Plataformas de aprendizaje ágiles: ROI de la seguridad impulsada por los desarrolladores

En un panorama del software en rápida evolución, los desarrolladores tienen ahora la responsabilidad de diseñar productos seguros. En este informe conjunto de Secure Code Warrior y Accenture, exploramos los retos en torno a la formación tradicional en seguridad y los costes de oportunidad de alterar los flujos de trabajo de los desarrolladores. Entre en un ágil learning platform para un código seguro, que reduce las vulnerabilidades a la mitad al tiempo que mejora la productividad. 

En este informe, nuestros expertos de Secure Code Warrior y Accenture lo explican: 

• Cómo calcular el ROI del aprendizaje ágil con factores como licencias, salarios y tiempo de remediación. 
• Descubra cómo Accenture integra Secure Code Warrior, transformando la formación en código seguro y destacando el valor de la educación de los desarrolladores.
• Secure Code Warrior los usuarios experimentan un aumento del 148% en la productividad de los desarrolladores, una reducción del número de vulnerabilidades y una aceleración de los ciclos de publicación, lo que hace que la seguridad proactiva sea económicamente viable.

‍

¿Qué es Devlympics?

Devlympics es una tournament mundial que organiza anualmente Secure Code Warrior en su ágil learning platform para poner a prueba las habilidades de los desarrolladores en materia de código seguro.

Durante las 24 horas de tournament, desarrolladores de todo el mundo compitieron en retos de codificación ofensivos y defensivos en los lenguajes de programación que eligieron. Los desarrolladores tuvieron la oportunidad de competir contra sus compañeros en una amplia gama de habilidades y enfrentarse para ganar puntos y llegar a lo más alto de la clasificación.

En este informe, obtendrá una visión general de los resultados de Devlympics 2023, así como una inmersión profunda en los puntos fuertes y las oportunidades destacadas por cientos de desarrolladores a través de los desafíos jugados. Además, hemos destacado las tendencias de cada sector, lenguaje y CWE (Common Weakness Enumerations) comunes abordadas por los desarrolladores para ayudar a llevar su aprendizaje de código seguro al siguiente nivel.

Qué dicen los desarrolladores sobre Devlympics y Secure Code Warrior

"Secure Code Warrior es una gran plataforma para competir con otros participantes y mejorar tus habilidades".

"Secure Code Warrior adopta un enfoque interactivo, similar a la revisión de código" 

"Secure Code Warrior es una de las mejores plataformas que te forma a través de una interesante competición".

"¡Emocionante, emocionante y me encantó!" 

A los desarrolladores les encanta Secure Code Warrior

Encuestamos a más de 200 participantes después del evento, y las cifras demuestran que a los desarrolladores les encanta la competición.

Compromiso de los promotores

La participación de desarrolladores en las Devlympics sigue creciendo año tras año, con más de 1000 desarrolladores participando en la edición de 2023 tournament. Devlympics atrajo la atención de profesionales de la seguridad y desarrolladores de múltiples sectores y disciplinas de programación de todo el mundo. Con el doble de participación que el año pasado, observamos una tendencia en el interés de los desarrolladores por aprender a programar de forma segura. Con el crecimiento de una comunidad de desarrolladores expertos en seguridad, Devlympics sigue poniendo de relieve el valor de los desarrolladores como primera línea de defensa para proteger el código frente a las vulnerabilidades.

‍

Industrias presentes en Devlympics

El código seguro es importante para todas las industrias, pero para algunos sectores en particular es absolutamente crítico. Sectores como la banca y los servicios financieros y la tecnología ocuparon los primeros puestos en cuanto a número de desarrolladores participantes. Esto demuestra la importancia de que estos sectores sigan centrándose y haciendo hincapié en el código seguro.

‍

Lenguas jugadas por la industria

Los diferentes sectores utilizan una gran variedad de lenguajes de programación, de los cuales había 6 categorías diferentes (Web, Móvil, Front-End, API, Cloud y Mashup) con más de 30 lenguajes diferentes disponibles. Estos son algunos de los lenguajes que observamos como tendencia en los distintos sectores.

