Por qué nunca se debe pasar por alto el factor humano en la ciberseguridad

Recientemente, nos emocionó mucho ver la primera publicación del Consejo Tecnológico de Forbes, una transmisión en vivo del presidente y director ejecutivo Peter Dunhu. En esta publicación, se explicó en detalle que mejorar las habilidades de los desarrolladores para crear códigos más seguros es la clave para prevenir los ciberataques y las fugas de datos.Además, quedó claro cómo los mismos desarrolladores conscientes de la seguridad pueden proporcionar un código mejor y más seguro antes de lo que muchos departamentos de TI creen. La necesidad de este enfoque es realmente convincente. Según una encuesta reciente , actualmente se produce un ciberataque cada 39 segundos ytodos hemos experimentado el caos que ha provocado un solo ataque de ransomware exitoso, como el de Colonial Pipeline. En términos generales, no ha sido tan destructivo como el hackeo de SolarWinds.

‍

Muchas vulnerabilidades comunes siguen existiendo porque nadie se ha molestado en mostrar a los desarrolladores cómo sustituir los patrones de codificación deficientes por métodos mejores que permitan lograr la misma funcionalidad de una forma más segura.Además, corregir el software en las últimas fases del desarrollo tiene un coste muy elevado, tanto en términos de tiempo como de retrasos en la implementación. La corrección del código después de su implementación, especialmente cuando los atacantes han aprovechado vulnerabilidades no detectadas, puede costar millones de dólares. Y eso sin tener en cuenta el daño a la reputación de las empresas que han sufrido violaciones graves.

Los desarrolladores que han recibido formación en seguridad se convierten naturalmente en excelentes programadores. Es cierto que los CISO no deben abandonar inmediatamente las herramientas de seguridad, pero al promover un enfoque de seguridad inclusivo y preventivo desde los niveles superiores, los CISO pueden aprovechar el factor humano, que es el mayor recurso de la empresa. Esto es especialmente cierto en lo que respecta a la programación segura desde las primeras etapas del ciclo de vida del desarrollo de software.

Para ello, a continuación se indican las tres estrategias principales que hay que recordar.

1. No actuemos a posteriori, sino anticipándonos a los acontecimientos.

Las empresas suelen caer en la trampa de reaccionar a posteriori, por ejemplo, respondiendo a las acciones de la competencia, en lugar de desarrollar y perseguir su propia visión. Además, muchas empresas adoptan este enfoque por defecto en lo que respecta a las vulnerabilidades de seguridad en el código y solo se toman en serio la ciberseguridad cuando se ven obligadas a ello como resultado de una infracción exitosa. Lamentablemente, para entonces el daño ya está hecho y las multas, los costes de recuperación, la pérdida de clientes y la recuperación de la marca afectan a los ingresos.En lugar de centrarse en crear código seguro desde el principio, también existe la opción de utilizar escáneres de código automáticos o manuales para detectar vulnerabilidades en el código existente. Lamentablemente, los escáneres de código no son una solución perfecta. Cuantas más vulnerabilidades contenga el código, mayor será la probabilidad de que algunas se pasen por alto.

Solo adoptando un enfoque proactivo y colaborando con los desarrolladores para ayudarles a crear código seguro desde el principio se puede establecer un ciclo de vida de desarrollo de software que reduzca significativamente la posibilidad de que las vulnerabilidades de codificación se expongan a los usuarios.

2. Mejora tus habilidades, pero no te excedas.

Una vez que haya decidido proporcionar a los desarrolladores los conocimientos necesarios para crear código seguro, elija el enfoque adecuado. Los talleres de formación internos que impiden a los desarrolladores programar irritan tanto a los desarrolladores como a los administradores. Los cursos fuera de la oficina a los que hay que asistir por las tardes o los fines de semana son aún menos populares. El mejor enfoque es adquirir habilidades de programación de forma gradual. Proporcione información relevante de forma escalonada durante el proceso de programación, lo que mejorará las habilidades de los desarrolladores sin distraerlos ni ralentizar el proceso de desarrollo.

3. No dé incentivos, no se lo tome como algo personal.

Los desarrolladores no deben considerar la mejora de sus habilidades de seguridad como un castigo o una tarea ardua. Los gerentes deben motivar a los desarrolladores transmitiéndoles el importante papel que desempeña el código seguro en el éxito de la empresa. También es importante transmitirles que los programadores seguros son más valiosos para la empresa y que, en el futuro, tendrán más oportunidades profesionales.

La administración Biden fue bien recibida Orden ejecutiva Aumenta la importancia de la ciberseguridad y la necesidad de «incorporar criterios para evaluar las prácticas de seguridad de los propios desarrolladores y proveedores, e identificar herramientas y métodos innovadores para demostrar el cumplimiento de prácticas seguras».Sin embargo, aunque las herramientas son indispensables, no son suficientes por sí solas. No existe ninguna herramienta que elimine por completo la capacidad de las personas para ignorar, malinterpretar, abusar o eludir de cualquier otra forma los sistemas y herramientas implementados. Para maximizar la seguridad de la empresa, el CISO debe aprovechar el factor humano y animar a los desarrolladores a apoyar y practicar activamente la seguridad.