La Cámara de Comercio establece el estándar para la seguridad impulsada por desarrolladores a gran escala

Principales conclusiones

Kamer van Koophandel (KVK) ha creado un programa de seguridad moderno y centrado en los desarrolladores que destaca como modelo para el sector. En colaboración con Secure Code Warrior, KVK ha integrado prácticas de codificación segura en los flujos de trabajo de desarrollo cotidianos, ha establecido un programa de certificación estructurado que se aplica en toda la organización y ha logrado una reducción cuantificable del riesgo que demuestra el poder de un enfoque proactivo de la seguridad impulsado por los desarrolladores. Entre los aspectos más destacados se incluyen:

«Ya contábamos con una sólida base de seguridad, pero queríamos ir más allá y hacer que la seguridad fuera algo natural para todos los desarrolladores. Por eso nos asociamos con Secure Code Warrior convertimos la formación en la piedra angular de nuestra estrategia, dotando a nuestros equipos de los medios necesarios para crear software seguro con confianza desde el principio».

– Sebastiaan Rijnbout, responsable de productos de servicios de desarrollo

El reto

Creación de una mentalidad de seguridad centrada en los desarrolladores

La Cámara de Comercio de los Países Bajos (KVK) desempeña un papel fundamental en el apoyo a los emprendedores de todo el país. Como organismo oficial responsable del registro de empresas, entidades jurídicas y organizaciones que realizan actividades económicas, la KVK fomenta la transparencia y refuerza la integridad del ecosistema empresarial. Más allá del registro, la KVK proporciona información y asesoramiento valiosos sobre temas empresariales clave, desde orientación jurídica y normativa hasta conocimientos sobre financiación, novedades actuales y ciberseguridad. Al ofrecer datos fiables y colaborar con las partes interesadas económicas tanto a nivel nacional como regional, la KVK contribuye a crear un entorno seguro y bien informado en el que los emprendedores puedan prosperar. Cuando la KVK inició su andadura para mejorar aún más la seguridad de las aplicaciones, ya había establecido medidas de seguridad básicas, entre ellas pruebas de penetración. Aunque estas medidas proporcionaban información valiosa, la KVK vio la oportunidad de ampliar la seguridad en una fase más temprana del ciclo de vida del desarrollo y capacitar a los desarrolladores para que se hicieran responsables de la reducción de riesgos.

En 2022, KVK seleccionó Secure Code Warrior lanzó su primera iniciativa de formación en codificación segura con un enfoque centrado en los desarrolladores. Lo que comenzó como un esfuerzo de base para involucrar a los desarrolladores, evolucionó rápidamente hasta convertirse en un programa interfuncional respaldado por la dirección y la oficina del CISO, transformando el desarrollo seguro de una aspiración en un estándar organizativo.

La solución

Construir una cultura, no solo un programa

Con el patrocinio del CISO, el equipo de ciclo de vida de desarrollo de software seguro de KVK se asoció con Secure Code Warrior definir una estrategia para toda la organización y crear un programa de certificación obligatorio basado en funciones que:

KVK aprovechó la flexibilidad de la plataforma Secure Code Warriorpara crear un programa de certificación adaptado a las necesidades específicas de su organización. Al asignar los programas de formación a funciones específicas, los nuevos empleados comienzan con la formación de sensibilización sobre el Top 10 de OWASP, mientras que los ingenieros sénior abordan ejercicios avanzados basados en escenarios que se ajustan a los flujos de trabajo del mundo real. Los desarrolladores de nivel campeón asesoran a sus compañeros, fomentan el intercambio de conocimientos y ayudan a ampliar los conocimientos sobre seguridad en todos los equipos. El programa de KVK incluye una recertificación anual para garantizar que las habilidades se mantengan actualizadas, con una implementación completa en curso a medida que la organización continúa ampliando su cobertura y adaptándose a nuevos riesgos, como las vulnerabilidades impulsadas por la IA y las amenazas emergentes.

«La integración de las certificaciones en nuestro proceso de desarrollo supuso un punto de inflexión», afirma Sebastiaan. «Demostró a todos los desarrolladores que la seguridad es una prioridad compartida y una parte natural de cómo creamos software. Con Secure Code Warrior, el aprendizaje no es algo puntual, sino continuo, contextual y perfectamente integrado en nuestra cultura de desarrollo diaria».

El resultado: la formación se consideró relevante, alcanzable y directamente relacionada con el trabajo diario de los desarrolladores. A principios de 2024, el 90 % de los desarrolladores de KVK había obtenido la certificación de nivel básico, un hito que validó tanto la estrategia como el cambio cultural hacia una seguridad dirigida por los desarrolladores.

Los resultados

Impacto real, progreso medible

La inversión de KVK en desarrollo seguro con Secure Code Warrior dado resultados muy positivos:

KVK aprovecha SCW Trust Score®, un índice de referencia que mide el compromiso de una organización con las prácticas de codificación segura basándose en métricas de seguridad clave. En el transcurso de seis meses, la puntuación Trust Score de KVK aumentó significativamente, situándola entre el 12 % de las organizaciones mejor valoradas a nivel mundial.

«La puntuación SCW Trust Score nos ofrece una visión clara y basada en datos de dónde se encuentran nuestros riesgos y cómo centrar nuestra formación en los aspectos más importantes», explicó Sebastiaan. «No es solo un punto de referencia, es una hoja de ruta que nos ayuda a demostrar el progreso y el valor real para el negocio del desarrollo seguro».

KVK, en colaboración con Secure Code Warrior, ha establecido un nuevo estándar para la seguridad impulsada por los desarrolladores. Al unir un liderazgo sólido, una estrategia clara y resultados medibles, han transformado el desarrollo seguro en una capacidad empresarial fundamental, que cumple con los requisitos de cumplimiento normativo y sirve de modelo para el sector. Gracias a que los informes de SCW se ajustan a las normas de certificación ISO 27001/27002, KVK también puede validar la eficacia de su programa durante las auditorías, lo que demuestra que el desarrollo seguro no es solo una recomendación, sino una necesidad.

KVK tiene planes de ampliar su programa de certificación más allá de la ingeniería para incluir a los evaluadores de control de calidad, DevOps y desarrolladores de bajo código, reforzando así que la seguridad es una responsabilidad compartida en toda la organización. También planean introducir el contenido centrado en IA/LLM de SCW para ayudar a los desarrolladores a programar de forma segura junto con herramientas como GitHub Copilot, y están trabajando con SCW Professional Services para optimizar la implementación de Trust Agent. Estos esfuerzos muestran lo que es posible cuando la programación segura se convierte en una responsabilidad compartida, no solo para los desarrolladores, sino para toda la organización.

«Nuestra colaboración con Secure Code Warrior sido fluida y productiva», afirma Sebastiaan. «Nos han ayudado a implementar y mejorar nuestro programa de formación, lo que ha dado lugar a una reducción cuantificable del riesgo y a una cultura más sólida de desarrollo seguro».

Con Secure Code Warrior, KVK ha sentado unas bases sólidas para el desarrollo seguro, y esto es solo el principio.