Gold for Goal: El rápido aumento de los estándares de código seguro de Paysafe

Paysafe ayuda a convertir las transacciones financieras en una experiencia basada en la confianza y es consciente de que, para ofrecer una plataforma segura y fluida que procesa más de 152 000 millones de dólares al año, no basta con cumplir los requisitos básicos de cumplimiento normativo.Durante los últimos cuatro años, Paysafe ha seguido promoviendo un enfoque integral de la gestión de riesgos para los desarrolladores a través de su asociación con Secure Code Warrior. Se ha demostrado que su programa de seguridad de aplicaciones tiene un impacto positivo en todas las necesidades empresariales, como por ejemplo:

課題: Mejora de los estándares de código seguro en todo Paysafe.

Paysafe, como proveedor multinacional de pagos en línea, siempre ha considerado la codificación segura como una prioridad estratégica que va más allá del simple cumplimiento de los requisitos de la norma PCI DSS. Las sesiones formativas presenciales impartidas por expertos y la evaluación de habilidades formaban parte de las iniciativas iniciales, peroel objetivo de Paysafe siempre ha sido ampliar continuamente el alcance y la escala de la iniciativa de codificación segura, garantizar el mejor enfoque de su clase en materia de seguridad de las aplicaciones y permitir a los ingenieros crear código seguro desde el principio.

«Para nosotros, ofrecer formación no era solo una cuestión de marcar una casilla. Nuestro objetivo es mantener al personal constantemente informado sobre el estado del desarrollo en curso. Nos esforzamos por mejorar y hacer más cosas. Queremos que los equipos de ingeniería y seguridad colaboren. Los equipos que pueden desarrollar por sí mismos obtienen más información y pueden diseñar un código mejor», afirma Boyan Hristov, socio de desarrollo de talento de Paysafe.

La visión de Paysafe era formar ingenieros con una alta conciencia de la seguridad, que desplazaran la seguridad hacia la izquierda e incorporaran prácticas de codificación seguras en todas las fases del ciclo de vida del desarrollo de software. Para respaldar esto, no solo era necesario proporcionar pruebas de auditoría para el cumplimiento de la normativa PCI, sino tambiénse necesitaba un programa escalable, atractivo y continuo que impulsara un cambio cultural profundo y duradero. Esto incluía experiencias de aprendizaje gamificadas, torneos periódicos y formación continua para atraer a los desarrolladores y animarlos a mantenerse a la vanguardia de las tendencias de seguridad del sector.

Solución: enfoque de vanguardia mediante un guerrero del código seguro.

Paysafe adoptó la plataforma de gestión de riesgos para desarrolladores Secure Code Warrior para ayudar a ampliar las prácticas de codificación segura, involucrar a los ingenieros e integrar la seguridad en las primeras etapas del ciclo de vida del desarrollo. El programa de campeones de seguridad de la empresa se ha ampliado con el tiempo, y Secure Code Warrior ha desempeñado un papel fundamental en la consecución de los objetivos de prevención de riesgos cibernéticos.

Paysafe ha permitido a los desarrolladores interactuar orgánicamente con la plataforma y ha fomentado actividades gamificadas, como torneos con atractivos premios, para atraer y motivar a los desarrolladores. Cuando se lanzó este programa por primera vez, se exigían varias evaluaciones para cumplir con los requisitos de conformidad con la normativa PCI y se ofrecían otros contenidos y actividades opcionales.

A medida que el programa cobraba impulso, la dirección proporcionó más apoyo y alineó aún más los objetivos del equipo de desarrollo con los del equipo de seguridad de la información. Esto permitió al equipo de Paysafe llevar el programa al siguiente nivel e introducir un programa de certificación más formal con KPI específicos e incentivos por resultados.

En la siguiente fase del programa, nos centramos en los temas del Top 10 de OWASP, estándar del sector, y establecimos etapas de certificación en las que los desarrolladores pueden alcanzar distintos niveles de logros. Actualmente, este programa ha alcanzado una nueva escala y madurez, y se han elevado los estándares básicos de los desarrolladores, desde los empleados fijos hasta los trabajadores temporales.

