La determinación del Gobierno australiano por tomarse en serio la ciberseguridad deja claro que se ha identificado como un área de riesgo clave a nivel nacional, pero ¿es su estrategia lo suficientemente ambiciosa?

Gran parte de la iniciativa en torno al "shift left" (desplazamiento a la izquierda), es decir, introducir la seguridad mucho antes en el proceso de desarrollo, simplemente no es suficiente.

La última Orden Ejecutiva del Gobierno Federal de los EE. UU. aborda muchos aspectos de la ciberseguridad funcional, pero por primera vez, describe específicamente el impacto de los desarrolladores y la necesidad de que cuenten con habilidades y conocimientos de seguridad verificados.

El Instituto Nacional de Estándares y Tecnología (NIST) publicó un libro blanco actualizado que detalla varios planes de acción para reducir las vulnerabilidades de software y el riesgo cibernético.

Podría haber comenzado este artículo con todos los datos y cifras que indican una startup en pleno auge y crecimiento acelerado; son innegablemente impresionantes y la trayectoria de nuestra empresa sigue siendo sólida. Sin embargo, para mí, estos números no reflejan lo que más me enorgullece de 2019.

Nuestros aniversarios son un recordatorio maravilloso para reflexionar sobre los frutos de nuestro trabajo, celebrar con el equipo y afrontar el año que viene con confianza. Ahora, siete años después de nuestra creación, me pregunto: ¿Lo hemos logrado? ¿Es esto ya una empresa de verdad? Por supuesto, hemos alcanzado la madurez, pero espero que nunca perdamos ese sentido de curiosidad, pasión y entusiasmo técnico que nos ha acompañado desde el principio.

Los desarrolladores profesionales quieren adoptar DevSecOps y escribir código seguro, pero sus organizaciones deben apoyar este cambio radical si quieren que ese esfuerzo prospere.

Esta semana celebramos oficialmente ocho años de Secure Code Warrior. Por un lado, es 350 veces la duración de la misión Apolo 11, el equivalente a 45 000 partidos de fútbol o terminar el juego Super Mario Odyssey 5696 veces. Por otro, es solo una trigésima parte de la esperanza de vida de una tortuga gigante (250 años, por si te lo preguntabas). En el mundo de una startup de alto crecimiento, representa un viaje lleno de altibajos, lecciones y logros, muchos de los cuales eran inimaginables cuando redactamos nuestro plan de negocio.

Dejar la seguridad de las API al azar es una forma segura de generar problemas a futuro, con consecuencias potencialmente devastadoras en el peor de los casos, y con frustrantes procesos de reajuste y bajo rendimiento en el mejor.

La idea detrás de las aplicaciones de rastreo de contactos es sólida. Esta tecnología, cuando funciona correctamente, permitiría detectar rápidamente los focos de contagio y realizar pruebas exhaustivas, ambos componentes esenciales para combatir la propagación de un virus contagioso.

¿Cómo se supone que los desarrolladores escriban código seguro si nadie les enseña por qué es importante, cuáles son las consecuencias de un código inseguro y, lo más importante, cómo evitar crear estas vulnerabilidades en sus respectivos marcos de trabajo?

La importancia de este trabajo radica en que hemos aportado pruebas empíricas de un número significativo de problemas alarmantes de codificación segura que no se habían reportado anteriormente.

Hacia finales del año pasado, la increíble comunidad de MITRE publicó su lista de los 25 errores de software más peligrosos (CWE Top 25) que afectaron al mundo en 2019. Y la mayor parte no fue ninguna sorpresa.

Nuestra visión es capacitar a los desarrolladores para que sean la primera línea de defensa de su organización, haciendo que la seguridad sea altamente visible y proporcionándoles las habilidades y herramientas necesarias para escribir código seguro desde el principio.

La noticia de que el joven investigador de seguridad Bill Demirkapi expuso vulnerabilidades importantes en el software utilizado por su escuela me trajo muchos recuerdos. Recuerdo ser ese niño curioso que levantaba el capó del software para echar un vistazo y ver cómo funcionaba todo... y si era capaz de romperlo.

