最佳早午餐：我们的 AppSec 领导者分享他们的智慧

A lo largo de mi carrera como profesional de la seguridad de las aplicaciones, he tenido la suerte de conocer y relacionarme con algunos de los talentos más increíbles de la industria, cada uno de los cuales está dejando su huella para ayudar a asegurar y fortalecer las redes de código cada vez más grandes del mundo. A estas alturas de mi viaje (¡con un poco más de conocimiento y mucho menos de pelo!), a menudo me piden que hable con las futuras estrellas de la seguridad del software, y es un trabajo que me encanta. Sin embargo, también comprendo lo importante que es ser visible como líder y mentor de aquellos que buscan mantenerse firmes y crecer en sus funciones.

Recientemente, estuve en Londres con algunos miembros del Secure Code Warrior y organizamos un brunch con el objetivo de reunir a un puñado de superestrellas de la seguridad de las aplicaciones para que hicieran networking, compartieran ideas y comieran un par de pasteles. Ante más de sesenta invitados, impartieron sus conocimientos como parte de un panel de expertos, haciendo que todos se entusiasmaran con el futuro de la seguridad de las aplicaciones.

Abordando temas candentes como la forma de sacar el máximo partido al presupuesto de AppSec de una organización, así como varias preguntas enrevesadas del público, el panel ofreció una verdadera magia matutina que, sin duda, ayudará a los directores de seguridad, a los especialistas y a sus desarrolladores a crear programas viables dentro de sus organizaciones.

Tuvimos el privilegio de acoger a los siguientes líderes en el panel, Tools Vs. People: ¿Su presupuesto de seguridad de las aplicaciones es adecuado para ambas cosas?

• Vincent Gilbert, CISO, Societe Generale
• C̩dric Levy-B̩ncheton, director general de Cetome
• Reena Shah, Directora de Cultura y Conciencia de Seguridad y Privacidad, M&G Prudential
• Lee Thurlow, Director Global de AppSec, Pearson
• Lewis Bramfitt, director general de Bramfitt Lab.

Cada uno de los ponentes compartió su opinión sobre el panorama de las herramientas de AppSec (spoilers: con muchas organizaciones que generan tanto software, puede ser un campo de minas la selección de herramientas que realicen todas las funciones necesarias. Al fin y al cabo, no hay ninguna herramienta que lo cubra todo).

Reena Shah también hizo un comentario interesante. En pocos años, hemos visto un cambio positivo en la percepción de la seguridad de las aplicaciones en las grandes organizaciones, lo que ha permitido que empiece a tomar forma un elemento crítico: la inversión en las personas para mantener las mejores prácticas y la cultura de la seguridad:

"Creo que está cambiando. Cuando empecé en esto hace cuatro años, tratar de conseguir un presupuesto y un equipo en lo que respecta a la cultura de la seguridad y la concienciación era realmente difícil. Y lo que estoy descubriendo ahora, es que ya no es mi reto. Es muy fácil para mí decir: "este es el presupuesto que necesito, estas son las personas que necesito, para reducir los riesgos". Estoy viendo un cambio masivo, y creo que se debe a que la junta directiva -y la C-Suite- están comprendiendo lo importante que es proporcionar fondos para ayudarnos a reducir los incidentes de seguridad". Y añadió.

Puede ver el panel completo ahora mismo:

Para mí, es increíblemente refrescante ver que el futuro de la seguridad de las aplicaciones incorpora un énfasis en la formación y los conocimientos adecuados para los desarrolladores que están en primera línea, lo que les permite formar una defensa sólida contra las antiguas vulnerabilidades que todavía levantan su fea cabeza.

Las herramientas proporcionan un nivel de apoyo, pero realmente, es hora de que afrontemos los hechos. Simplemente tenemos que dejar de repetir los mismos errores.

Cerrar el bucle de errores de AppSec

En el marco del brunch de Leaders in AppSec, también realicé una presentación sobre cómo podemos abordar el costoso y continuo problema de las mismas vulnerabilidades de seguridad que aparecen una y otra vez. Las herramientas pueden encontrarlas, pero no hacen mucho para prevenirlas. Los desarrolladores necesitan recibir la formación adecuada para impedir que se introduzcan en primer lugar.

Y, bueno, los desarrolladores somos un grupo curioso. Algunas formaciones son mucho más eficaces que otras en lo que respecta al compromiso y la retención. Puedes ver mi presentación completa aquí:

El énfasis en la formación en seguridad, así como la concienciación general y una cultura positiva entre los desarrolladores y AppSec es como la kriptonita para un atacante. Esas pequeñas puertas traseras se cierran, esas formas fáciles de acceder a nuestros datos se secan, y los superhéroes de la seguridad trabajan juntos para que la seguridad sea sinónimo de calidad del software.

Lentamente, pero con seguridad, lo estamos consiguiendo.