«Valoramos enormemente la colaboración que hemos establecido con SCW durante los últimos cuatro años», afirma Alan Osborne, director de seguridad de la información de Paysafe. «Esto nos ha permitido ofrecer formación específica sobre seguridad de las aplicaciones y forjar una relación más sólida entre los equipos de seguridad y de ingeniería, gracias a nuestro compromiso común de desarrollar código seguro desde el principio del ciclo de vida del desarrollo de software (SDLC) y en la fase más temprana posible».

Gracias al apoyo continuo y la colaboración de los CISO, CTO y líderes ejecutivos del ámbito de la ingeniería, Paysafe ha seguido desarrollando el programa en colaboración con Secure Code Warrior. En la actualidad, este programa sigue estando estrechamente vinculado a las necesidades empresariales, ofrece resultados visibles y sigue siendo relevante y atractivo para los equipos internos.

Resultado: nuevos estándares para implementar código seguro en toda la organización.

La iniciativa de Paysafe en materia de seguridad de las aplicaciones ha ido mejorando desde su inicio hace cuatro años. A través de su asociación con Secure Code Warrior, Paysafe ha demostrado que un enfoque integral de la gestión de riesgos de los desarrolladores puede tener un gran impacto en toda la organización.

El análisis de los datos de escaneo SAST realizado por Paysafe reveló que las aplicaciones desarrolladas por equipos que habían recibido formación en Secure Code Warrior presentaban una reducción significativa de las vulnerabilidades detectadas en las primeras fases del desarrollo. El número de vulnerabilidades detectadas en el primer escaneo se redujo aún más en los equipos cuyos desarrolladores participaban activamente en la plataforma SCW.

El equipo con el nivel más alto de actividad y compromiso de Secure Code Warrior redujo significativamente las vulnerabilidades detectadas en las primeras fases del desarrollo en comparación con el año anterior.Esto puso de relieve el valor añadido de la formación continua basada en habilidades para reforzar los hábitos de codificación segura. Al crear código seguro desde el principio, su equipo y otros equipos pertenecientes al SDLC ahorraron una gran cantidad de tiempo. Al prevenir las vulnerabilidades en las primeras fases del desarrollo, se evitó la necesidad de identificar, registrar y corregir vulnerabilidades en el código, lo que supuso un ahorro de miles de horas de desarrollo.Como resultado, la productividad de los desarrolladores aumentó un 45 %, lo que demostró las ventajas de mejorar las habilidades de código seguro y el proceso de desarrollo diario. Esto beneficia tanto al equipo de ingeniería como al de seguridad de las aplicaciones.

Gracias a su compromiso con el código seguro, Paysafe ha destacado y se ha situado en el cuarto puesto de la clasificación SCW^{Trust Score® dentro del índice de referencia de bancos y servicios financieros} . Aunque se trata de un logro del que se sienten orgullosos, el compromiso de Paysafe con la iniciativa del código seguro no se limita a eso. Paysafe, animada por los resultados obtenidos a través de su colaboración con Secure Code Warrior, aspira a mejorar aún más el programa.

Alan Osborne, director de seguridad de la información de Paysafe, afirma: «Gracias a Secure Code Warrior, hemos podido aumentar la productividad de los desarrolladores, acelerar la capacidad de lanzar productos y mejoras al mercado y reducir considerablemente los costes y riesgos a lo largo del tiempo».«La codificación segura impulsada por una formación reforzada de los desarrolladores ha demostrado ser una inversión probada que no solo es «buena de tener», sino que también genera un retorno de la inversión real al mejorar las habilidades, la experiencia y las capacidades de los desarrolladores».

A continuación, Paysafe tiene como objetivo reforzar aún más sus estándares de seguridad incorporando medidas adicionales de gobernanza y gestión de riesgos en sus procesos. SCW Trust Agent ha profundizado su larga colaboración con Secure Code Warrior, lo que demuestra su compromiso con la excelencia en ciberseguridad.