¿Por qué no debemos ignorar el factor humano en la ciberseguridad?

Recientemente, nos complace ver que se ha publicado el primer artículo del Comité Tecnológico de Forbes, escrito por nuestro presidente y director ejecutivo, Peter Danks. Este artículo detalla cómo mejorar las habilidades de los desarrolladores para crear un código más seguro, lo cual es clave para prevenir los ataques cibernéticos y las fugas de datos. No solo eso,también revela cómo estos desarrolladores con conciencia de seguridad pueden ayudar a crear un código mejor y más seguro de lo que muchos departamentos de TI creen. Sin duda, existe una necesidad urgente de este enfoque. Un estudio reciente descubrió que ahora se produce un ataque cibernético cada 39 segundos, y todoshemos visto la interrupción causada por un solo ataque exitoso de ransomware contra Colonial Pipeline, que, en perspectiva, fue menos devastador que el hackeo de SolarWinds.

‍

Muchas vulnerabilidades comunes siguen existiendo porque nadie se ha molestado en mostrar a los desarrolladores cómo sustituir los patrones de codificación deficientes por métodos más seguros y fiables que permitan realizar las mismas funciones. Además, corregir el software en las últimas fases del desarrollo resulta extremadamente costoso, tanto en términos de tiempo como de retrasos en la implementación. Corregir el código después de su implementación, especialmente cuando los atacantes han aprovechado vulnerabilidades no detectadas anteriormente, puede llegar a costar millones de dólares.Esto sin tener en cuenta el daño a la reputación de la empresa tras una infracción grave.

Los desarrolladores que han recibido formación en seguridad se convierten naturalmente en mejores programadores. Por supuesto, el director de seguridad de la información no debe renunciar a sus herramientas de seguridad a corto plazo, pero mediante un enfoque de seguridad preventivo e inclusivo por parte de los altos directivos, el director de seguridad de la información puede aprovechar el mayor recurso de su empresa, el factor humano, especialmente cuando se trata de la codificación segura desde el principio del ciclo de vida del desarrollo de software.

Para ello, recuerde las tres estrategias avanzadas más importantes que se indican a continuación.

1. Ser proactivo, no pasivo.

Las empresas suelen caer en la trampa de reaccionar de forma pasiva, por ejemplo, respondiendo a las acciones de la competencia en lugar de desarrollar y perseguir una visión única. Cuando se trata de vulnerabilidades de seguridad en el código, muchos también adoptan este enfoque por defecto, y solo se toman en serio la ciberseguridad cuando se ven obligados a hacerlo tras un ataque exitoso. Por desgracia, para entonces, el daño ya está hecho,y las multas, los costes de recuperación, la pérdida de clientes y la restauración de la marca afectan a los beneficios. Otra reacción, en lugar de una acción, es confiar en el escaneo automático o manual del código para detectar vulnerabilidades en el código existente, en lugar de centrarse desde el principio en crear código seguro. Desgraciadamente, el escaneo de código no es una solución perfecta, lo que significa que cuantas más vulnerabilidades haya en el código, mayor será la probabilidad de que algunas se pasen por alto.

Solo mediante un enfoque proactivo y la colaboración con los desarrolladores, ayudándoles a crear código seguro desde el principio, se puede establecer un ciclo de vida de desarrollo de software que reduzca significativamente la posibilidad de publicar vulnerabilidades de código para los usuarios.

2. Mejora tus habilidades, no corrijas en exceso.

Una vez que se haya decidido proporcionar a los desarrolladores los conocimientos necesarios para crear código seguro, elija sabiamente su método. Los seminarios de formación internos que interrumpen la programación frustran tanto a los desarrolladores como a los gerentes. Los cursos externos que requieren asistir por la noche o durante el fin de semana son aún menos populares. El mejor método es desarrollar las habilidades de programación de forma gradual, proporcionando la información relevante a medida que se avanza en el proceso de codificación, es decir, mejorar las habilidades sin distraer significativamente a los desarrolladores ni ralentizar el proceso de desarrollo.

3. Motivar, no dar nada por sentado.

Los desarrolladores no deben considerar la mejora de sus habilidades en materia de seguridad como un castigo o una tarea totalmente ardua. Los gerentes deben motivar a los desarrolladores transmitiéndoles la importancia que tiene el código seguro para el éxito de la empresa. También es importante transmitirles que los programadores que escriben código seguro son más valiosos para la empresa y que en el futuro disfrutarán de más oportunidades profesionales.

La administración Biden ha acogido con satisfacción esta medida. La orden ejecutiva ha aumentado la atención prestada a la ciberseguridad, así como la necesidad de «incorporar criterios para evaluar las prácticas de seguridad de los propios desarrolladores y proveedores, e identificar herramientas o métodos innovadores para demostrar su conformidad con las prácticas de seguridad». Sin embargo, aunque las herramientas son indispensables,no son suficientes. Ninguna herramienta puede eliminar por completo la capacidad de las personas de ignorar, malinterpretar, abusar o eludir de alguna manera los sistemas y herramientas instalados. Para maximizar la seguridad de la empresa, el director de seguridad de la información debe aprovechar el factor humano y animar a los desarrolladores a convertirse en defensores y practicantes voluntarios de la seguridad.