A la conquista del oro: las normas de seguridad en materia de código se disparan en Paysafe

Paysafe ayuda a transformar las transacciones financieras en experiencias basadas en la confianza, y la empresa sabe que proporcionar una plataforma segura y fluida que procesa más de 152 000 millones de dólares en volumen de transacciones anualizadas no se limita al simple cumplimiento de las normas básicas de conformidad. Durante los últimos cuatro años, Paysafe ha seguido promoviendo un enfoque integral de la gestión de riesgos de los desarrolladores gracias a su asociación con Secure Code Warrior, cuyo programa de seguridad de aplicaciones ha demostrado tener un impacto positivo en las necesidades generales de la empresa, entre las que se incluyen:

El reto: mejorar las normas de seguridad en materia de código dentro de Paysafe.

Como proveedor multinacional de pagos en línea, Paysafe siempre ha considerado la codificación segura como una prioridad estratégica que va más allá del simple cumplimiento de los requisitos de conformidad con la norma PCI DSS. Aunque sus primeros esfuerzos incluyeron sesiones formales de formación presencial impartidas por expertos y evaluaciones de competencias, el objetivo de Paysafe siempre ha sido ampliar continuamente el alcance y la magnitud de su iniciativa de codificación segura, garantizando un enfoque de primera clase en materia de seguridad de las aplicaciones y asegurándose de que los ingenieros escriban código seguro desde el principio.

«Para nosotros, nunca se ha conformado con marcar una casilla indicando que hemos impartido una formación. Nuestro objetivo es mantener a nuestro personal al corriente de los avances en curso. Siempre nos esforzamos por mejorar y hacer más. Queremos que los equipos de ingeniería y los equipos de seguridad colaboren. Los equipos que pueden desarrollarse por sí mismos están mejor informados y diseñan un código mejor», explica Boyan Hristov, socio de desarrollo personal en Paysafe.

La visión de Paysafe era desplazar la seguridad hacia la izquierda, formando ingenieros conscientes de la seguridad que integraran prácticas de codificación seguras en cada etapa del ciclo de vida del desarrollo de software. Para lograrlo, necesitaban un programa evolutivo, atractivo y continuo que no solo proporcionara pruebas de auditoría para cumplir con la norma PCI, sino que también provocara un cambio cultural profundo y duradero. Esto incluía experiencias de aprendizaje lúdicas, torneos periódicos y formación continua para ayudar a los desarrolladores a mantenerse a la vanguardia de las tendencias del sector en materia de seguridad.

La solución: un enfoque de vanguardia con Secure Code Warrior

Paysafe ha adoptado la plataforma de gestión de riesgos para desarrolladores de Secure Code Warrior ayudar a desarrollar prácticas de codificación seguras, involucrar a los ingenieros e integrar la seguridad en una fase más temprana del ciclo de desarrollo. Su programa Security Champions ha ido creciendo con el tiempo, y Secure Code Warrior un papel fundamental en la consecución de los objetivos de prevención de riesgos cibernéticos.

Paysafe permitió a los desarrolladores participar de manera orgánica en la plataforma, fomentando actividades lúdicas como torneos con atractivos premios para involucrar y entusiasmar a los desarrolladores. Durante la implementación inicial del programa, la empresa hizo obligatorias algunas evaluaciones para cumplir con los requisitos de conformidad con la normativa PCI y propuso otros contenidos y actividades opcionales.

A medida que el programa ganaba terreno, la dirección aportó un apoyo adicional, alineando aún más los objetivos de los equipos de desarrollo y seguridad de la información. Esto permitió al equipo de Paysafe llevar el programa al siguiente nivel e introducir programas de certificación más formales con KPI designados e incentivos por el éxito.

La siguiente fase del programa se centró en los 10 temas estándar principales de OWASP, con etapas de certificación que permitían a los desarrolladores avanzar a través de diferentes niveles de éxito. Hoy en día, el programa ha alcanzado un nuevo nivel de alcance y madurez, elevando los estándares básicos para los desarrolladores de todos los niveles, desde empleados a tiempo completo hasta trabajadores ocasionales.