‍

No puedo parar, no quiero parar

Los jugadores de Devlympics pasaron una media de casi 3 horas en la plataforma, lo que supone un total de 4.152 horas de juego.

Algunos desarrolladores que ocupan los primeros puestos de la clasificación lo han llevado al siguiente nivel. Los 20 jugadores con más tiempo de juego jugaron una media de 14 horas en tournament. ¡Eso sí que es dedicación!

‍

Desarrolladores full stack

En Devlympics, el 41% de los desarrolladores jugaron en al menos dos idiomas diferentes, y casi una cuarta parte en más de tres.

Según Stack Overflow, los desarrolladores que envían código de producción en dos o más idiomas se consideran desarrolladores de pila completa.

¿Se asegura su programa de formación de que los desarrolladores están formados en todas las tecnologías en las que codifican? Con más de 63 lenguajes y frameworks diferentes, la plataforma Secure Code Warrior tiene todo cubierto.

‍

‍

Tendencias de la pila tecnológica

La seguridad del código es primordial en el código de acceso público.

En todos los sectores, los desarrolladores jugaban utilizando lenguajes Web o API.

Java Spring y Docker Basic ocupan los primeros puestos como lenguajes individuales más utilizados en tournament.

‍

‍

‍

Comunidad de campeones de la seguridad

En las Devlympics de este año compitieron los mejores, la mayoría de los cuales ya son clientes de Secure Code Warrior , ¡y los resultados así lo reflejan! En todos los sectores, los participantes en las Devlympics obtuvieron resultados muy superiores a los de la referencia del sector Secure Code Warrior para las evaluaciones en su plataforma.

A medida que sigamos construyendo nuestra comunidad de campeones dedicados a la seguridad de los desarrolladores en la plataforma Secure Code Warrior , esperamos que estas cifras sigan siendo más prometedoras cada año.

Principales vulnerabilidades - Web y API

Los desarrolladores que participaron en Devlympics mostraron buenos niveles de habilidad en las categorías OWASP Top 10 para Injection Flaws y Vulnerable Third-Party Components. Somos optimistas y creemos que, con el tiempo, estas vulnerabilidades desaparecerán de las listas OWASP Top 10.

La asignación masiva sigue siendo un problema importante. El nivel de habilidad de los desarrolladores fue uno de los más bajos para esta vulnerabilidad en particular. Dada la falta de herramientas automatizadas y pruebas en este espacio, esto es una verdadera causa de preocupación y debe ser monitoreado de cerca. Más educación en este espacio también ayudará a aliviar la presión de los equipos de seguridad que se ocupan de esta vulnerabilidad en particular.

‍

‍

Las 25 debilidades de software más peligrosas del CWE

La lista de las 25 debilidades de software más peligrosas de Common Weakness Enumeration (CWE) proporciona a los desarrolladores una lista anual de las debilidades de software más comunes e impactantes en la actualidad.

#1 CWE-787 Memory Corruption, #9 CWE-352 Cross-site Request Forgery, y #10 CWE-434 File Upload obtuvieron las puntuaciones de precisión más bajas durante Devlympics. 

Las vulnerabilidades relacionadas con inyecciones, como la #3 SWE-89 SQL Injection, la #5 CWE-78 OS Command Injection y la #8 CWE-22 Path Traversal fueron algunas de las CWE mejor puntuadas durante Devlympics. Esperamos que estas vulnerabilidades bajen en el orden jerárquico fuera de las listas de la industria como la CWE Top 25 o la OWASP Top 10 a medida que mejoren las habilidades de los desarrolladores.

‍

Debilidad en el orden

‍

Conclusión:

Las Devlympics de 2023 demuestran que los desarrolladores de todo el mundo se comprometen y aprenden mientras participan en tournament. El impacto se sentirá más allá del orgullo que sienten por competir, pero los escenarios del mundo real facilitan la retención de sus conocimientos y el paso de la práctica a la aplicación.

Secure Code Warrior es el líder del sector en código seguro ágil learning platform que permite a los desarrolladores adquirir las habilidades que necesitan para escribir código seguro.

