En busca del oro: los estándares de código de seguridad se disparan en Paysafe

Paysafe ayuda a convertir las transacciones financieras en experiencias basadas en la confianza, y saben que proporcionar una plataforma segura y fluida que procese más de 152 000 millones de dólares en volumen de transacciones anualizadas requiere mucho más que cumplir con los estándares básicos de cumplimiento. Durante los últimos cuatro años, Paysafe ha seguido apostando por un enfoque holístico de la gestión de riesgos para desarrolladores mediante su asociación con Secure Code Warrior, y su programa de seguridad de las aplicaciones ha demostrado tener un impacto positivo en las necesidades empresariales generales, entre las que se incluyen:

‍
El desafío: elevar los estándares de código seguro en Paysafe

Como proveedor multinacional de pagos en línea, Paysafe siempre ha considerado la codificación segura como una prioridad estratégica que va más allá del simple cumplimiento de los requisitos de cumplimiento de PCI DSS. Si bien las sesiones formales de formación presencial dirigidas por expertos y las evaluaciones de habilidades formaron parte de sus primeros esfuerzos, el objetivo de Paysafe siempre ha sido ampliar continuamente el alcance y la escala de su iniciativa de codificación segura, garantizando el mejor enfoque de su clase en materia de seguridad de las aplicaciones y que los ingenieros escriban código seguro desde el principio.

«Para nosotros, nunca se ha tratado simplemente de marcar una casilla en la que hemos impartido formación. Nuestro objetivo es mantener a nuestro personal al tanto de los avances en curso. Siempre nos esforzamos por ser mejores y hacer más. Queremos que los equipos de ingeniería y los equipos de seguridad colaboren. Los equipos que pueden desarrollarse por sí mismos están más informados y diseñan un código mejor», afirma Boyan Hristov, socio de desarrollo de personal de Paysafe.

La visión de Paysafe era cambiar la seguridad hacia la izquierda, desarrollando ingenieros conscientes de la seguridad que incorporaran prácticas de codificación seguras en cada etapa del ciclo de vida del desarrollo del software. Para ello, necesitaban un programa escalable, atractivo y continuo que no solo proporcionara pruebas de auditoría para cumplir con la normativa PCI, sino que también impulsara un cambio cultural profundo y duradero. Esto incluía experiencias de aprendizaje basadas en juegos, torneos regulares y formación continua para ayudar a los desarrolladores a interactuar con ellos e impulsarlos a mantenerse a la vanguardia de las tendencias de seguridad del sector.

La solución: un enfoque vanguardista con Secure Code Warrior

Paysafe adoptó la plataforma de gestión de riesgos para desarrolladores de Secure Code Warrior para ayudar a ampliar las prácticas de codificación segura, contratar a los ingenieros e integrar la seguridad en las primeras etapas del ciclo de vida del desarrollo. Su programa Security Champions ha crecido con el tiempo, y Secure Code Warrior desempeña un papel fundamental a la hora de lograr los objetivos de prevención de riesgos cibernéticos.

Paysafe permitió a los desarrolladores interactuar de forma orgánica con la plataforma, fomentando actividades ludificadas, como los torneos, con atractivos premios para que los desarrolladores se involucraran y entusiasmaran. Cuando el programa se lanzó inicialmente, hicieron que algunas evaluaciones fueran obligatorias para cumplir los requisitos de cumplimiento de la PCI y ofrecieron otros contenidos y actividades como opción.

A medida que el programa ganaba impulso, el liderazgo brindó apoyo adicional, alineando aún más los objetivos de los equipos de desarrollo y seguridad de la información. Esto permitió al equipo de Paysafe llevar el programa a un nivel superior e introducir programas de certificación más formales con indicadores clave de rendimiento específicos e incentivos para alcanzar el éxito.

La siguiente fase del programa se centró en los 10 temas principales de OWASP, estándares de la industria, con etapas de certificación que permiten a los desarrolladores avanzar a través de varios niveles de rendimiento. Ahora, el programa ha alcanzado un nuevo nivel de escala y madurez, lo que ha elevado los estándares básicos para los desarrolladores en general, desde los empleados a tiempo completo hasta los trabajadores temporales.