Capacitar a los desarrolladores para escribir código seguro desde el principio es una oportunidad para que los CISO tomen el control proactivo de la situación de seguridad, logrando mejoras rápidas, sencillas y medibles para los equipos de seguridad y desarrollo.

Si un desarrollador comete un error de cross-site scripting mientras programa en JavaScript y es capaz de detectarlo a los pocos minutos de haberlo creado

Predecimos que 2021 es el año en que llevaremos un nuevo tipo de carrera espacial a la corriente principal: mantener nuestra galaxia a salvo de las ciberamenazas.

El sector sanitario podría ser el próximo "gran" campo de batalla de la ciberseguridad, con delincuentes atacando las mismas máquinas que diagnostican problemas médicos, proporcionan tratamientos y mantienen la vida.

En ciberseguridad, a menudo actuamos como cazadores. Mantenemos la vista fija en el horizonte, buscando la próxima vulnerabilidad emergente. Sin embargo, este enfoque prospectivo puede tener el efecto sorprendente de reducir nuestra conciencia de seguridad general.

Estos eventos centrados en el desarrollo son de mis favoritos del calendario; me recuerdan con humildad a la comunidad que trabaja incansablemente para educar y capacitar a ingenieros y especialistas de software para que defiendan la seguridad en su trabajo.

La verdadera batalla a la que nos enfrentamos no es contra los aficionados a la informática ni contra peligrosos sindicatos del cibercrimen organizado... sino contra la indiferencia generalizada ante el hecho de que se produzcan brechas de datos.

La seguridad del software es una prioridad constante para mí, al igual que el peligro real que suponen nuestros estilos de vida, cada vez más digitales y centrados en compartir información personal. Al fin y al cabo, nos encontramos en un territorio en gran medida sin regular, sin supervisión y felizmente ignorado. Estamos en el Lejano Oeste.

Dar prioridad a un enfoque preventivo, en lugar de uno reactivo, puede no entenderse bien fuera del equipo de seguridad, especialmente si no ha ocurrido ningún incidente de seguridad grave.

Este año, el PCI Security Standards Council publicó un conjunto totalmente nuevo de directrices de seguridad de software como parte de su PCI Software Security Framework. Esta actualización tiene como objetivo alinear las mejores prácticas de seguridad de software con el desarrollo de software moderno.

La llegada del favorito digital del momento, el metaverso, añade una vasta superficie de ataque nueva tanto para vulnerabilidades a nivel de código como para la ingeniería social. Y sencillamente no estamos preparados para la batalla en este nuevo terreno de juego que prospera gracias al humo y los espejos.

A medida que los CIO impulsan agresivamente sus capacidades ágiles empresariales, las habilidades de codificación segura se convertirán en un arma de innovación; no tenerlas será un instrumento de destrucción.

Un informe reciente del Centro de Evaluación de Ciberseguridad de Huawei en el Reino Unido identificó problemas de seguridad importantes en los procesos de ingeniería de software de la empresa. Sin embargo, es un problema que tiene solución.

La seguridad de las API es compleja, pero con la formación, la planificación y el enfoque adecuados en las mejores prácticas, incluso las vulnerabilidades más insidiosas pueden mitigarse.

Aunque las iniciativas regulatorias sin duda mejorarán y crecerán con el tiempo, si las organizaciones entran en pánico y se lanzan a implementar formación ahora, podrían encontrarse mal preparadas para el futuro.

Pocas empresas logran implementar DevOps con éxito. Sin embargo, el apoyo, el fomento y la comprensión adecuados en toda la organización pueden transformar sus procesos.

El reciente ataque a los repositorios de GitHub pone de relieve un problema bien conocido en el sector de la seguridad: la mayoría de los desarrolladores no tienen la suficiente conciencia sobre seguridad y los datos valiosos podrían estar en riesgo en cualquier momento.

