El futuro de la ciberseguridad: lo que NO sucederá el próximo año

Una versión de este artículo apareció originalmente en Dark Reading. Se ha actualizado aquí para su distribución.

En nuestro sector, muchos expertos en seguridad tienen la costumbre de predecir los temas candentes para el año que comienza (y yo no soy la excepción), pero tras el robo de más de cinco mil millones de registros de datos confidenciales en 2019, pensé que sería más preciso predecir lo que no sucederá en ciberseguridad en 2020, ni tampoco en un futuro próximo.

Me senté con mi cofundador, Matias Madou, y nos reímos un poco preparando esta lista. Pretende ser una perspectiva desenfadada, pero invita a reflexionar sobre el largo camino que queda por recorrer para proteger a todas las organizaciones frente a los ciberataques malintencionados.

Ahora, miremos nuestra bola de cristal y revelemos nuestras predicciones. No veremos:

La erradicación de las inyecciones SQL de todo el software

Creo que todos los profesionales de la seguridad del planeta han estado esperando el día en que ya no tengan que perder el tiempo identificando errores de inyección SQL, ad nauseam.

Lamentablemente, llevamos más de veinte años esperando ese día y seguiremos esperando al menos uno más. Es la vulnerabilidad que, como una cucaracha, ha sobrevivido a todas las tácticas empleadas hasta ahora para erradicarla definitivamente.

Es frustrante, por decir lo menos, ya que el remedio se conoce desde hace prácticamente el mismo tiempo. Sin embargo, la priorización de las mejores prácticas de seguridad en cada etapa del desarrollo de software (especialmente desde el principio) sigue siendo demasiado baja y, desde luego, inadecuada ante el enorme aumento de la producción de código desde el descubrimiento de la inyección SQL.

(¿Quieres saber más sobre los patrones de codificación que pueden conducir a una inyección SQL? Acepta el reto aquí).

Desarrolladores y AppSec convirtiéndose en mejores amigos

Ah, los desarrolladores y el equipo de AppSec. ¿Se llevarán bien alguna vez o están destinados a una vida de rivalidad como Rocky contra Apollo? La respuesta corta es sí, pueden llevarse bien, pero ahora mismo sus prioridades suelen ser muy diferentes.

Cuando se encuentran en un entorno de proyecto, no están en la misma sintonía y chocan justo en el último obstáculo: cuando los especialistas en AppSec examinan minuciosamente el código de un desarrollador. El desarrollador ha creado funciones hermosas y funcionales (que es su máxima prioridad) que se desmoronan si se descubren vulnerabilidades de seguridad. El gurú de la seguridad del software, en efecto, ha dicho que su creación es un desastre y ha obligado al desarrollador a volver atrás y corregir los errores, lo que a menudo retrasa el despliegue.

En la situación actual, esto no se solucionará hasta que los desarrolladores y los equipos de AppSec trabajen por un objetivo común: la creación de software seguro. No va a ocurrir como proceso predeterminado en 2020 (y en muchas empresas, ni siquiera años después), pero con la llegada del movimiento DevSecOps y más allá, los desarrolladores están reconociendo la necesidad de mejorar sus competencias en seguridad y trabajar con un estándar más alto; uno que incluya objetivos de seguridad desde el principio.

Un exceso de oferta de profesionales de la seguridad

En 2020, 2025, 2030... es casi seguro que sufriremos escasez de personal a nivel mundial en lo que respecta a la experiencia en seguridad.

Según un informe de ISC(2), hay alrededor de 2,93 millones de puestos de ciberseguridad sin cubrir actualmente. Es casi seguro que esto empeorará antes de mejorar, y no hay ningún ejército de seguridad oculto esperando para acudir a nuestro rescate en los próximos años.

En el futuro inmediato, nuestra mejor oportunidad para abordar esta escasez de competencias es hacer de la seguridad una prioridad organizativa y mejorar las competencias de nuestra plantilla actual, lo que significa dotar a los desarrolladores de la formación y las herramientas necesarias para programar de forma segura, así como crear una cultura de seguridad en toda la empresa. La mayoría de los equipos actuales de AppSec probablemente estén luchando contra viejos errores de seguridad bien conocidos (véase el punto 1 anterior). Si nos aseguramos de que no tengan que dedicar tiempo y esfuerzo valiosos a solucionar estos problemas comunes, tendrán más capacidad para centrarse en problemas de seguridad complejos (en este momento, es probable que abarquen problemas con las API, así como la creación de herramientas que puedan adaptarse a los procesos de desarrollo).

Menos producción de código

El mundo se está digitalizando a un ritmo asombroso y la demanda social no va a flaquear. Cada año se escriben aproximadamente 111 mil millones de líneas de código, y esta cifra solo crecerá y se volverá más aterradora (al menos para los equipos de AppSec, que ya están desbordados).

El aumento del volumen de código incrementa inevitablemente las posibles vulnerabilidades de seguridad, por lo que cualquier idea de que 2020 sea un año más lento para la producción de software y las brechas es tan realista como pensar que se celebrarán carreras de unicornios en el Grand National.

Una reducción en el robo de registros de datos

Como he dicho, más código significa más vulnerabilidades, y esto ofrece más oportunidades para que los atacantes encuentren la forma de robar datos.

