro desde el principio es una oportunidad para que los CISO tomen un control proactivo de la difícil situación de seguridad y, además, existe la posibilidad de lograr mejoras rápidas, fáciles y mensurables» tanto para los equipos de seguridad como para los de desarrollo.