Existen muchas soluciones para detectar vulnerabilidades en el código, pero la seguridad debe centrarse más en enseñar a los desarrolladores a seguir directrices que eviten que cometan estos errores desde el principio.

Es evidente que la ciberseguridad es importante, pero ¿qué significa realmente en el contexto de las cadenas de suministro?

Con la llegada del RGPD, así como con la revisión de la estrategia tras un ataque multietapa que expuso datos confidenciales de numerosas figuras públicas —además de servidores del gobierno federal alemán—, queda claro que la concienciación y la acción en materia de ciberseguridad son una prioridad para los líderes de la región DACH.

Debemos dejar de ver la seguridad como un obstáculo molesto para la innovación de la empresa.

Existen desarrolladores de todo tipo y de todos los ámbitos, y siempre ha existido un sentido de comunidad en todo lo que hacemos.

La percepción de lo que constituye la programación segura es un tema de debate. Según una investigación reciente realizada en colaboración con Evans Data, este sentimiento quedó patente. La encuesta State of Developer-Driven Security 2022 profundiza en las perspectivas y experiencias clave de 1200 desarrolladores activos, arrojando luz sobre sus actitudes y desafíos en el ámbito de la seguridad.

Nuestra vicepresidenta de Éxito del Cliente, Fatemah Beydoun, presentó recientemente su charla "Mentoring for the future: How we can all do better in fostering female cybersecurity talent" ante una audiencia muy receptiva. Ella ha sido una pieza fundamental para impulsar un cambio positivo en el sector de la ciberseguridad.

Aunque la programación segura debería ser un componente obligatorio en la ingeniería de software a nivel universitario, algunas universidades están liderando el camino al ofrecer una formación de primer nivel y priorizar la seguridad como parte del proceso de desarrollo desde el principio.

Los CISO y CIO creativos e inspiradores tienen el poder de innovar y dar forma a nuestro mundo digital, pero también pueden ser fundamentales para transformar la cultura de seguridad de una organización.

Aunque VxWorks no sea un nombre conocido para el consumidor promedio, este producto de software beneficia a muchas personas como tú y como yo, todos y cada uno de los días. Y ahora, nos enfrentamos a la posibilidad de que cientos de millones de dispositivos que funcionan con VxWorks estén comprometidos.

Debemos trabajar para cambiar la conversación y hacer que la seguridad sea una parte integral de la vida laboral de todo desarrollador. Creo que una de las mejores formas de lograrlo es empoderando a los desarrolladores e involucrándolos en la seguridad a través, por ejemplo, de la gamificación.

Llega esa época especial del año en la que reflexiono sobre nuestra última vuelta al sol y sobre lo que hemos hecho en los últimos 365 días para prepararnos ante un nuevo año de crecimiento, aprendizaje y la inevitable incertidumbre.

Es oficial: unimos fuerzas con Bugcrowd en la lucha por educar, capacitar e iluminar a los desarrolladores sobre la codificación segura.

¿No crees que es hora de darle un cambio de imagen a la seguridad? Es tan sencillo como cambiar el enfoque y hacer que todo sea un poco más positivo (¡por no decir divertido!) para ambas partes, especialmente para el equipo de desarrollo.

No importa si está capacitando a la alta dirección en ciberseguridad o ayudando a desarrolladores a mejorar sus habilidades de programación segura en JAVA o C#; siempre hay espacio para la creatividad, la gamificación y la diversión.

El 23 de junio es una fecha especial en el calendario tecnológico, ya que se celebra el Día Internacional de la Mujer en la Ingeniería. Es nuestra oportunidad para destacar la contribución de las mujeres al desarrollo de software.

El sector de la seguridad informática no es precisamente conocido por sus sentimientos tiernos, sus observaciones caprichosas o sus reflexiones vitales, pero, quizás a medida que envejezco, me encuentro reflexionando sobre el impacto que todos podemos tener en el mundo.

Con el aumento de los ciberataques, que afectan a todo tipo de organizaciones en todos los sectores, la amenaza de sufrir brechas de datos costosas, vergonzosas y perjudiciales para los resultados financieros es muy real. El problema no disminuye; crece como un tumor.

