¿Son sus desarrolladores la primera línea de riesgo o de defensa? Evalúe a su empresa con nuestra Lista de Verificación de Codificación Segura.

Si observamos cualquier organización, ya sea pública o comercial, hay dos cosas que podemos garantizar. En primer lugar, sus productos y servicios son cada vez más digitales, lo que significa que implican que los desarrolladores de software escriban líneas de código. En segundo lugar, estas empresas digitales están bajo la presión de competidores tradicionales y no tradicionales, operando en un mundo más dinámico y global.

En este entorno, los CIO se han convertido en los nuevos innovadores y ocupan posiciones de poder e influencia. Sin embargo, la fuerte presión por acelerar el tiempo de comercialización, mejorar la calidad y aumentar la flexibilidad ha dado lugar a equipos de desarrollo complejos y distribuidos, centrados en el desarrollo rápido de características y funciones sin ser conscientes de las vulnerabilidades que podrían estar creando.

Más que nunca, se requiere una nueva forma de trabajar. Solo hay que ver el daño nuclear que sufrió Equifax tras su reciente brecha, que fue resultado de una codificación insegura. Los CIO y CISO deberían pensar detenidamente si sus equipos de desarrollo son la primera línea de riesgo o si son los defensores de la seguridad de la empresa, su verdadera "primera línea de defensa".

He creado esta Lista de verificación de codificación segura para ayudar a los CIO y CISO a considerar si han preparado a sus equipos de desarrollo para ser campeones en codificación segura que puedan ayudarles a innovar con código más rápido, mejor y más seguro.

1. ¿Su ejecutivo de nivel C reconoce que la seguridad de red tradicional no es suficiente?

Asegurar la capa de red utilizando medidas de seguridad tradicionales ya no es suficiente y rara vez tuvo éxito, incluso contra hackers semiprofesionales. Entre muchos informes coincidentes, el Informe de Investigaciones de Brechas de Datos de 2017 de Verizon señala que el 35 por ciento de las brechas de datos actuales son causadas por vulnerabilidades en aplicaciones web. La seguridad de las aplicaciones web es tan importante como la seguridad de la red.

2. ¿Está pensando en la seguridad desde el principio?

Las herramientas actuales de seguridad de aplicaciones se centran en moverse de derecha a izquierda en el Ciclo de Vida de Desarrollo de Software (SDLC). Este enfoque apoya la detección y la reacción, lo que significa que los equipos de seguridad detectan las vulnerabilidades en el código escrito y reaccionan para corregirlas. Según el Instituto Nacional de Estándares y Tecnología (NIST), es 30 veces más costoso detectar y corregir vulnerabilidades en el código comprometido que prevenirlas al escribir código en el IDE. Por no mencionar los retrasos en el tiempo incurridos en la resolución del problema. Los campeones de código seguro comienzan en el extremo izquierdo del SDLC, con un enfoque en capacitar continuamente a sus desarrolladores en codificación segura, para que puedan ser la primera línea de defensa en su organización, previniendo vulnerabilidades desde el principio.

3. ¿Realmente desarrolla habilidades de seguridad en lugar de solo proporcionar conocimientos?

La mayoría de las soluciones de formación (en línea y en el aula) se centran en construir conocimientos en lugar de desarrollar habilidades. Para que los desarrolladores escriban código seguro, necesitan acceso regular a un aprendizaje práctico que los involucre activamente para aprender y desarrollar sus habilidades de codificación segura. Necesitan aprender sobre las vulnerabilidades identificadas recientemente, en código real y en sus propios lenguajes/marcos. Esta experiencia de aprendizaje debería ayudarles a entender cómo localizar, identificar y corregir vulnerabilidades conocidas en el código.

4. ¿Mide sus habilidades de codificación segura con métricas en tiempo real?

Es importante crear evidencia que demuestre al desarrollador y a su organización que las habilidades de codificación segura del desarrollador están mejorando. No se puede mejorar lo que no se puede medir. Sus evaluaciones deberían ayudar a identificar el progreso de sus equipos de desarrollo en tiempo real, así como a comparar sus fortalezas y debilidades en codificación segura.

5. ¿Está seguro de que sus proveedores externos aplican técnicas de codificación segura?

Muchas organizaciones deciden contratar el trabajo de desarrollo a grandes casas de desarrollo locales o extranjeras. En el mejor de los casos, la única forma de garantía que una organización solicita sobre seguridad es una declaración en el contrato que exige que el entregable sea "seguro". Pocas verifican realmente las habilidades de estas casas de desarrollo por adelantado y terminan con software que no sigue buenas prácticas de codificación segura. El peor escenario es que no las conozcan y lancen la aplicación. El escenario más común es que sean detectadas por especialistas dedicados (por los que usted paga) y se enfrente a retrasos en la puesta en marcha y discusiones contractuales sobre quién debe pagar por corregir estas debilidades de seguridad. Sea inteligente desde el principio y evalúe las habilidades de seguridad de las aplicaciones de los desarrolladores que van a construir su próxima aplicación.

6. ¿Sus desarrolladores conocen las debilidades de seguridad más comunes?

El 85,5% de las vulnerabilidades de aplicaciones web explotadas se atribuyen a solo 10 vulnerabilidades conocidas: el OWASP Top 10. Su formación en seguridad de aplicaciones debe cubrir estas, como mínimo, y muchos otros tipos de vulnerabilidades. Los desafíos que completan sus desarrolladores deben ser revisados y actualizados continuamente con nuevos desafíos para nuevos marcos de codificación o nuevos tipos de vulnerabilidades.

7. ¿Tiene campeones de seguridad internos?

Toda organización con un gran equipo de desarrollo debería invertir en alguien que promueva la seguridad dentro de sus equipos. Su propósito es servir como punto de contacto para resolver dudas sobre seguridad, además de fomentar prácticas de codificación y arquitectura seguras.

8. ¿Ha invertido en herramientas para facilitar la codificación segura a sus desarrolladores?

En entornos con cambios frecuentes en las aplicaciones o donde se practica el desarrollo ágil, automatizar parte de la seguridad es esencial para mantener el ritmo y el volumen de trabajo. Existen herramientas para cada etapa del ciclo de vida del desarrollo que actúan como asesores, filtros de calidad o sistemas de detección. Debe contar con complementos para el IDE que se centren en tipos específicos de vulnerabilidades y funcionen como correctores ortográficos mientras el desarrollador escribe el código. También hay herramientas que se integran en el proceso de compilación para detectar debilidades al enviar el código al repositorio, así como otras que ejecutan pruebas automatizadas simulando técnicas de hacking una vez que el software está en producción. Todas tienen sus ventajas y desafíos, y ninguna garantiza al 100% la ausencia de problemas de seguridad. La regla de oro es: cuanto antes detecte la debilidad, más rápido y económico será corregirla, minimizando el impacto en su negocio.

A medida que los CIO impulsan sus capacidades ágiles empresariales, las habilidades de codificación segura serán un arma de innovación; no tenerlas será un instrumento de destrucción. Piénselo dos veces antes de ignorar esta capacidad crítica.

¿Cómo le fue a su organización con esta lista de verificación?

A medida que los CIO impulsan sus capacidades ágiles empresariales, las habilidades de codificación segura serán un arma de innovación; no tenerlas será un instrumento de destrucción. Piénselo dos veces antes de ignorar esta capacidad crítica.