Lo mejor del brunch: nuestros líderes en AppSec comparten su sabiduría

A lo largo de mi carrera como profesional de AppSec, he tenido la suerte de conocer y conectar con algunos de los talentos más increíbles del sector, cada uno dejando su huella al ayudar a proteger y fortalecer las redes de código, cada vez más extensas, de todo el mundo. En esta etapa de mi trayectoria (¡con un poco más de conocimiento y mucho menos pelo!), a menudo me piden que hable ante las futuras estrellas de la seguridad del software, y es una labor que me encanta. Sin embargo, también entiendo lo importante que es ser visible como líder y mentor para aquellos que buscan destacar y crecer en sus funciones.

Hace poco estuve en Londres con parte del equipo de Secure Code Warrior, donde organizamos un brunch con el objetivo de reunir a un grupo de superestrellas de AppSec para hacer networking, compartir ideas y disfrutar de algún que otro pastel. Ante más de sesenta invitados, compartieron su gran experiencia como parte de un panel de expertos, entusiasmando a todos sobre el futuro de la seguridad de las aplicaciones.

Al abordar temas candentes como la optimización del presupuesto de AppSec de una organización, además de varias preguntas complejas de la audiencia, el panel ofreció una sesión matutina inspiradora que, sin duda, ayudará a los gerentes de seguridad, especialistas y sus desarrolladores a crear programas viables dentro de sus organizaciones.

Tuvimos el privilegio de contar con los siguientes líderes para el panel, Herramientas frente a personas: ¿Su presupuesto de AppSec aborda adecuadamente ambos aspectos?

• Vincent Gilbert, CISO, Societe Generale
• C̩dric Levy-B̩ncheton, CEO, Cetome
• Reena Shah, Jefa de Cultura y Concienciación sobre Seguridad y Privacidad, M&G Prudential
• Lee Thurlow, Director Global de AppSec, Pearson
• Lewis Bramfitt, Director General, Bramfitt Lab.

Cada ponente compartió sus reflexiones sobre el panorama de las herramientas de AppSec (spoiler: dado que muchas organizaciones generan tanto software, puede ser un campo de minas seleccionar herramientas que realicen todas las funciones necesarias. Después de todo, ninguna herramienta por sí sola puede cubrirlo todo).

Reena Shah también señaló un punto interesante. En solo unos pocos años, hemos visto un cambio positivo en la percepción de AppSec dentro de las grandes organizaciones, lo que permite que un elemento crítico comience a tomar forma: la inversión en personas para mantener las mejores prácticas y la cultura de seguridad:

"Creo que está cambiando. Cuando empecé con esto hace cuatro años, intentar conseguir un presupuesto y un equipo para la cultura y la concienciación sobre seguridad era realmente difícil. Y lo que encuentro ahora es que ya no es mi desafío. Me resulta muy fácil decir: "este es el presupuesto que necesito, estas son las personas que necesito para reducir los riesgos". Estoy viendo un cambio enorme, y creo que es porque la junta directiva y la alta dirección están entendiendo lo importante que es proporcionar financiación para ayudarnos a reducir los incidentes de seguridad", afirmó.

Puedes ver el panel completo ahora mismo:

Para mí, es increíblemente refrescante ver que el futuro de AppSec incorpora un énfasis en la formación y el conocimiento adecuados para los desarrolladores en primera línea, permitiéndoles formar una defensa sólida contra vulnerabilidades antiguas que siguen apareciendo.

Las herramientas proporcionan un nivel de apoyo, pero, sinceramente, es hora de afrontar los hechos. Simplemente tenemos que dejar de repetir los mismos errores.

Cerrar el ciclo de errores de AppSec

Como parte del brunch de Líderes en AppSec, también hice una presentación sobre cómo podemos abordar el costoso y continuo problema de las mismas vulnerabilidades de seguridad que aparecen una y otra vez. Las herramientas pueden encontrarlas, pero no hacen mucho para prevenirlas. Es necesario dar a los desarrolladores la formación adecuada para evitar que las introduzcan en primer lugar.

Y, bueno, los desarrolladores somos un grupo curioso. Algunas formaciones son mucho más eficaces que otras en lo que respecta al compromiso y la retención. Puedes ver mi presentación completa aquí:

Un énfasis en la formación en seguridad, así como en la concienciación general y una cultura positiva entre los desarrolladores y AppSec, es como la kriptonita para un atacante. Esas pequeñas puertas traseras se cierran, esas vías fáciles de acceso a nuestros datos se secan, y los superhéroes de la seguridad trabajan juntos para hacer que la seguridad sea sinónimo de calidad del software.

Lenta, pero seguramente, lo estamos consiguiendo.