¿Un futuro más brillante para DevSecOps? Está más cerca de lo que crees

Tuve el placer de contribuir junto a varios expertos en un artículo muy interesante de Suparna Goswami en Data Breach Today. Como ella señala, existe un consenso generalizado en que abordar la seguridad desde las primeras etapas del ciclo de vida de desarrollo de software (SDLC) es fundamental para prevenir brechas de datos, pero es más fácil decirlo que hacerlo. Hay ideas fantásticas de varios CISO, así como resultados de encuestas recientes que muestran que el mayor desafío de seguridad de aplicaciones en los flujos de trabajo de integración y entrega continua (CI/CD) es: "la falta de herramientas de pruebas de seguridad automatizadas e integradas".

En mi opinión, DevSecOps debería comenzar en el momento en que el desarrollador empieza a escribir código. Para que DevSecOps funcione eficazmente, debe empezar por dotar a los desarrolladores de la formación, las habilidades y las herramientas necesarias para escribir código seguro desde el principio. Si se enseñara a los desarrolladores a escribir código seguro en tiempo real, o mejor aún, a evitar la creación de muchos errores desde el origen, los responsables de seguridad y las herramientas de prueba podrían centrarse en detectar y corregir las vulnerabilidades realmente complejas y difíciles de manera oportuna.

Existen muchas soluciones para detectar vulnerabilidades en el código, pero la seguridad debe centrarse más en enseñar a los desarrolladores a seguir directrices que eviten que cometan estos errores desde el principio.

Se debe ayudar a los desarrolladores a escribir código seguro y a corregir la gran mayoría de los errores que cometen mientras escriben, y me enorgullece decir que la tecnología para lograrlo ya existe. Al igual que las herramientas de corrección ortográfica y gramatical ayudan a los escritores, los desarrolladores ahora pueden recibir asistencia en tiempo real para escribir de forma segura, siguiendo el lenguaje y la política de seguridad pertinentes. En mi opinión, este es el futuro más sencillo y brillante para DevSecOps.

Eso es exactamente lo que ofrece Sensei de Secure Code Warrior: actúa como un coach de seguridad en tiempo real para los equipos de desarrollo, controlado por AppSec, asegurando que las directrices de seguridad acompañen al desarrollador en todo momento. Les ayudará a programar de forma más consistente, segura y rápida. En nuestro programa de adopción temprana, hemos visto que reduce el tiempo de resolución de problemas de un promedio de tres horas por error a solo diez minutos.

Necesitamos utilizar herramientas de seguridad capaces de trabajar al ritmo de DevSecOps, con eficiencia y, lo más importante, con precisión. Es hora de aspirar a un estándar más alto de seguridad de software.

Existen muchas soluciones para detectar vulnerabilidades en el código, pero la seguridad debe centrarse más en enseñar a los desarrolladores a seguir directrices que eviten que cometan estos errores desde el principio.