En busca del oro: Paysafe mejora continuamente sus estándares de seguridad de códigos.

Paysafe ayuda a convertir las transacciones financieras en una experiencia basada en la confianza, y sabe que ofrecer una plataforma segura y fluida para gestionar un volumen de transacciones anualizado de más de 15 200 millones de dólares requiere mucho más que cumplir con los requisitos básicos de cumplimiento normativo. Durante los últimos cuatro años, Paysafe ha seguido impulsando un enfoque integral de la gestión de riesgos para desarrolladores en colaboración con Secure Code Warrior, y su programa de seguridad de aplicaciones ha tenido un impacto positivo en las necesidades generales del negocio, incluyendo:

Desafío: mejorar los estándares de código de seguridad de Paysafe

Como proveedor multinacional de pagos en línea, Paysafe siempre ha considerado la codificación segura como una prioridad estratégica, cuyo alcance va más allá del simple cumplimiento de los requisitos de PCI DSS. Aunque los cursos de formación presenciales impartidos por expertos y las evaluaciones de habilidades formaban parte de su trabajo inicial, el objetivo de Paysafe siempre ha sido ampliar el alcance y la escala de su programa de codificación segura, garantizar la adopción de métodos de seguridad de aplicaciones de primer nivel y asegurarse de que los ingenieros escriban código seguro desde el principio.

«Para nosotros, la formación que ofrecemos nunca se limita a marcar una casilla. Nuestro objetivo es que nuestros empleados comprendan la evolución continua de la situación. Nos esforzamos constantemente por mejorar y hacer más. Queremos que los equipos de ingeniería y seguridad trabajen juntos. Los equipos que son capaces de desarrollar por sí mismos comprenden mejor la situación y diseñan un código mejor», afirma Boyan Hristov, socio de desarrollo de personal de Paysafe.

La visión de Paysafe es desplazar la seguridad hacia la izquierda, formar ingenieros con conciencia de seguridad e integrar prácticas de codificación segura en cada fase del ciclo de vida del desarrollo de software. Para respaldar esto, necesitan un programa escalable, atractivo y continuo que no solo proporcione pruebas de auditoría para fines de cumplimiento de PCI, sino que también impulse un cambio cultural profundo y duradero.Esto incluye experiencias de aprendizaje gamificadas, torneos periódicos y formación continua para ayudar a atraer a los desarrolladores y animarlos a situarse a la vanguardia de las tendencias de seguridad del sector.

Solución: utilizar los métodos más avanzados de Security Code Warrior.

Paysafe ha adoptado Secure Code Warrior con el fin de ampliar las prácticas de codificación segura, atraer a ingenieros e integrar la seguridad en las primeras fases del ciclo de vida del desarrollo. Con el paso del tiempo, su programa de campeones de la seguridad ha ido evolucionando y Secure Code Warrior ha desempeñado un papel fundamental en la consecución de los objetivos de prevención de riesgos cibernéticos.

Paysafe permite a los desarrolladores participar de forma orgánica en la plataforma y fomenta actividades lúdicas, como torneos con premios atractivos, para que los desarrolladores se involucren y se sientan motivados. Cuando se lanzó inicialmente el programa, se exigieron algunas evaluaciones para ayudar a cumplir los requisitos de conformidad con la normativa PCI y se ofrecieron otros contenidos y actividades como opciones.

A medida que el programa fue ganando notoriedad, la dirección proporcionó apoyo adicional y coordinó aún más los objetivos de los equipos de desarrollo y seguridad de la información. Esto permitió al equipo de Paysafe llevar el programa a un nuevo nivel y lanzar un programa de certificación más formal, que incluía indicadores clave de rendimiento específicos e incentivos por alcanzar los objetivos.

La siguiente fase del programa se centra en los diez temas principales de OWASP, estándar del sector, y la fase de certificación permite a los desarrolladores avanzar a través de distintos niveles de logros. Ahora, el programa ha alcanzado un nuevo nivel de escala y madurez, lo que ha mejorado de manera integral los estándares de referencia de los desarrolladores, desde los empleados a tiempo completo hasta los temporales.