Con Secure Code Warrior, puede organizar su propio tournament como Devlympics para sus equipos de desarrollo. Reúne a tu equipo en una competición lúdica y divertida en la que aprenderán a localizar, identificar y corregir vulnerabilidades del software.

‍

Únase a la creciente comunidad

Nuestra visión es inspirar a una comunidad global de desarrolladores expertos en seguridad para que adopten una cultura de codificación preventiva y segura. Nuestro objetivo es reforzar la resistencia de la seguridad minimizando la aparición de ataques, amenazas y riesgos, para que pueda impulsar el cambio, innovar y acelerar. Creemos que la formación y la tutoría son una parte integral de unirse a nuestra comunidad de desarrolladores.

Inscríbete en Devlympics 2024 y síguenos en X para estar al día de todos los anuncios.

‍

‍

TL;DR

Sage es una multinacional británica de software empresarial que ofrece a las empresas programas y servicios sencillos y fáciles de usar para nóminas, recursos humanos y finanzas. En 2017, era la segunda mayor empresa tecnológica del Reino Unido, el tercer mayor proveedor mundial de software de planificación de recursos empresariales y el mayor proveedor de pequeñas empresas, con más de 6 millones de clientes en todo el mundo.

Situación 

Antes de trabajar con Secure Code Warrior, Sage empezó a perfilar su Red de Campeones de Seguridad durante aproximadamente 10 años. A pesar de la sólida red de desarrolladores centrados en la seguridad, la formación era esporádica y no estaba estructurada para centrarse en la reducción de riesgos. 

Sage reconoció que era importante dedicar tiempo a establecer relaciones e integrar la seguridad a lo largo de un periodo de tiempo con un enfoque flexible. El programa de Sage vinculó sus objetivos a la reducción de riesgos y al impacto material de ese programa. Al poner a prueba el programa con determinadas unidades de negocio, se centraron en cómo medir la reducción de riesgos y transmitirla a la empresa para conseguir la aceptación de los desarrolladores y los altos directivos. 

Acción

Mads Howard, responsable de seguridad centrada en las personas de Sage, trabajó con los desarrolladores para conocer a los campeones de la seguridad. Se reunió con desarrolladores de cada unidad de negocio y les entrevistó para saber qué les motiva, cómo les gusta aprender y qué limitaciones ven en su trabajo. Ella y su equipo trabajaron para establecer relaciones con los desarrolladores y sus jefes de equipo, y destacaron la importancia de ser flexibles en su enfoque.

Mads hace hincapié en el establecimiento de relaciones,

"Dedicamos mucho tiempo a entablar relaciones con los jefes de los equipos de desarrollo, los jefes de los equipos de ingeniería y los jefes de producto: las personas que controlan el tiempo dedicado a la formación durante los ciclos de sprints".

Según Mads, también se redujo a ampliar su red de campeones de seguridad,

"La red de campeones de seguridad se ha considerado un control clave de ese programa. Así que para que los productos avanzaran en este programa, tuvimos que tomarnos realmente en serio el papel de tener a alguien como campeón de seguridad y también proporcionarle una sólida formación en seguridad." 

El objetivo de los equipos de seguridad global de Sage era implantar un programa de control de seguridad que tuviera en cuenta las necesidades de aprendizaje de los desarrolladores en un entorno tecnológico complejo y elegir un socio que trabajara junto con sus herramientas de seguridad existentes para ayudar en la gestión de vulnerabilidades. 

Era importante que la educación se considerara un aspecto importante de un programa maduro de control de la seguridad. Se centraron en medir la reducción de riesgos a través de: 

• Mejora de la puntuación de riesgo
• Edad de la vulnerabilidad Reducción de la vulnerabilidad acumulada
• Tiempo de resolución
• Sin vulnerabilidades cerradas frente a vulnerabilidades abiertas
• Número de incidencias por línea de código escrito por Sage (no por terceros)

Para Mads,

"La siguiente fase para Sage como empresa es demostrar que la mejora de las competencias a través de un programa de codificación segura que esté integrado en los flujos de trabajo de los desarrolladores ofrece una reducción de riesgos cuantificable."

