Transformer la fastidieuse conformité à la norme PCI-DSS en un exercice pertinent pour tous : partie 2 - Sensibilisation des responsables de la sécurité informatique et des développeurs

Esta es la segunda parte de una miniserie sobre el cumplimiento de PCI-DSS dentro de una organización. En este último capítulo, detallamos cómo los directores de tecnología y los directores de seguridad informática pueden liderar desde arriba la reducción del riesgo cibernético y hacer que el proceso sea fluido, exitoso... y quizás un poco divertido para los desarrolladores. (¿Se ha perdido la primera parte? Compruébelo aquí y aprenda cómo los especialistas en seguridad de aplicaciones pueden aprovechar esta oportunidad para obtener mejores resultados de seguridad).

Las mejores prácticas de la PCI-DSS son, sin duda, una responsabilidad compartida, pero los CISO y los CTO pueden aprovechar su considerable influencia para elaborar un programa de seguridad próspero y positivo desde la cima. Ellos son la figura de la confianza en la ciberseguridad y el sentimiento relacionado con los usuarios finales, y un enfoque en la concienciación temprana tiene un poderoso efecto de goteo, ayudando a los desarrolladores y a los profesionales de AppSec a obtener el conocimiento, las herramientas y el apoyo que necesitan para contribuir a una postura de seguridad sólida dentro de la empresa.

Es importante cumplir las normas, pero cuando todo el mundo está de acuerdo con el "por qué", ve los resultados y recibe el apoyo adecuado, un programa puede trascender la legislación y convertirse en algo natural.

Los CTO y los CISO tienen un papel en la creación de confianza mutua

¿Ha estado recientemente en un sitio web y se ha pensado dos veces antes de dar los datos de su tarjeta de crédito? A no ser que se trate de la aplicación web de aspecto sospechoso que gestiona los pedidos en línea de su pizzería local, es probable que esto no sea algo que experimente muy a menudo, especialmente con las grandes empresas y los nombres conocidos del comercio en línea.

A menos que revelen una violación de datos, por supuesto.

El gigante mundial del alojamiento, Marriott, acaba de revelar su segunda brecha en el espacio de tres años, con esta resultando en el robo de 5,2 millones de registros de clientes. Esta vez, no parece que la información de pago forme parte del robo, aunque su catastrófica brecha de 2018 se encargó de ello; 383 millones de clientes se vieron comprometidos, con 5 millones de números de pasaporte sin cifrar robados, así como 8 millones de números de tarjetas de crédito.

Si la confianza de los clientes en la marca Marriott no estuviera ya tan baja como podría estarlo, diría que está a punto de tocar fondo. Este es el tipo de cosas que mantienen a los CISOs despiertos por la noche, ya que se sienten como un blanco fácil en la guerra contra las ciberamenazas. No hay más que mirar a Equifax, Yahoo, Sony, Target... Estos son sólo algunos de los grandes nombres que han sufrido violaciones a gran escala, que representan miles de millones de registros de datos robados, cientos de miles de millones de dólares en daños, y agujeros en forma de cliente perforados justo en sus corazones económicos. Es un desastre para el negocio (Target informó de una caída de beneficios de 440 millones de dólares en el trimestre siguiente a su filtración de 2014), y aunque no se suele responsabilizar a personas individuales -después de todo, la seguridad del software debería ser una responsabilidad compartida- es algo que no se quiere incluir en un currículum que, por otra parte, es brillante si se trabaja para estas organizaciones en ese momento.

Renunciar a un programa de seguridad sólido para lograr el cumplimiento en una organización que se ocupa de los pagos, los datos sensibles y el oro intangible que es el sentimiento positivo de los clientes, es un indicador de una empresa que no sólo está en riesgo, sino que está seriamente retrasada en la innovación.

Todo el mundo debería preocuparse por las cuestiones de confianza en la relación cliente/organización.

Aparte del estrés y la calamidad a la que se enfrentan los departamentos de TI, desarrollo y seguridad después de una brecha, el factor de la confianza es un elemento importante en el éxito a largo plazo de una empresa nueva, o el crecimiento continuo de una establecida. Lo que evidentemente se puede perder es el puesto de trabajo, en caso de que la empresa se enfrente a una recesión económica como consecuencia de la pérdida de confianza.

La normativa PCI-DSS obliga a las empresas a rendir cuentas -y, como ya se ha dicho, ignorar estos planes bien trazados tiene enormes implicaciones-, pero sólo son tan buenas como el programa de seguridad que se ponga en marcha y las personas que trabajen en él. Si te las tomas en serio, te mantienes alerta y das ejemplo a los demás, te estarás diferenciando de forma muy positiva.

La conciencia lo es todo.

Un programa de concienciación sobre la seguridad que no funcione va a hacer que la mayoría de los intentos de cumplir con la PCI sean casi inútiles. La concienciación sobre la seguridad en toda la organización es la parte más importante de las directrices sobre mejores prácticas; incluso ofrecen sus propios módulos de formación sobre cómo se puede aplicar en las funciones transversales, y qué aspecto tiene en las empresas que lo están haciendo bien.

A medida que avanzamos hacia el DevSecOps como el actual estándar de oro en el desarrollo de software seguro -en el que la seguridad como responsabilidad compartida es fundamental-, las empresas deben invertir tiempo, dinero y esfuerzo para garantizar que todos, incluidos los proveedores y contratistas, sean conscientes de la seguridad y sigan las mejores prácticas.

Un desarrollador consciente de la seguridad es un desarrollador que cumple las normas (y conseguirlo no tiene por qué ser aburrido)

Cuando se trata de convertirse en un desarrollador "certificado" conforme a PCI-DSS, no hay muchas opciones obvias. ¿Por qué? Probablemente porque no puede ser un ejercicio "de una sola vez".

La organización OWASP es una de las mejores del planeta cuando se trata de aprender a frustrar las vulnerabilidades más comunes, y su Top 10 aparece formalmente en las directrices PCI-DSS para desarrolladores. Sin embargo, mantener la seguridad en primer plano y perfeccionar las habilidades requiere tiempo y un esfuerzo continuado. Y nadie quiere que esto sea poco estimulante y una pérdida de esfuerzo.

Una cultura de seguridad positiva no es algo "agradable de tener" en una organización; si se toman la seguridad en serio, debe formar parte del funcionamiento diario de la empresa.

Los desarrolladores están en primera línea de batalla cuando se trata de detener las vulnerabilidades. ¿Están recibiendo el apoyo, las herramientas y la formación necesarios para mantener su parte del trato de seguridad en el cumplimiento de PCI-DSS?

La verdad es que la formación adecuada es más fluida; no debería parecer una conferencia y debería ser muy relevante para el trabajo que se realiza cada día. Y este tipo de formación práctica es una oportunidad de mejora de las competencias, un movimiento profesional que solo tiene aspectos positivos para los desarrolladores que se toman en serio la eliminación de las vulnerabilidades y la colaboración con el resto del equipo para producir un código de mayor calidad.

¿Quieres poner a prueba tus habilidades de codificación segura ahora mismo? Elija su misión.