«Apreciamos mucho la colaboración que hemos establecido con SCW durante los últimos cuatro años. Juntos, hemos podido ofrecer formación específica sobre la seguridad de las aplicaciones y reforzar las relaciones entre nuestros equipos de seguridad e ingeniería, basadas en un compromiso común para desarrollar código seguro desde el principio y lo antes posible en el ciclo de vida del desarrollo de software», afirma Alan Osborne, director de seguridad informática de Paysafe.

Gracias al apoyo y la coordinación continuos del director de seguridad de la información, el director de tecnología y los directivos de ingeniería, Paysafe se ha asociado con Secure Code Warrior desarrollar continuamente su programa. En la actualidad, el programa está estrechamente alineado con las necesidades de la empresa, ofrece resultados tangibles y sigue siendo relevante e interesante para los equipos internos.

Resultados: una nueva norma para el código seguro en toda la organización.

Las iniciativas de seguridad de las aplicaciones de Paysafe han mejorado desde que comenzaron hace cuatro años. Gracias a su asociación con Secure Code Warrior, Paysafe ha demostrado el considerable impacto que un enfoque holístico de la gestión de riesgos para los desarrolladores puede tener en toda la organización.

El análisis de los datos de escaneo SAST realizado por Paysafe reveló que las aplicaciones desarrolladas por equipos formados con Secure Code Warrior una reducción notable de las vulnerabilidades detectadas durante los primeros análisis de desarrollo. El número de vulnerabilidades detectadas durante el primer análisis disminuyó aún más en los equipos cuyos desarrolladores participaban más activamente en la plataforma SCW.

El equipo con el mayor nivel de actividad y compromiso en Secure Code Warrior observado una reducción significativa, año tras año, de las vulnerabilidades descubiertas durante las primeras fases de desarrollo, lo que pone de relieve el valor añadido de una formación continua basada en las competencias para reforzar los hábitos de codificación segura. La creación de un código seguro desde el principio permitió a su equipo y a otros equipos del SDLC ahorrar mucho tiempo. Se ahorraron miles de horas de desarrollo al eliminar la necesidad de identificar, registrar y reelaborar las vulnerabilidades del código, previniéndolas desde el inicio del desarrollo. Esto se tradujo en una mejora del 45 % en la productividad de los desarrolladores, lo que permitió demostrar las ventajas de actualizar las competencias en materia de código seguro y mejorar el proceso de desarrollo diario. Una solución beneficiosa tanto para los equipos de ingeniería como para los equipos de AppSec.

El compromiso de Paysafe con el código seguro le ha ayudado a destacar y a alcanzar el cuarto puesto en el SCW Trust^{Score® dentro} del índice de referencia de servicios bancarios y financieros. Aunque se trata de un logro del que se sienten orgullosos, el compromiso de Paysafe con las iniciativas de código seguro no se detiene ahí. Animada por los resultados obtenidos gracias a su asociación con Secure Code Warrior, Paysafe busca mejorar aún más el programa.

Secure Code Warrior ha ayudado a aumentar la productividad de los desarrolladores, acelerar nuestra capacidad para comercializar productos y mejoras, y reducir considerablemente los costes y los riesgos a lo largo del tiempo», afirma Alan Osborne, director de seguridad informática de Paysafe. «Hemos demostrado que la codificación segura, respaldada por una formación mejorada para los desarrolladores, no es solo una ventaja, sino una inversión probada que genera un retorno real al tiempo que refuerza las habilidades, la experiencia y las capacidades de nuestros desarrolladores».

A continuación, Paysafe pretende hacer que sus normas de seguridad sean más operativas incorporando medidas adicionales de gobernanza y gestión de riesgos en su proceso, SCW Trust Agent profundizando su larga colaboración con Secure Code Warrior demostrando su compromiso con la excelencia en materia de ciberseguridad.