Resultados

Mads destacó la importancia de la colaboración y la orientación que Secure Code Warrior les proporcionó a ella y a su equipo,

"Sinceramente, sin el apoyo de Secure Code Warrior no habríamos podido llegar tan lejos y crear un programa con este nivel de madurez en términos de capas o equipos de desarrollo de distintas tecnologías". 

Una vez que Mads y su equipo completaron las entrevistas y obtuvieron la aceptación de los desarrolladores, empezó a implantar Secure Code Warrior como parte de un programa más amplio de cultura de seguridad. 

Los resultados, según Mads, son,

"Sage tiene ahora más de 200 campeones de seguridad inscritos en el programa, y si un campeón de seguridad está dedicando 3,5 horas a la semana (o el 10% de su tiempo) a la creación de habilidades, puede abogar por un programa de codificación segura, puede abogar por la formación continua y puede abogar por el valor que les da." 

Con el apoyo de los altos cargos y objetivos cuantificables en torno a la reducción de riesgos, Mads pudo empezar a medir el éxito no sólo en relación con el número de personas en una plataforma y las horas jugadas, sino también con el tiempo necesario para solucionar vulnerabilidades, la antigüedad de las vulnerabilidades y la comparación con las nuevas funciones creadas para los clientes, a fin de obtener un punto de vista holístico sobre la reducción de vulnerabilidades. Para un equipo, el impacto fue enorme, con una reducción del 82% en el tiempo medio para solucionar una vulnerabilidad.. 

Sin embargo, lo que más importaba, añadió Howard, era lo incuantificable: la implicación, el compromiso y la voluntad de los equipos de participar en el programa.

Principales conclusiones

La experiencia de Sage subraya la relevancia de una formación en seguridad bien planificada y ejecutada, la importancia de un enfoque flexible e integrado, una lección que merece la pena aprender para cualquier organización que aspire a un programa de codificación sólido y seguro. Según Mads, es importante recordar que trabajar con los desarrolladores, y no contra ellos, es la clave para implantar con éxito un programa de control de la seguridad e integrar la seguridad en la cultura de la empresa. 

• La creación de una cultura de la seguridad no se consigue de la noche a la mañana. Es importante dedicar tiempo a establecer relaciones e integrar la seguridad a lo largo de un periodo de tiempo, y dedicar recursos a ello. 
• Vincule todo a la reducción de riesgos y céntrese en cuál es el impacto material de un programa de codificación segura.
• Concéntrese en cómo puede medir esa reducción de riesgos para transmitirla a la empresa, de modo que tanto los desarrolladores como los altos directivos consideren que el programa ha tenido impacto y éxito. 

Para los desarrolladores que quieran ser campeones de la seguridad, ella y su equipo también ofrecieron este consejo: 

• Crea a tu alrededor una red de personas interesadas en la seguridad y participa en conferencias y charlas. Dedica tiempo a aprender sobre los temas que te interesan. 
• Tenga en cuenta que la cultura de una organización no va a cambiar de la noche a la mañana y que tardará tiempo en desarrollarse y madurar. 

‍

Transcripción del vídeo

La formación tradicional en código seguro hace bostezar a sus desarrolladores. ¿Verdad?

Con el enfoque de aprendizaje ágil de los guerreros del código seguro, los desarrolladores aprenden rápido con breves microrráfagas de formación muy pertinente justo a tiempo.

Coding labs, nuestra experiencia de aprendizaje IDE simulado, cambia el juego Con coding labs, sus desarrolladores aprenden haciendo dentro de un entorno IDE totalmente interactivo que se ejecuta en el navegador.

Los desarrolladores escriben código y corrigen vulnerabilidades del mundo real.

Los laboratorios de codificación les proporcionan automáticamente la información contextual que necesitan en tiempo real. Este enfoque de aprendizaje práctico dentro del IDE simulado les mantiene comprometidos y es mucho más relevante para su trabajo diario. El resultado es un aumento cuantificable de la productividad en términos de reducción de riesgos, evitación de costosas repeticiones del trabajo y solución más rápida de las vulnerabilidades.