En 2019 se robaron al menos 5300 millones de registros en todo el mundo, y la defensa contra los atacantes sigue siendo un esfuerzo desesperado y reactivo. Puede que esta cifra no se duplique en los próximos doce meses, pero creo que estará cerca.

A modo de ejemplo, veamos las tendencias históricas de los datos robados reportados en Estados Unidos año tras año:

Si observamos el periodo entre 2005 y 2010, se aprecia un aumento constante con ligeras fluctuaciones entre años. Esto es interesante, pero un factor importante a destacar es que en 2009 hubo un marcado descenso en el número de brechas reportadas en comparación con 2008. Sin embargo, hubo un aumento claro en el número de registros robados a pesar de haber menos brechas.

Los registros de datos son el nuevo oro; tienen valor para un atacante. El gráfico refleja una tendencia general al alza en las brechas y en el número de registros robados, con un pico enorme en 2017. El número de ataques tendió a la baja en 2018, quizás debido a medidas de seguridad más estrictas, pero la cantidad de registros obtenidos fue la más alta registrada hasta la fecha. Los ciberataques serán cada vez más sofisticados y frecuentes, y no van a desaparecer pronto. Además, es poco probable que veamos un descenso a nivel mundial en 2020, ya que las empresas producen software más rápido que nunca. Ellas son las guardianas de nuestros datos y deben trabajar de forma más inteligente para proteger nuestra privacidad.

Los desarrolladores exigen una formación en seguridad basada en vídeo más larga y frecuente

Si hay algo que les encanta a los desarrolladores es ver horas y horas de vídeos de formación informática (CBT). De hecho, es tal la demanda de este contenido cautivador que Netflix anunciará una categoría completamente nueva dedicada a vídeos genéricos de formación en seguridad.

Pues no. Ni ahora, ni en 2020, ni nunca.

Para los desarrolladores, su introducción a la seguridad suele producirse a través de la formación de cumplimiento normativo en el lugar de trabajo. La programación segura rara vez forma parte de su educación superior, y la formación en el puesto de trabajo puede ser su primer contacto con la seguridad del software. Y, como era de esperar, a menudo no les gusta.

Para que los desarrolladores se tomen en serio la seguridad —y para que la formación sea útil—, debe ser relevante, atractiva y contextualizada a sus puestos de trabajo. La formación de cumplimiento puntual, o un flujo interminable de vídeos aburridos, no es el camino para ganarse a un desarrollador, y no reducirá las vulnerabilidades.

Si quiere que el colectivo de desarrolladores tenga alguna posibilidad de convertirse en una fuerza defensiva consciente de la seguridad frente a las vulnerabilidades comunes, haga que trabajen con ejemplos de código real, del tipo que encontrarían en sus tareas diarias. Haga que el aprendizaje sea breve, fácil de asimilar y foméntelo con un toque divertido. Para que una cultura de seguridad prospere, debe ser positiva, atractiva y desarrollar habilidades y soluciones reales en toda la organización.

¿Quién sabe? Con la formación adecuada, un desarrollador podría descubrir a su experto en seguridad interior y difundir los beneficios de la programación segura por todas partes.

Cero muertes por incidentes relacionados con la ciberseguridad

Vale, esto claramente no es ninguna broma. He dicho muchas veces que al mundo simplemente no le importará la ciberseguridad hasta que la gente empiece a morir a causa de un incidente relacionado con un ciberataque.

El problema es que esto ya ha ocurrido y pasó prácticamente desapercibido.

Los ciberataques contra hospitales estadounidenses se han relacionado con un aumento de las muertes por infarto en 2019. Por supuesto, los atacantes no causaron los eventos cardíacos letales en los pacientes, pero sus ataques de ransomware a los sistemas y equipos hospitalarios ralentizaron los tiempos de tratamiento para los cuidados críticos.

Este estudio de la Universidad de Florida Central analizó 3000 hospitales, 311 de los cuales habían sufrido una brecha de datos. En aquellos afectados por un incidente de seguridad, se tardó una media de 2,7 minutos más en realizar un electrocardiograma a las víctimas de un posible infarto; probablemente debido a cambios en los procedimientos, nuevas medidas de seguridad implementadas y problemas de soporte informático que consumieron más tiempo que antes. Identificar y tratar un infarto es una carrera contra el tiempo, y esos hospitales registraron una media de 36 muertes adicionales por cada 10 000 infartos al año.

Esto es impactante y, lamentablemente, creo que empeorará antes de mejorar. Esto debería servir como un crudo recordatorio de que todos debemos hacer más para mejorar la seguridad del software y convertirla en una prioridad en cada empresa.

Menos fotos de archivo de "hackers con capucha"

Si escribes "hacker" en un buscador de imágenes, inevitablemente encontrarás miles de fotos de una figura encapuchada y sin rostro frente a un portátil, o alguien con una máscara de Guy Fawkes.

Esta imagen estereotipada del hacker resulta muy cansina y, bueno, hace que todos parezcan los malos. Hay muchos profesionales de la seguridad, hombres y mujeres, y las connotaciones negativas que rodean a la imagen del "hacker" nos perjudican a todos.
¿Creo que esto cambiará pronto? Probablemente no, pero es bonito soñar. Por ahora, es importante recordar que la seguridad no tiene por qué dar miedo.