Por qué no se debe pasar por alto el factor humano en la ciberseguridad

Recientemente, tuvimos el gran placer de ver el primero. Fue creado por Pieter Danhieux, presidente y director ejecutivo de Forbes Technology Council Post. En esta publicación, se explica en detalle la importancia de mejorar las habilidades de los desarrolladores para crear códigos más seguros y así prevenir los ciberataques y las violaciones de datos. Además, descubrimos cómo los desarrolladores con conocimientos de seguridad pueden ayudar a proporcionar códigos más seguros y de mayor calidad de lo que piensan muchos departamentos de TI.La necesidad de este enfoque es indudablemente atractiva. Según un estudio reciente , ahora se produce un ciberataque cada 39 segundos.Y todos hemos sido testigos del caos que puede provocar un solo ataque de ransomware exitoso. El de Colonial Pipeline, en un contexto más amplio, no fue tan destructivo como el hackeo de SolarWinds.

‍

Muchas vulnerabilidades comunes siguen existiendo. Esto se debe a que nadie ha mostrado a los desarrolladores cómo sustituir los patrones de codificación incorrectos por otros mejores que realicen las mismas funciones de una forma más segura. Además, corregir el software en las últimas fases del desarrollo conlleva un coste enorme en términos de tiempo y retrasos en la distribución. Una vez distribuido, corregir el código, especialmente después de que un atacante haya aprovechado una vulnerabilidad no detectada anteriormente, puede costar a veces millones de dólares. Esto sin tener en cuenta el daño a la reputación de la empresa que puede suponer una brecha de seguridad grave.

Los desarrolladores que han recibido formación en seguridad se convierten naturalmente en mejores programadores. Por supuesto, el CISO no debe renunciar inmediatamente a las herramientas de seguridad. Sin embargo, al impulsar un enfoque de seguridad integral y preventivo desde los niveles más altos, el CISO puede aprovechar el recurso más importante de la empresa: el factor humano. Esto es especialmente cierto en lo que respecta a la codificación segura desde las primeras fases del ciclo de vida del desarrollo de software.

Para ello, hay que tener en cuenta las tres estrategias principales siguientes.

1. Actúe de forma proactiva, no reactiva.

Por ejemplo, las empresas suelen caer en la trampa de reaccionar a posteriori, respondiendo a las acciones de la competencia en lugar de desarrollar y perseguir una visión única. Además, muchas empresas adoptan este enfoque en lo que respecta a las vulnerabilidades de seguridad del código y solo se toman en serio la ciberseguridad cuando se produce una infracción de seguridad y es inevitable. Lamentablemente, para entonces ya se han producido daños, como multas, costes de recuperación, pérdida de clientes y restauración de la marca, lo que acaba afectando a los beneficios.Otra forma de respuesta que se puede adoptar en lugar de tomar medidas es centrarse en la creación de código seguro desde el principio, en lugar de depender del escaneo automático o manual del código para detectar vulnerabilidades en el código existente. Lamentablemente, el escaneo de código no es una solución perfecta. Es decir, cuanto más vulnerable es el código, mayor es la probabilidad de que se pasen por alto algunas vulnerabilidades.

Solo adoptando un enfoque preventivo y colaborando con los desarrolladores para ayudarles a crear código seguro desde el principio se puede establecer un ciclo de vida de desarrollo de software que reduzca considerablemente la posibilidad de que las vulnerabilidades de codificación se hagan públicas para los usuarios.

2. Mejora tus habilidades, pero no te excedas.

Si ha decidido proporcionar a los desarrolladores los conocimientos necesarios para crear código seguro, elija el enfoque adecuado. Los talleres de formación internos que interrumpen la codificación son frustrantes tanto para los desarrolladores como para los gerentes. Los cursos de formación externos a los que hay que asistir por la noche o durante el fin de semana son mucho menos populares. Lo mejor es desarrollar las habilidades de codificación de forma gradual. Proporcione información relevante paso a paso durante el proceso de codificación: así podrá mejorar las habilidades básicas sin distraer la atención de los desarrolladores ni retrasar el proceso de desarrollo.

3. Ofrezca incentivos, no haga suposiciones.

Los desarrolladores no deben considerar la mejora de la tecnología de seguridad como un castigo o una tarea ardua. Los administradores deben inspirar a los desarrolladores transmitiéndoles el importante papel que desempeña el código de seguridad en el éxito de la empresa. También es importante transmitir a los programadores de seguridad que son más valiosos para la empresa y que en el futuro disfrutarán de más oportunidades profesionales.

Bienvenida de la administración Biden Orden ejecutiva Se ha ampliado la necesidad de centrarse en la ciberseguridad e «incluir criterios para evaluar las prácticas de seguridad de los propios desarrolladores y proveedores e identificar herramientas o métodos innovadores para demostrar el cumplimiento de las prácticas de seguridad». Sin embargo, aunque las herramientas son esenciales, no son suficientes por sí solas. Ninguna herramienta puede ignorar los sistemas y herramientas existentes, malinterpretar, abusar o eludir de otro modo. Para maximizar la seguridad de la empresa, el CISO debe aprovechar el factor humano y animar a los desarrolladores a convertirse en defensores y practicantes de la seguridad.