Los laboratorios de codificación son muy diferentes de otras opciones de formación en seguridad. No requieren que los desarrolladores pongan en marcha nuevas máquinas virtuales.

Proporciona formación práctica con la interfaz de usuario que los desarrolladores conocen y adoran.

Hace avanzar a los desarrolladores con fragmentos de código sugeridos y respuestas paso a paso adaptadas a los errores del desarrollador.

Y ahorra a los desarrolladores clases ineficaces y ocasiones orientadas al cumplimiento. Por eso, los clientes de secure code warrior ven aumentos de productividad medibles de dos a tres veces en términos de reducción de riesgos, evitación de costosas repeticiones del trabajo y corrección de vulnerabilidades, más rápidamente.

Reserve hoy mismo una demostración para ver los laboratorios de codificación en acción.

‍

Transcripción del vídeo

Mantener la seguridad de sus aplicaciones es cada día más difícil y costoso. Las brechas de seguridad son más frecuentes y costosas que nunca, el cumplimiento de las normativas sigue siendo complejo y el enfoque tradicional de aprendizaje de código seguro no consigue implicar a sus desarrolladores ni reducir su perfil de riesgo.

Secure code warrior es la ágil learning platform para la formación en código seguro con los contenidos de seguridad más profundos y actualizados del sector.

Al igual que las prácticas de entrega ágil revolucionaron el desarrollo de software al dividir el trabajo en pequeños sprints estratificados, Secure code warrior incorpora principios de aprendizaje ágil a la formación en código seguro para que los desarrolladores puedan interiorizar y utilizar más rápidamente las nuevas habilidades.

Nuestra plataforma ofrece microrráfagas de contenidos de aprendizaje directamente integrados en el flujo de trabajo del desarrollador.

Las experiencias de aprendizaje se integran en el conjunto de herramientas de los desarrolladores justo en el momento en que las necesitan, dentro de GitHub, Jira, etc.

Utilizando un enfoque de aprendizaje ágil, SCW ofrece a los desarrolladores múltiples vías de aprendizaje, ya sea a través de guías de instrucción, vídeo, desafíos prácticos o en nuestros laboratorios de codificación de experiencia de aprendizaje ID E en navegador. tournaments Con secure code warrior y nuestro enfoque de aprendizaje ágil, sus desarrolladores interiorizarán las nuevas habilidades de forma más rápida y eficaz, ya que aprenden haciendo en el contexto del trabajo diario real con las herramientas de desarrollo que ya utilizan a diario, sin interrumpir su flujo.

Por eso, los clientes de secure code warrior obtienen beneficios empresariales dos o tres veces superiores en múltiples dimensiones.

Secure code warrior es el líder en formación sobre código seguro y la única plataforma basada en principios de aprendizaje ágil. Reserva una demo y obtén más información hoy mismo.

Fondo

Netskope, líder mundial en SASE, ayuda a las organizaciones a aplicar los principios de confianza cero y las innovaciones de IA/ML para proteger los datos y defenderse de las ciberamenazas. Rápida y fácil de usar, la plataforma Netskope proporciona acceso optimizado y seguridad en tiempo real para personas, dispositivos y datos en cualquier lugar. Netskope ayuda a los clientes a reducir riesgos, acelerar el rendimiento y obtener una visibilidad inigualable de cualquier actividad en la nube, la web y las aplicaciones privadas. Miles de clientes confían en Netskope y en su potente red NewEdge para hacer frente a las amenazas en evolución, los nuevos riesgos, los cambios tecnológicos, los cambios organizativos y de red, y los nuevos requisitos normativos.

Situación

La velocidad de la innovación en la computación en nube y la inteligencia artificial ha acelerado enormemente el ciclo de vida del desarrollo de software. James Robinson -CISO de Netskope- reconoció que la forma de hacer formación para desarrolladores cumpliendo los objetivos de conformidad con vídeos sobre desarrollo seguro en solo un puñado de lenguajes no era sostenible en el mercado actual. Su rápida adopción y los rápidos cambios en su organización creaban un reto a la hora de mantener a los desarrolladores de Netskope al día sobre los nuevos lenguajes y tecnologías, pero también de mantenerlos capacitados en materia de seguridad.

