El retorno de la inversión (ROI) de la seguridad basada en desarrolladores

Es el precio de un código deficiente.

Gracias a los avances tecnológicos, los desarrolladores pueden lanzar código más rápido y con mayor facilidad que nunca. Aunque esto puede resultar interesante para la innovación, puede suponer un reto a la hora de ampliar la calidad y la seguridad del software. Justificar el coste de invertir en herramientas adicionales, programas de formación y mejora de las habilidades de los desarrolladores puede parecer «algo que estaría bien tener» si se mantiene la velocidad de implementación del código, pero puede parecer una función empresarial importante.

Aunque los códigos de envío más rápidos pueden haber facilitado las cosas, lamentablemente no lo mismo puede decirse de la seguridad de los envíos. Las organizaciones son más vulnerables que nunca a las amenazas. El coste de la ciberdelincuencia es enorme en todo el mundo y está aumentando rápidamente.De hecho, en 2020, el coste de los delitos cibernéticos ascendió a aproximadamente un billón de dólares. En promedio, el coste de una violación de datos es de 4,35 millones de dólares, y se extiende a los recursos utilizados para detectar, escalar y reprocesar, además de las pérdidas comerciales de clientes existentes y potenciales.

A pesar de estos costes astronómicos, más de la mitad de las organizaciones no exigen a los desarrolladores una formación oficial anual en códigos de seguridad.

Todos los expertos en seguridad saben que encontrar y corregir vulnerabilidades puede parecer un juego del gato y el ratón. Aunque ya se disponga de un programa de seguridad que incluya estrategias de corrección, siempre hay margen de mejora. La mayoría de las organizaciones se dan cuenta de que su enfoque de la seguridad no es tan sólido como pensaban cuando prueban las funciones de recuperación ante desastres o de copia de seguridad.Si reforzar la resiliencia de la organización frente a los ciberataques es una de sus principales prioridades, es recomendable transferir la responsabilidad de mejorar continuamente la postura de seguridad a los desarrolladores. Contar con un equipo de desarrolladores expertos y competentes, con los conocimientos suficientes para crear código seguro desde el principio y detectar y corregir rápidamente las vulnerabilidades, es la forma más rentable de mitigar los riesgos.

Un error común en relación con la formación de los desarrolladores es considerarla simplemente un gasto empresarial o un coste de seguro. Klaus Klinger, evangelista de DevSecAware en Allianz, afirma: «Todo debe partir de la dirección. Invertir en la formación de los desarrolladores no es una pérdida, sino una inversión en calidad, productividad y reputación de la empresa».

En este ámbito, a menudo puede resultar difícil cuantificar el retorno de la inversión, pero en última instancia, lo que la organización debe tener en cuenta es cómo la postura de seguridad ayuda a reducir los riesgos, simplificar el enfoque y ahorrar tiempo y productividad al equipo de desarrolladores.

¿Cómo se puede cuantificar el retorno de la inversión (ROI) de los costes de ciberseguridad?

En lo que respecta al retorno de la inversión, es importante considerar dos aspectos: la reducción de costes gracias a la mitigación de riesgos y el impacto de la formación en materia de seguridad.

Pensemos en un ejemplo muy común. Debido a una vulnerabilidad o una brecha de seguridad, un sitio de comercio electrónico se ve obligado a permanecer fuera de línea durante varios días mientras el equipo busca el problema y la solución. El coste del fracaso en la resolución del problema puede cuantificarse en términos de pérdida de ingresos por la interrupción de las operaciones, el impacto del robo de credenciales, la pérdida de confianza de los clientes (que conduce a una disminución de las ventas a largo plazo) y la pérdida general de productividad asociada a la resolución del problema.

Esto se resume, en última instancia, en un análisis de costes y beneficios. Las principales áreas que deben evaluarse son el nivel de madurez de la seguridad de la empresa, el nivel de aceptación de riesgos de la empresa y las áreas del código que requieren mantenimiento o mejora.

Las personas a menudo se centran en indicadores erróneos para determinar el éxito y el valor. Quizás deberíamos preocuparnos menos por el rendimiento inicial de la inversión del programa y, en su lugar, medir lo siguiente: el impacto del programa en sí mismo.

Medidas para demostrar el impacto

Para establecer el ROI, es necesario fijar objetivos medibles. Esto comienza con la evaluación de los conocimientos de los desarrolladores en materia de codificación segura y la comprensión de las áreas en las que deben mejorar sus habilidades.