En nuestro sector, muchos expertos en seguridad han comenzado a predecir los temas candentes para el año, pero tras el robo de más de cinco mil millones de registros de datos confidenciales en 2019, pensamos que sería más preciso predecir lo que no sucederá en ciberseguridad en un futuro próximo.

5 lecciones importantes para implementar una formación eficaz en seguridad para desarrolladores

Al definir las responsabilidades de nuestras aplicaciones y software dentro de una jerarquía estricta y aplicar esas políticas con el principio de menor privilegio, podemos asegurar que nuestro software sobreviva y prospere ante el panorama de amenazas actual.

El Plan de Movilización para la Seguridad del Software de Código Abierto representa un paso positivo para la seguridad impulsada por los desarrolladores. Sin embargo, todos debemos hacer un balance y evaluar honestamente si nuestra organización tiene la madurez suficiente —y si nuestros equipos de desarrollo cuentan con el nivel adecuado de concienciación y habilidades en seguridad— para implementar las mejores y más recientes estrategias defensivas.

Al abordar temas candentes como la optimización del presupuesto de AppSec de una organización, además de varias preguntas complejas de la audiencia, el panel de Líderes en AppSec ofreció una sesión matutina inspiradora que ayudará a los especialistas en seguridad a crear programas viables.

A medida que mi hija y la empresa crecen, me doy cuenta de que hay muchas similitudes entre el viaje de una startup y el de ser padre primerizo. Ya estoy en mi cuarto año en ambos casos.

Hay una pregunta que todo desarrollador debe hacerse, ya sea recién graduado o veterano. Y la respuesta es importante.

No estamos recibiendo consejos realistas ni las soluciones más rápidas para combatir el incesante ataque que supone la ciberseguridad moderna. Por supuesto, cada brecha es diferente a su manera y existen numerosos vectores de ataque que pueden explotarse en software vulnerable. Los consejos genéricos viables serán limitados, pero el enfoque de mejores prácticas parece cada vez más defectuoso.

El COBOL heredado, aunque es un lenguaje informático antiguo, sigue siendo eficaz hoy en día. Obtenga más información sobre el desarrollo de aplicaciones seguras en COBOL con Secure Code Warrior.

La seguridad de las API es una preocupación constante para la mayoría de los expertos en seguridad, y es un ámbito en el que debemos adquirir los conocimientos necesarios para defendernos.

A principios de este año, el PCI Security Standards Council presentó la versión 4.0 del Estándar de Seguridad de Datos para la Industria de Tarjeta de Pago (PCI DSS). Aunque las organizaciones no necesitan cumplir totalmente con la versión 4.0 hasta marzo de 2025, esta actualización es la más transformadora hasta la fecha y requerirá que la mayoría de las empresas evalúen (y probablemente actualicen) procesos de seguridad complejos y elementos de su infraestructura tecnológica. Esto se suma a la implementación de formación en concienciación sobre seguridad basada en roles y educación periódica en codificación segura para los desarrolladores.

Preguntas y respuestas de CyberNews con Pieter Danhieux, director ejecutivo y cofundador de Secure Code Warrior.

La Estrategia Nacional de Ciberseguridad de la CISA representa nuestra mejor oportunidad para elevar los estándares de software en todos los ámbitos y, finalmente, marcar el comienzo de una nueva era de desarrolladores con competencias en seguridad.

Aunque parece inevitable que la tecnología de IA tipo LLM cambie nuestra forma de abordar muchos aspectos del trabajo, y no solo el desarrollo de software, debemos dar un paso atrás y considerar los riesgos más allá de los titulares. Y, como compañero de programación, sus defectos son quizás su atributo más «humano».

Anunciamos el cierre de nuestra ronda de financiación de serie C, tras haber recaudado 50 millones de dólares para la siguiente fase de nuestra misión: ayudar a más organizaciones pioneras a aprovechar el potencial de sus equipos de desarrollo para frenar las vulnerabilidades comunes.