Netskope intentó crear más conexiones personalizadas para ampliar los lenguajes y la cobertura que recibían los desarrolladores, pero el compromiso seguía siendo muy bajo y pronto, la formación empezó a suponer un reto para la productividad. James quería cambiar su enfoque para que los desarrolladores se entusiasmaran con el tema a través de enfoques de aprendizaje más prácticos.

Acción

La formación que se realizaba anualmente, o que estaba disponible ad-hoc, no abordaba de forma holística la variedad de herramientas SAST, infraestructuras como escáneres de código, y podía integrarse en los pasos de seguridad de CI y CD en Netskope. Netskope necesitaba poder integrar la participación de los desarrolladores en la seguridad en el proceso de análisis y pruebas. Esto proporcionó una línea de base para la educación en desarrollo seguro que complementó sus requisitos de cumplimiento.

Desplazamiento a la izquierda

Cuando Netskope empezó a hablar del "desplazamiento a la izquierda", surgió la pregunta: ¿qué significa realmente desplazarse a la izquierda? ¿Hasta dónde hay que desplazarse? La dirección tomó la decisión de cambiar el nombre internamente a "adopción de autoservicio". Lo que esto hizo, en principio, fue capacitar a los desarrolladores para que fueran proactivos en su educación sobre código seguro. En colaboración con Secure Code Warriorcrearon un programa que hacía que los contenidos de seguridad fueran visibles y accesibles para los desarrolladores, de modo que no se dejaran llevar por soluciones no probadas.

Accionabilidad y valor

El contenido personalizable y las numerosas actividades prácticas de aprendizaje de Secure Code Warrior también dieron pie a conversaciones más abiertas y productivas entre los equipos de seguridad y de desarrollo. Cuando los desarrolladores empezaron a darse cuenta del valor de la seguridad, más allá del mero cumplimiento de las normas, se mostraron más comprometidos e interesados. También se abrió la oportunidad de examinar las vulnerabilidades críticas y recurrentes con el fin de crear más contenido educativo para complementar su programa.

Resultados

Tras poner en marcha su programa, Netskope recogió con diligencia los comentarios de los desarrolladores para asegurarse de que sacaban el máximo partido a la plataforma. Los resultados fueron abrumadoramente positivos.

Según James Robinson, CISO de Netskope:

Nuestro equipo de desarrolladores, gracias en gran parte a la plataforma Secure Code Warrior, ha conseguido cambiar de rumbo adoptando un enfoque de aprendizaje más atractivo y de autoservicio que pone antes en manos de los desarrolladores las vías de aprendizaje. Y lo que es más importante, creemos que estamos obteniendo un mayor retorno de la inversión gracias a una mayor participación y al hecho de que estos esfuerzos ya no se sienten como una actividad obligatoria de cumplimiento. El subproducto de todo esto es que estamos capacitando a nuestros desarrolladores para que sean campeones de la seguridad".

Principales conclusiones

• ‍Las organizacionesque no invierten en un sólido equipo de seguridad de aplicaciones permiten que se introduzcan más riesgos a través de su código. En última instancia, esto supone una pérdida de tiempo y dinero para solucionar vulnerabilidades y resolver problemas de seguridad.
• Aproveche un programa que le ayuda a ahorrar tiempo con sólo un par de aprendizajes clave cada mes a través de contenido relevante, en lugar de una formación anual de una hora orientada al cumplimiento. El tiempo ahorrado a través de la educación de los desarrolladores se manifestará en la reducción de retrabajo necesario para corregir las vulnerabilidades que no deberían haber sido introducidos en el primer lugar.‍
• Existe un nuevo mandato para codificar soluciones en la nube a escala. Hace años, se esperaba que los desarrolladores se dedicaran por completo a asegurar el código mediante un único lenguaje de programación. Esto ya no es así en el mercado actual de la alta tecnología. Es necesario elegir varios lenguajes que se adapten mejor a la infraestructura de nube y a las aplicaciones que una empresa desea crear y llevar a cabo.