«Damos mucha importancia a la relación de colaboración que hemos establecido con SCW durante los últimos cuatro años. Alan Osborne, director de seguridad de la información de Paysafe, afirma que nuestro compromiso conjunto con el desarrollo inicial de código seguro y la formación específica en seguridad de aplicaciones en las primeras fases del ciclo de vida del desarrollo de software (SDLC) ha contribuido a fortalecer la relación entre nuestros equipos de seguridad e ingeniería».

Con el apoyo y la coordinación continuos del director de seguridad de la información, el director de tecnología y los líderes ejecutivos de ingeniería, Paysafe ha colaborado con Security Code Warriors para desarrollar continuamente su programa. Hoy en día, el programa está estrechamente vinculado a las necesidades del negocio, ofrece resultados tangibles y sigue siendo relevante y atractivo para los equipos internos.

Resultado: nuevo estándar de código de seguridad para toda la organización.

Desde su inicio hace cuatro años, las iniciativas de seguridad de las aplicaciones de Paysafe han mejorado. A través de su colaboración con Secure Code Warrior, Paysafe ha demostrado que un enfoque integral de la gestión de riesgos por parte de los desarrolladores puede tener un gran impacto en toda la organización.

El análisis de Paysafe de los datos de escaneo SAST muestra que las aplicaciones desarrolladas por equipos que han recibido formación de Secure Code Warrior presentan una reducción significativa de las vulnerabilidades detectadas en los escaneos de desarrollo temprano. En los equipos cuyos desarrolladores participan más activamente en la plataforma SCW, el número de vulnerabilidades detectadas en el primer escaneo se reduce aún más.

Los equipos Secure Code Warrior descubrieron que las vulnerabilidades detectadas en las primeras fases de desarrollo se redujeron considerablemente en comparación con el año anterior, lo que pone de relieve el valor añadido de la formación continua y basada en habilidades para reforzar los hábitos de codificación segura. La creación de código seguro desde el principio ahorró mucho tiempo a sus equipos y a otros equipos del SDLC. Al prevenir las vulnerabilidades en las primeras fases de desarrollo,se ahorran miles de horas de desarrollo al no tener que identificar, documentar y rehacer el código vulnerable. Esto aumenta la productividad de los desarrolladores en un 45 %, lo que ayuda a demostrar las ventajas de mejorar las habilidades de código seguro y los procesos de desarrollo diarios. Es una situación en la que ganan tanto el equipo de ingeniería como el de AppSec.

La dedicación de Paysafe al código de seguridad les ha ayudado a destacar y a obtener el cuarto puesto en la clasificación SCW^{Trust Score® dentro del ámbito de los servicios bancarios y financieros} . Aunque se trata de un logro del que se sienten orgullosos, el compromiso de Paysafe con el programa del código de seguridad no se detiene ahí. Animados por los resultados obtenidos en colaboración con Secure Code Warrior, Paysafe busca elevar aún más el nivel del programa.

Alan Osborne, director de seguridad de la información de Paysafe, afirma: «Secure Code Warrior nos ha ayudado a mejorar la eficiencia de nuestros desarrolladores, acelerar la capacidad de lanzar productos al mercado y realizar mejoras, y reducir significativamente los costes y riesgos a lo largo del tiempo». «Hemos demostrado que, impulsada por una mayor formación de los desarrolladores, la codificación segura no solo es algo "bueno", sino una inversión eficaz que genera un retorno real de la inversión, al tiempo que mejora las habilidades, la experiencia y las capacidades de nuestros desarrolladores».

A continuación, el objetivo de Paysafe es seguir aplicando sus normas de seguridad mediante la incorporación de medidas adicionales de gobernanza y gestión de riesgos en sus procesos. SCW Trust Agent profundizará su relación de colaboración a largo plazo con Secure Code Warrior y demostrará su compromiso con la excelencia en materia de ciberseguridad.