Por qué nunca se debe descuidar el factor humano en materia de ciberseguridad

Recientemente, nos ha complacido enormemente ver publicado en línea el primer artículo del Consejo Tecnológico de Forbes escrito por nuestro presidente y director general, Pieter Danhieux. El artículo explicaba por qué es esencial reforzar las competencias de los desarrolladores para crear un código más seguro con el fin de prevenir los ciberataques y las violaciones de datos. Además, revelaba cómo esos mismos desarrolladores preocupados por la seguridad pueden contribuir a proporcionar un código de mejor calidad y más seguro, más rápidamente de lo que piensan muchos servicios informáticos. La necesidad de este enfoque es sin duda imperiosa. Un estudio reciente reveló que ahora se produce un ciberataque cada 39 segundos, y todos hemos sido testigos de las perturbaciones causadas por un solo ataque de ransomware exitoso en el oleoducto Colonial, que, en general, no fue tan destructivo como el hackeo de SolarWinds.

‍

Muchas vulnerabilidades comunes persisten porque nadie se ha molestado en enseñar a los desarrolladores cómo sustituir los modelos de codificación incorrectos por un método mejor para ejecutar las mismas funciones, de forma más segura y protegida. Y el impacto de corregir un software en una fase avanzada de su desarrollo es extremadamente costoso, tanto en términos de horas dedicadas como de retrasos en la implementación. Corregir el código una vez que se ha implementado, especialmente cuando un atacante ha aprovechado una vulnerabilidad no descubierta anteriormente, a veces puede costar millones de dólares. Y eso sin tener en cuenta el daño a la reputación de una empresa tras una infracción grave.

Los desarrolladores formados en seguridad se convierten naturalmente en mejores programadores. Los RSSI no deberían abandonar sus herramientas de seguridad a corto plazo, pero al adoptar un enfoque de seguridad inclusivo y preventivo desde arriba, los RSSI pueden aprovechar el mayor recurso de su empresa, el factor humano, especialmente cuando se trata de proteger la programación desde el inicio del ciclo de desarrollo de software.

Para ello, estas son las tres estrategias principales de alto nivel que hay que tener en cuenta.

1. Sea proactivo, no reactivo.

Las empresas suelen caer en la trampa de la reactividad, por ejemplo, reaccionando a lo que hace la competencia en lugar de desarrollar y perseguir una visión única. Muchas también adoptan este enfoque cuando se trata de fallos de seguridad en el código, y solo se toman en serio la ciberseguridad cuando se ven obligadas a hacerlo tras una violación exitosa. Por desgracia, para entonces, el daño ya está hecho: las multas, los gastos de recuperación, la pérdida de clientes y la restauración de la marca repercuten en los resultados financieros. Otra forma de reaccionar en lugar de actuar es basarse en el análisis automático o manual del código para detectar vulnerabilidades en el código existente, en lugar de centrarse en crear código seguro desde el principio. Desgraciadamente, la digitalización del código no es una solución perfecta, lo que significa que cuanto más vulnerabilidades contenga el código, más probabilidades hay de que algunas de ellas pasen desapercibidas.

Solo adoptando un enfoque proactivo y colaborando con los desarrolladores para ayudarles a crear un código seguro desde el principio podrá establecer un ciclo de vida de desarrollo de software que reduzca considerablemente la posibilidad de que se divulguen vulnerabilidades de codificación a los usuarios.

2. Mejore sus habilidades, no exagere.

Una vez que haya decidido proporcionar a los desarrolladores los conocimientos que necesitan para crear código seguro, elija cuidadosamente su enfoque. Los talleres de formación internos que interrumpen la codificación frustran tanto a los desarrolladores como a los gerentes. Los cursos fuera de las instalaciones que requieren asistencia por la noche o los fines de semana son aún menos populares. El mejor enfoque consiste en desarrollar progresivamente las competencias en materia de codificación, proporcionando información relevante paso a paso durante el proceso de codificación, es decir, mejorando las competencias sin distraer significativamente a los desarrolladores ni ralentizar el proceso de desarrollo.

3. Incite, no dé nada por sentado.

Los desarrolladores no deben considerar el refuerzo de las competencias en materia de seguridad como un castigo o una tarea tediosa. Los responsables deben inspirar a los desarrolladores explicándoles el importante papel que desempeña el código seguro en el éxito de la empresa. También es importante hacerles comprender que los programadores seguros son más valiosos para la empresa y que se beneficiarán de mayores oportunidades profesionales en el futuro.

La administración Biden es bien recibida El decreto ejecutivo ha puesto mayor énfasis en la ciberseguridad y en la necesidad de «incluir criterios para evaluar las prácticas de seguridad de los propios desarrolladores y proveedores, e identificar herramientas o métodos innovadores para demostrar el cumplimiento de las prácticas seguras». Pero, si bien las herramientas son esenciales, no son suficientes. Ninguna herramienta eliminará por completo la capacidad de una persona de ignorar, malinterpretar, abusar o eludir los sistemas y herramientas implementados. Para optimizar la seguridad de sus empresas, los RSSI deben aprovechar el factor humano y animar a los desarrolladores a convertirse en defensores y practicantes voluntarios de la seguridad.