Convertir el aburrido cumplimiento del PCI-DSS en un ejercicio significativo para todos: Parte 2: Concientización de los CISO y los desarrolladores

Esta es la segunda parte de una miniserie sobre el cumplimiento de PCI-DSS dentro de una organización. En este último capítulo, detallamos cómo los directores de tecnología de la información y los directores de seguridad informática pueden liderar desde arriba para reducir el riesgo cibernético y hacer que el proceso sea fluido, exitoso... y tal vez un poco divertido para los desarrolladores. (¿Te perdiste la primera parte? Compruébalo aquí y descubra cómo los especialistas de AppSec pueden aprovechar esta oportunidad para obtener mejores resultados de seguridad).

Las mejores prácticas del PCI-DSS son, sin duda, una responsabilidad compartida, pero los CISO y los CTO pueden aprovechar su considerable influencia para crear un programa de seguridad próspero y positivo desde arriba. Son el símbolo de la confianza en materia de ciberseguridad y del sentimiento afín de los usuarios finales, y centrarse en la toma de conciencia desde el principio tiene un poderoso efecto de goteo, ya que ayuda a los desarrolladores y a los profesionales de AppSec a obtener los conocimientos, las herramientas y el apoyo que necesitan para contribuir a una postura de seguridad sólida en la empresa.

Es importante cumplir con las normas, pero cuando todos están de acuerdo con el «por qué», ven los resultados y se nutren de la manera correcta, un programa puede trascender la legislación y convertirse en algo natural.

Los CTO y los CISO desempeñan un papel en la creación de confianza mutua

¿Has estado en un sitio recientemente y te lo has pensado dos veces antes de entregar los datos de tu tarjeta de crédito? A menos que se trate de la aplicación web que, aunque parezca poco fiable, sirve para hacer pedidos en línea en tu pizzería local, es probable que esto no sea algo con lo que te encuentres muy a menudo, especialmente cuando se trata de grandes empresas y nombres muy conocidos del comercio minorista online.

A menos que revelen una violación de datos, por supuesto.

El gigante mundial del alojamiento, Marriott, acaba de revelar su segunda infracción en el espacio de tres años, lo que provocó el robo de 5,2 millones de registros de clientes. Esta vez, todavía no parece que la información de pago haya formado parte del atraco, aunque la catastrófica brecha que cometieron en 2018 se solucionó ese problema; 383 millones de clientes se vieron comprometidos, con 5 millones de números de pasaporte no cifrados robados, así como 8 millones de números de tarjetas de crédito.

Si la confianza de los clientes en la marca Marriott no era ya tan baja como era posible, diría que está cerca de tocar fondo pronto. Este es el tipo de cosas que mantienen despiertos a los CISO por la noche, ya que se sienten como blancos fáciles en la guerra contra las ciberamenazas. Basta con echar un vistazo a Equifax, Yahoo, Sony y Target: estas son solo algunas de las grandes empresas que han sufrido infracciones a gran escala, lo que representa el robo de miles de millones de registros de datos, daños por cientos de miles de millones de dólares y agujeros con forma de cliente que se han abierto en sus corazones económicos. Es un desastre para la empresa (Target informó de un Caen beneficios de 440 millones de dólares en el trimestre siguiente a la violación de la ley en 2014), y aunque no se suele responsabilizar a personas individuales (al fin y al cabo, la seguridad del software debería ser una responsabilidad compartida), es algo que no querrías exactamente en un currículum que, por lo demás, sería brillante si trabajabas para estas organizaciones en ese momento.

La falta de un programa de seguridad sólido para lograr el cumplimiento en una organización que se ocupa de los pagos, los datos confidenciales y el oro intangible que es la confianza positiva de los clientes es un indicador de que una empresa no solo está en riesgo, sino que está muy rezagada en materia de innovación.

Todos deberían preocuparse por los problemas de confianza en la relación entre el cliente y la organización.

Además del estrés y la calamidad a los que se enfrentan los departamentos de TI, desarrollo y seguridad después de una violación, el factor de confianza es un elemento importante para el éxito a largo plazo de una empresa nueva o para el crecimiento continuo de una empresa ya establecida. Lo obvio es que puedes perder tu puesto de trabajo si la empresa se enfrenta a una recesión económica como resultado de la pérdida de la fe.

Las regulaciones del PCI-DSS obligan a las empresas a rendir cuentas y, como se indicó anteriormente, ignorar estos planes bien diseñados tiene enormes implicaciones, pero solo son tan buenas como el programa de seguridad que se esté implementando y las personas que trabajan en él. Si los tomas en serio, te mantienes alerta y eres un ejemplo para los demás, entonces te estás diferenciando de una manera muy positiva.

La conciencia lo es todo.

Un programa de concienciación sobre seguridad que fracase hará que la mayoría de los intentos por cumplir con la PCI sean casi inútiles. La concienciación en materia de seguridad en toda la organización constituye la parte más importante de las directrices de mejores prácticas; incluso ofrecen sus propios módulos de formación sobre cómo se puede implementar esto en funciones interfuncionales y cómo se ve esto en las empresas que lo están haciendo bien.

A medida que avanzamos hacia DevSecOps como el estándar de referencia actual en el desarrollo de software seguro, en el que la seguridad como responsabilidad compartida es fundamental, las empresas deben dedicar tiempo, dinero y esfuerzo a garantizar que todos, incluidos los proveedores y contratistas, sean conscientes de la seguridad y sigan las mejores prácticas.

Un desarrollador que se preocupa por la seguridad es un desarrollador que cumple con las normas (y lograrlo no tiene por qué ser aburrido)

Cuando se trata de convertirse en un desarrollador PCI-DSS «certificado», no hay muchas opciones obvias. ¿Por qué? Probablemente porque no puede ser un ejercicio «único».

El AVISPA La organización es una de las mejores del planeta cuando se trata de aprender a frustrar las vulnerabilidades más comunes, y sus 10 principales figuran formalmente en las directrices de PCI-DSS para desarrolladores. Sin embargo, mantener la seguridad como prioridad y perfeccionar las habilidades requiere tiempo y un esfuerzo continuo. Y nadie quiere que esto sea aburrido y que suponga una pérdida de esfuerzo.

Una cultura de seguridad positiva no es algo «bueno» en una organización; si se toman la seguridad en serio, entonces tiene que formar parte del funcionamiento diario de la empresa.

Los desarrolladores están en primera línea de batalla cuando se trata de detener las vulnerabilidades. ¿Están recibiendo el soporte, las herramientas y la formación para cumplir con su parte del acuerdo de seguridad en cumplimiento del PCI-DSS?

La verdad es que la formación adecuada es más fluida; no debería parecer una conferencia y debería ser muy relevante para el trabajo que se realiza todos los días. Además, este tipo de formación práctica es una oportunidad para mejorar sus habilidades, un cambio profesional que solo tiene aspectos positivos para los desarrolladores que se toman en serio la tarea de detener las vulnerabilidades y trabajar con el resto del equipo para producir un código de calidad superior.

¿Quiere poner a prueba sus habilidades de codificación segura ahora mismo? Elige tu misión.