Situación

Antes de que Workday implementara el aprendizaje ágil con Secure Code Warrior, utilizaban internamente courses que consistía en grabaciones de presentaciones de PowerPoint que cubrían las 10 vulnerabilidades principales de OWASP con algunos ejemplos de pseudocódigo. Alex Uda, director del programa de formación de desarrolladores de seguridad, se dio cuenta de que esto no ayudaba a su equipo ni al equipo de seguridad en general a alcanzar sus objetivos de mejorar la postura general de seguridad de Workday. Dado que los desarrolladores se estaban desinteresando rápidamente de su formación, decidieron empezar a solicitar sus comentarios y observaron que había dos puntos que seguían surgiendo:

1. Necesidad de una formación más práctica 
2. La necesidad de contenidos más específicos para cada lengua
   

Acción 

En su trabajo con los desarrolladores, Alex y su equipo identificaron dos prioridades principales a la hora de conseguir su aceptación para crear un programa de aprendizaje de código seguro, atractivo y de éxito.

Claridad y sencillez 

La mayoría de los desarrolladores no llegan a su trabajo con conocimientos de seguridad. Cualquier cosa que resulte frustrante o lleve mucho tiempo llevará a los desarrolladores a buscar soluciones alternativas y pirateos. Lo que Workday destacó de SCW es que permitía a los desarrolladores tener una idea clara del proceso, apropiárselo e integrarlo en sus flujos de trabajo.

Accionabilidad y valor 

Los desarrolladores, ante todo, quieren ser capaces de actuar sobre algo que está afectando al ciclo de vida del código base, y actuar con rapidez. Para ello, los desarrolladores necesitan que se les enseñe cómo hacerlo. Si quieres que un desarrollador se interese por algo como la seguridad, destaca el valor de estos temas.

En cuanto a la estructuración del programa, Alex y su equipo recogieron primero los comentarios sobre la plataforma de un grupo piloto de campeones de seguridad y trabajaron con su director de éxito de clientes para aplicar sus sugerencias. A continuación, Alex y su equipo examinaron sus herramientas SAST y diferentes métricas sobre el número de incidentes y eventos de seguridad para evaluar cuáles son los mayores riesgos en su entorno actual y qué está ocurriendo en todo el sector. Inicialmente se centraron en el top 10 de OWASP y en las vulnerabilidades de alto riesgo más comunes en Workday
‍

"Al dar a los desarrolladores ese aprendizaje y esa agencia, SCW hizo que pudiéramos mejorar activamente la seguridad de nuestro software. No se trata sólo de escribir código, sino también de oportunidades de crecimiento y de hacer carrera. El apoyo de Workday al programa de seguridad existe porque es un área en la que toda la empresa está alineada, así que los desarrolladores dispusieron de ese tiempo para el aprendizaje y el desarrollo. Dedicar dos horas a la semana al aprendizaje durante un periodo de tiempo ayuda a crear esa memoria muscular con constancia".
‍

Resultados

Tradicionalmente, es fácil pensar en la seguridad al final del proceso de desarrollo. Al trabajar con el equipo de seguridad, los desarrolladores de Workday ven ahora la seguridad como un componente importante del ciclo de desarrollo. Pueden actuar sobre los elementos de seguridad con rapidez y en una fase más temprana del SDLC, lo que ha supuesto el mayor impacto de este programa. En un equipo con sede en Dublín, sus desarrolladores pasaron de 4662 problemas de seguridad -con una media de casi 31,08 problemas al día- a 0 en un periodo de unos 18 meses.

Alex describió el crecimiento del programa como "un efecto de bola de nieve después de que empezáramos con campeones de seguridad de primer orden. A medida que socializábamos el programa y sus beneficios entre los líderes y seguíamos aumentando el número de miembros, vimos un crecimiento casi natural debido al boca a boca". Desde el punto de vista de la formación, nuestro objetivo es dotar a nuestros desarrolladores de las habilidades necesarias para desarrollar código de forma segura. Esto es especialmente crítico a medida que Workday sigue creciendo".