Tras el reciente anuncio de nuestra ronda de financiación Serie C, me complace anunciar un nuevo paso en la trayectoria de nuestra empresa. Synopsys, líder en el sector de la seguridad, ha incorporado una novedad a su catálogo de productos: Synopsys Developer Security Training, impulsado por Secure Code Warrior.

El Plan Estratégico de Ciberseguridad impulsa cambios importantes en la forma en que la mayoría de las organizaciones abordan la ciberseguridad, y los desarrolladores se encuentran en una posición única para ayudar a alcanzar esos nuevos objetivos.

Hoy celebramos nuestro noveno aniversario y sigo sintiéndome inmensamente orgulloso y agradecido por nuestros logros y por el lugar que ocupamos en el sector de la ciberseguridad, un ámbito que no deja de cambiar rápidamente.

Se descubrió una vulnerabilidad crítica, CVE-2024-3094, en la biblioteca de compresión de datos XZ Utils utilizada por las principales distribuciones de Linux, introducida mediante una puerta trasera por un actor malintencionado. Este problema de alta gravedad permite la ejecución remota de código, lo que supone riesgos significativos para los procesos de compilación de software. El fallo afecta a las primeras versiones (5.6.0 y 5.6.1) de XZ Utils en Fedora Rawhide, y se insta urgentemente a las organizaciones a implementar parches. El incidente subraya el papel fundamental de los voluntarios de la comunidad en el mantenimiento del software de código abierto y destaca la necesidad de mejorar las prácticas de seguridad y el control de acceso dentro del ciclo de vida del desarrollo de software.

El equipo fundador de Secure Code Warrior ha permanecido unido, guiando el barco a través de cada lección, triunfo y contratiempo durante toda una década. Estamos creciendo y listos para afrontar nuestro próximo capítulo, SCW 2.0, como líderes en gestión de riesgos para desarrolladores.

El "vibe coding" es como una fiesta universitaria, y la IA es el centro de todas las celebraciones: el barril de cerveza. Es muy divertido dejarse llevar, ser creativo y ver hasta dónde puede llegar tu imaginación, pero después de unos cuantos tragos, beber (o usar la IA) con moderación es, sin duda, la solución más segura a largo plazo.

¿El mundo de la ciberseguridad está avanzando demasiado rápido con la IA agente? El futuro de la seguridad de la IA ya está aquí, y es hora de que los expertos pasen de la reflexión a la realidad.

2025 fue un año importante para la IA, la ciberseguridad y SCW. Afronto 2026 con una tranquila confianza y el optimismo que solo brinda ver cómo el trabajo duro da sus frutos.

Hoy me complace anunciar la próxima asociación estratégica entre Secure Code Warrior y KnowBe4. KnowBe4 es un líder mundial reconocido en la gestión integral de riesgos humanos y de IA agente, lo que los convierte en el socio perfecto para ayudarnos a distribuir conocimientos fundamentales de seguridad a organizaciones de todo el mundo.

El contenido de Secure Code Warrior disponible a través de KnowBe4 ayuda a los equipos técnicos a desarrollar conocimientos sobre codificación segura y gobernanza de IA mediante un aprendizaje estructurado que cubre los riesgos del OWASP Top 10, el desarrollo asistido por IA y las prácticas modernas de codificación segura.

Adaptive Learning conecta SCW Trust Agent con toda nuestra plataforma de aprendizaje, garantizando que la formación esté perfectamente alineada con la actividad de los desarrolladores en tiempo real.

Secure Code Warrior ha publicado hoy un nuevo informe técnico que presenta un modelo de adopción de IA prescriptivo y direccional, diseñado para que los líderes de seguridad identifiquen su etapa de adopción y avancen en el control de los riesgos de seguridad de la IA.

Desde el autocompletado con IA hasta los agentes autónomos: explore cómo evoluciona el desarrollo de software y qué significa para la seguridad, la gobernanza y su equipo.