‍«Valoramos enormemente la asociación que hemos establecido con SCW durante los últimos cuatro años. Juntos hemos podido impartir formación específica sobre seguridad de las aplicaciones y fomentar relaciones más sólidas entre nuestros equipos de seguridad e ingeniería, basándonos en el compromiso compartido de desarrollar código seguro desde el principio y lo antes posible en el SDLC», afirma Alan Osborne, director de seguridad de la información de Paysafe.

Con el apoyo y la alineación continuos del CISO, el CTO y los líderes ejecutivos de ingeniería, Paysafe se ha asociado con Secure Code Warrior para hacer evolucionar continuamente su programa. En la actualidad, el programa está estrechamente alineado con las necesidades empresariales, proporciona resultados tangibles y sigue siendo relevante y atractivo para los equipos internos.

Resultados: Un nuevo estándar para el código seguro en toda la organización

Las iniciativas de seguridad de las aplicaciones de Paysafe han mejorado desde el inicio de su andadura hace cuatro años. Gracias a la asociación con Secure Code Warrior, Paysafe ha demostrado el enorme impacto que un enfoque holístico de la gestión de riesgos para desarrolladores puede tener en toda la organización.

El análisis de Paysafe de los datos de escaneo de SAST mostró que las aplicaciones desarrolladas por equipos capacitados con Secure Code Warrior mostraron una reducción notable de las vulnerabilidades detectadas durante los escaneos de desarrollo iniciales. El número de vulnerabilidades detectadas en el primer análisis disminuyó aún más en los equipos en los que los desarrolladores participaban más activamente en la plataforma SCW.

El equipo con el nivel más alto de actividad y participación en Secure Code Warrior observó una reducción significativa, año tras año, de las vulnerabilidades encontradas durante las primeras fases de desarrollo, lo que pone de relieve el valor añadido de la formación continua y basada en habilidades para reforzar los hábitos de codificación segura. La creación de código seguro desde el principio les ahorró a su equipo y a otros equipos del SDLC una cantidad considerable de tiempo. Se ahorraron miles de horas de desarrollo al eliminar la necesidad de identificar, registrar y volver a trabajar las vulnerabilidades del código, impidiéndolas durante las primeras etapas del desarrollo. Esto se tradujo en una mejora del 45% en la productividad de los desarrolladores, lo que ayudó a demostrar los beneficios de mejorar las habilidades de código seguro y a mejorar el proceso de desarrollo diario. Una situación en la que todos ganan tanto para los equipos de ingeniería como para los de AppSec.

La dedicación de Paysafe a proteger el código les ha ayudado a destacar y a conseguir el cuarto puesto en el ranking SCW Trust Score^® dentro del índice de referencia de servicios bancarios y financieros. Si bien se trata de un logro del que están orgullosos, el compromiso de Paysafe con las iniciativas de código seguro no termina ahí. Alentados por los resultados que han obtenido gracias a la asociación con Secure Code Warrior, Paysafe busca mejorar aún más el programa.

«Secure Code Warrior nos ha ayudado a aumentar la productividad de los desarrolladores, acelerar nuestra capacidad de lanzar productos y mejoras al mercado y reducir significativamente los costos y los riesgos con el tiempo», afirma Alan Osborne, director de seguridad de la información de Paysafe. «Hemos demostrado que la programación segura, impulsada por la mejora de la formación de los desarrolladores, no solo es algo que está bien tener, sino que es una inversión comprobada que ofrece un verdadero retorno de la inversión y, al mismo tiempo, refuerza las habilidades, la experiencia y las capacidades de nuestros desarrolladores».

A continuación, Paysafe tiene como objetivo hacer más operativos sus estándares de seguridad mediante la incorporación de medidas adicionales de gobernanza y gestión de riesgos en su proceso, y SCW Trust Agent profundiza su asociación de larga data con Secure Code Warrior y demuestra su compromiso con la excelencia en ciberseguridad.