Principales conclusiones

Según Alex, "para ampliar la seguridad con éxito es imprescindible que nuestros desarrolladores tengan una mentalidad de seguridad que les ayude a identificar los riesgos de seguridad durante la fase de diseño del desarrollo del software. Esto encaja en nuestra iniciativa de cambio a la izquierda de capacitar a nuestros desarrolladores para ayudar a ahorrar tiempo, dinero y algunos dolores de cabeza. Cuanto mejor trabajemos en el aprendizaje de código seguro, menos vulnerabilidades veremos en nuestros escaneos y resultados de pentest."

Para los desarrolladores, es importante divertirse cuando aprenden sobre seguridad
SCW es excelente a la hora de mostrar lo emocionante que puede ser. Si te estás involucrando en el aprendizaje sobre seguridad, abrázalo por completo. Considéralo parte de tu proceso de desarrollo y del crecimiento de tu carrera.

‍Animea los desarrolladores a ponerse en contacto con el equipo si sienten curiosidad por la seguridad
Mantenga una conversación e inicie esa colaboración.‍

La seguridad como una caja negra o como un añadido a su proyecto es arcaica y, en última instancia, perjudica a su software
Adoptar la seguridad como parte del proceso de desarrollo -del mismo modo que adoptamos TDD, agile y linting- mejorará el flujo y aumentará la calidad del software que se entrega a los clientes.

‍

El cumplimiento es el resultado de una buena seguridad, y no al revés. Si los desarrolladores aprenden activamente y aplican los conceptos a su trabajo diario, la seguridad crecerá de forma holística dentro de la cultura de la empresa.

Descubra cómo Netskope aprovechó la flexibilidad del contenido de Secure Code Warriory su enfoque interactivo y práctico del aprendizaje para crear un enfoque programático de la seguridad impulsada por los desarrolladores, al tiempo que cumplía los requisitos de conformidad de su sector.

Para inaugurar el mes de concienciación sobre la ciberseguridad, este seminario web tratará sobre:

• Los principales impulsores de negocio de Netskope y cómo construyeron un caso de negocio para SCW y el aprendizaje ágil de código seguro.
• ¿Qué medidas se tomaron para poner en marcha el programa y cuáles eran sus objetivos?
• Cómo asociarse con los desarrolladores y medir su compromiso como factor de éxito
• Cómo el programa Warrior de Netskope duplicó la participación en la formación de SCW en dos años

El concepto de "desplazamiento a la izquierda" ha formado parte del discurso del sector de la ciberseguridad desde principios de la década de 2000. La amenaza inminente de ciberataques a gran escala, que empezó a cobrar importancia como parte de la evolución de las metodologías de desarrollo Agile, seguidas de DevOps, hizo necesaria una estrategia de defensa a medida que crecía la huella digital del mundo.

Aun así, casi veinte años después de que el movimiento "shift left" prometiera revolucionar la entrega segura de software, seguimos enfrentándonos a una avalancha de código inseguro, bajos niveles de concienciación sobre la seguridad en las organizaciones y la consiguiente ciberdelincuencia, que aumenta en volumen y potencia año tras año. Se calcula que en 2025 los ciberataques costarán al mundo 10,5 billones de dólares anuales.

Un abismo cada vez mayor en las habilidades de ciberseguridad ha asegurado que hayamos estado escasos de personal de seguridad experimentado durante bastante tiempo, y a pesar de ser un punto crítico de dolor para la mayoría de los líderes de seguridad y CISOs, simplemente no podemos permitirnos el lujo de esperar pacientemente a un cambio milagroso en las circunstancias. El enfoque actual es erróneo, y necesitamos revitalizar y utilizar los recursos que tenemos justo delante de nosotros, y realmente, el alivio es posible en forma de desarrolladores cualificados en seguridad.

En este libro blanco, el experto en seguridad y cofundador y director de tecnología de Secure Code Warrior , Matias Madou, Ph.D., hablará sobre el tema:

• Los seis pilares que necesita para desplegar una formación y capacitación eficaces en materia de seguridad para su cohorte de desarrollo.
• Lecciones aprendidas de diez ejecutivos que implantan programas de seguridad a nivel empresarial.
• Errores comunes que hay que evitar en el camino hacia el éxito.

‍