Avanzando con el NIST: nuestra posición liderada por el ser humano sobre el futuro de la ciberdefensa

El reciente Orden ejecutiva de ciberseguridad de la Administración Biden sin duda ha hecho hablar a la industria de la seguridad, especialmente a aquellos que buscan convencer a los desarrolladores de la importancia de aplicar las mejores prácticas de codificación segura en su trabajo diario. Por primera vez, los desarrolladores que trabajan en el software que utiliza el gobierno federal deben tener conocimientos de seguridad comprobados y cumplir con las directrices nuevas y evolucionadas.

Esto marca un cambio positivo en el status quo de la ciberdefensa y, finalmente, hace que la mejora adecuada de las habilidades de los desarrolladores sea parte de la conversación. Si bien estas políticas se centran en el gobierno de EE. UU., ofrecen una oportunidad global para que las organizaciones aborden y actualicen los estándares de seguridad actuales, desde los desarrolladores hasta el análisis de la seguridad de las cadenas de suministro de software.

Recientemente, el NIST solicitó comentarios públicos para informar sus próximas actualizaciones de la legislación HIPAA, entre otras, y esta fue una oportunidad imperdible para nosotros de unir la experiencia de nuestra empresa en documentos de posicionamiento que puedan ayudar a informar sobre un enfoque de ciberseguridad dirigido por personas más seguro y efectivo que ayude a las organizaciones a aprovechar sus equipos para obtener mejores resultados.

Como organización impulsada por expertos, tenemos la suerte de contar con algunos de los profesionales de ciberseguridad más dedicados y exitosos que trabajan con nosotros, incluidos el candidato a doctorado Pieter de Cremer y el Dr. Brian Chess, que forma parte de nuestro Consejo Asesor Técnico. Los tres nos pusimos manos a la obra para presentar formalmente documentos de posicionamiento al NIST, en los que destacábamos las maneras en que nuestro enfoque de la mejora de las habilidades de los desarrolladores y la seguridad preventiva en la fase de creación de software podría tener un impacto positivo en los estándares de ciberseguridad en el futuro.

Una vía de desarrollo segura, pavimentada para los desarrolladores

Las herramientas de escaneo de vulnerabilidades, el monitoreo y otras formas de automatización de la seguridad son cada vez más frecuentes, y figuran tanto en la nueva Orden Ejecutiva como en las directrices del NIST. Son una parte cada vez más esencial de un programa de seguridad moderno, pero la historia y el presente demuestran que las herramientas de escaneo, en particular, detectan vulnerabilidades en el software con una eficiencia cada vez mayor, pero esto por sí solo no tiene ningún efecto a la hora de reducirlas o, de hecho, de mejorar la seguridad desde el principio.

Una pila tecnológica engorrosa que distrae y ralentiza el flujo de trabajo de los desarrolladores es una de las razones fundamentales por las que los desarrolladores se desvinculan de la seguridad y la ven de forma negativa. Sin embargo, si los desarrolladores tuvieran un camino pavimentado para un desarrollo seguro, uno que se adaptara no solo a la tecnología, sino también a los lenguajes, los marcos y los objetivos de desarrollo específicos del proyecto, incorporar la seguridad en el proceso de desarrollo desde el principio, con la menor interrupción posible de su productividad, es ideal, lo que se traduciría en una reducción significativa de las vulnerabilidades comunes con el tiempo.

Para leer nuestro documento de posicionamiento del NIST en su totalidad, descárguelo ahora:

Marco de certificación para prácticas de desarrollo seguras: el eslabón perdido (actual)

Hasta la fecha, no existe una certificación formal para verificar las habilidades de codificación segura y las mejores prácticas. Este ha sido un descuido de la industria durante mucho tiempo, y nuestra posición es que es esencial para el futuro, con una ciberdefensa mejorada y un desarrollo seguro.

Sabemos que hay muchas formas de formación en seguridad dirigidas a los desarrolladores, pero si el volumen de filtraciones de datos a gran escala, ciberataques y código de mala calidad que existe es un indicio, no se trata de crear desarrolladores conscientes de la seguridad y no están equipados con los conocimientos necesarios para hacer mella en un problema que no hace más que empeorar.

La mejora de las habilidades de los desarrolladores requiere herramientas y educación que sean relevantes para el trabajo diario, contextuales, breves (pero frecuentes) y les permitan aprovechar los conocimientos existentes en los lenguajes y marcos que realmente utilizan. La formación genérica no basta, y esto debe quedar muy claro en la legislación y en los organismos industriales, como el NIST.

El Marco NICE es más que adecuado para elaborar directrices de certificación exhaustivas que utilicen activamente metodologías que funcionen y que sean de mayor interés y relevancia para los desarrolladores y su trabajo. La alineación con este marco institucional reconocido ayuda a estandarizar las prácticas que realmente marcan la diferencia y proporciona vías más concretas para que las organizaciones las sigan.

Para leer nuestro segundo documento de posicionamiento del NIST en su totalidad, descárguelo ahora:

El factor humano en la ciberseguridad a menudo se olvida, y es hora de que trabajemos para encontrar soluciones humanas para los problemas humanos, como las vulnerabilidades comunes recurrentes. Los errores de hace décadas ya no deberían hacer que nos engañemos, pero será necesario el respaldo de los gobiernos mundiales para cambiar el status quo y lograr un impacto positivo y mensurable.
‍
¿Está preparado para certificar a sus desarrolladores? Ha venido al lugar correcto. Echa un vistazo a nuestro Plataforma de aprendizaje hoy.