El punto de partida es medir el nivel de participación para tomar decisiones estratégicas sobre cómo crear programas de formación más completos. Lo más importante es medir la eficacia. En primer lugar, antes de iniciar el programa en cada equipo, comience por examinar el número de vulnerabilidades detectadas en el ciclo de vida del desarrollo de software mediante análisis de código, recompensas por errores o pruebas de vulnerabilidades existentes.Una de las formas más sencillas de saber si el programa de formación está dando los resultados deseados es medir la reducción general de las vulnerabilidades que se introducen en la base de código.

‍

Preguntas clave para evaluar el retorno de la inversión (ROI):‍

1. ¿Está simplificando el método de acceso?

¿Está utilizando más herramientas para resolver el problemao está abordando la causa raíz del mismo? Añadir más herramientas a la pila tecnológica puede crear un enfoque de «queso suizo» para encontrar y resolver vulnerabilidades. Además, aumenta los costes operativos sin afectar apenas al código, que es la causa de muchas vulnerabilidades. Las herramientas de escaneo y pruebas de penetración deben formar parte del arsenal, pero no deben ser la última línea de defensa.

2. ¿Se está mejorando la eficiencia y la productividad?

El tiempo dedicado a la revisión exhaustiva y la reelaboración del código enviado por AppSec puede reducir considerablemente la productividad. Se puede reducir la formación de emergencia otorgando permisos y apoyo al equipo de desarrolladores para que puedan practicar por sí mismos. La formación en código de seguridad debe ser un buen punto de referencia para evaluar el impacto positivo de los programas de seguridad.‍

3. ¿Está reduciendo el riesgo?

Encontrar y resolver vulnerabilidades puede ser como resolver un enorme rompecabezas. A veces, completar una solución sólida puede llevar días, semanas o incluso meses. AppSec permite a los desarrolladores tomar medidas correctivas directamente en el código fuente, lo que les permite centrarse en la supervisión de riesgos y en reforzar la postura de seguridad de la organización.

4. ¿Se está aumentando la velocidad, pero se está manteniendo la calidad?

El código de entrega rápida no siempre es bueno. Si se resuelve el problema e introduce vulnerabilidades en el código, pueden surgir muchos problemas en el futuro y acumularse deudas técnicas. En este caso, el pensamiento a corto plazo no es la solución. Se puede mitigar el riesgo protegiendo el código desde el principio para evitar que el problema se agrave más adelante.
‍

Indicadores recomendados para el seguimiento:

• Participación: ¿Cuánto tiempo se dedica a la formación y cuál es el nivel de participación de los desarrolladores? ¿Están completando el programa de formación, siendo evaluados y participando en torneos?
• Tecnología: ¿Cuáles son sus puntos fuertes? ¿Qué aspectos cree que deben mejorarse?
• Reducción de vulnerabilidades: ¿ha observado una reducción notable de las vulnerabilidades durante la revisión del código? ¿Se están reduciendo las repeticiones de trabajo en AppSec?
• Productividad: ¿cuánto tiempo se tarda en resolver un problema? ¿Ha observado alguna vez que la reducción de vulnerabilidades mejora la productividad o la velocidad?

Moverse hacia la izquierda para crear valor

Las violaciones de seguridad y las vulnerabilidades aumentan rápidamente cada año. Es importante empezar por el código y establecer de antemano un enfoque integral de la seguridad. Esto ofrece las siguientes ventajas:

• En lugar de invertir dinero en herramientas que solo resuelven parte del problema, invierta en el recurso más importante, el personal, para reducir la complejidad.
• AppSec mejora la eficiencia y la eficacia general al limitar las repeticiones y modificaciones que suelen identificarse. El código se ha implementado posteriormente.
• Se pueden mitigar los riesgos y lograr el cumplimiento normativo, evitando así costosas multas, la pérdida de confianza de los clientes o, en el peor de los casos, los costes derivados de una violación de datos.

Evite el pensamiento a corto plazo y las soluciones rápidas. No solo generan deuda técnica, sino que también pueden acarrear más gastos en el futuro. Aproveche el poder de la mejora tecnológica para que los desarrolladores puedan convertirse en la mejor línea de defensa contra las vulnerabilidades y los delitos cibernéticos. Planifique a largo plazo y compruebe directamente su impacto y el ahorro de costes.

‍