Concienciación sobre seguridad certificada: una Orden Ejecutiva para potenciar a los desarrolladores

Si existe algo como el momento oportuno, hay que decir que la Administración Biden dio en el clavo con su Orden Ejecutiva (EO), que aborda el plan del gobierno estadounidense para fortalecer las redes federales, así como para mejorar los estándares y las mejores prácticas de ciberseguridad en toda la nación. Esta estrategia surge tras dos ciberataques recientes y devastadores: la brecha en la cadena de suministro de SolarWinds, que aún continúa, además del ataque a la infraestructura de gas de Colonial Pipeline.

Aunque estos eventos sin duda causaron revuelo en todos los niveles del gobierno, esta directiva marca un momento emocionante para el futuro de la ciberseguridad. Parece que finalmente nos estamos tomando en serio la protección de nuestra existencia digital desde los niveles más altos, y no hay mejor momento que ahora para impulsar mejores estándares y un software de mayor calidad.

La EO aborda muchos aspectos de la ciberseguridad funcional, pero por primera vez, describe específicamente el impacto de los desarrolladores y la necesidad de que cuenten con habilidades y conocimientos de seguridad verificados. Durante años, hemos proclamado a los cuatro vientos que este es el camino a seguir para combatir las vulnerabilidades comunes que tan a menudo nos hacen tropezar, y que los mandatos gubernamentales se alineen con este enfoque es la vía hacia un éxito generalizado en la ciberdefensa.

¿Cómo deberían responder las organizaciones, y también los departamentos federales, a esta orden? Analicemos algunas de las categorías principales.

El enfoque de "cumplir por cumplir" ya no es una opción.

Hace mucho que señalamos la ineficacia de la mayoría de los tipos de formación en ciberseguridad para desarrolladores. A menudo es demasiado genérica, no se imparte de una manera que motive e inspire el resultado deseado (es decir, un código más seguro) y se aborda con demasiada poca frecuencia. Peor aún, muchas empresas se conforman con una formación de "marcar la casilla": un enfoque que ofrece lo mínimo indispensable, conceptos básicos de "hacer y olvidar" para cumplir con un requisito operativo y poner una marca junto al nombre de un desarrollador. Estas estrategias educativas son las que mantienen a cualquier CISO en vilo, cruzando los dedos y esperando que su empresa no sea la víctima de la próxima brecha de día cero. Simplemente no funcionan para reducir las vulnerabilidades y crear un código de mayor calidad.

En la sección 4 del mandato de Biden, queda clara la necesidad de que una organización demuestre que sus desarrolladores poseen un cumplimiento de seguridad documentado y verificado:

‍

“Las directrices incluirán criterios que puedan utilizarse para evaluar la seguridad del software, incluirán criterios para evaluar las prácticas de seguridad de los propios desarrolladores y proveedores, e identificarán herramientas o métodos innovadores para demostrar la conformidad con las prácticas seguras.”

Hay un pequeño problema con eso: actualmente no existe una certificación estándar de la industria específica para desarrolladores. Poder evaluar el nivel de habilidad en codificación segura de los desarrolladores y trabajar con cursos y evaluaciones para mejorar esas habilidades es fundamental, ya que permite a las empresas establecer objetivos y lograr el cumplimiento. Cuando los desarrolladores pueden demostrar competencias básicas en un entorno práctico, esto puede evaluarse y certificarse de una manera significativa y confiable. Es fundamental para nuestra oferta en Secure Code Warrior, y hemos trabajado arduamente para crear un sistema que pueda utilizarse para una certificación confiable, personalizable según su pila tecnológica y los requisitos organizacionales.

Estas habilidades son valiosas y no pueden automatizarse. La certificación puede transformar a los desarrolladores en una fuerza consciente de la seguridad, capaz de defender la base de código contra amenazas insidiosas.

‍

Un enfoque en las herramientas para desarrolladores (y las herramientas en general).

Además de las directrices sobre la verificación de prácticas de codificación segura, la EO profundiza bastante en el aspecto de la automatización y las herramientas de seguridad.

Simplemente se produce demasiado código para que los humanos puedan manejarlo solos desde una perspectiva de seguridad, y la automatización, como parte de una amplia pila tecnológica, es una parte importante de todo programa de seguridad, como debería ser. Sin embargo, no todas las herramientas son iguales y no existe una "herramienta única para dominarlas a todas" que detecte cada vulnerabilidad en cada lenguaje de programación. Un gran programa de seguridad adopta un enfoque matizado, especialmente cuando se trata de herramientas y servicios dirigidos a los desarrolladores.

La sección 3 de la EO describe las expectativas para los proveedores que crean software elegible para su uso por parte del gobierno federal, y directrices instructivas sobre el uso de herramientas en el proceso de desarrollo:

‍

“ (iii) emplear herramientas automatizadas, o procesos comparables, para mantener cadenas de suministro de código fuente confiables, garantizando así la integridad del código;
(iv) emplear herramientas automatizadas, o procesos comparables, que verifiquen vulnerabilidades conocidas y potenciales y las remedien, las cuales deberán operar regularmente, o como mínimo antes del lanzamiento de un producto, versión o actualización.”

Las herramientas de seguridad en la pila tecnológica del desarrollador son una de las formas de mejorar las mejores prácticas de seguridad a gran velocidad, asegurando que los lanzamientos tengan la mejor oportunidad de cumplir con los plazos y no se vean retrasados por errores de seguridad y otros obstáculos. Sin embargo, la cuestión es que los desarrolladores seguirán necesitando un aprendizaje contextual para aprovechar al máximo las herramientas más potentes. Que comprendan qué se ha marcado, por qué es peligroso y cómo remediarlo es crucial, y conducirá a menos errores que las herramientas deban identificar en primer lugar.

Las mejores herramientas se integrarán con el entorno del desarrollador, ayudándole a producir código de mayor calidad (y más seguro) y garantizando que la seguridad siga siendo una prioridad.

‍

Asegurar la cadena de suministro.

Una de mis partes favoritas de la Orden Ejecutiva son los planes integrales para asegurar la cadena de suministro de software. No es de extrañar, dado el incidente de SolarWinds, pero es un punto importante a destacar:

“La seguridad del software utilizado por el Gobierno Federal es vital para su capacidad de desempeñar sus funciones críticas. El desarrollo de software comercial a menudo carece de transparencia, de un enfoque suficiente en la capacidad del software para resistir ataques y de controles adecuados para evitar la manipulación por parte de actores malintencionados. Existe una necesidad urgente de implementar mecanismos más rigurosos y predecibles para garantizar que los productos funcionen de forma segura y según lo previsto... el Gobierno Federal debe tomar medidas para mejorar rápidamente la seguridad y la integridad de la cadena de suministro de software, dando prioridad a la protección del software crítico.”

Esta normativa afectará a cualquier empresa de software que desee hacer negocios con el gobierno de EE. UU., pero debería aplicarse como estándar en todas partes. La falta de transparencia de los proveedores externos (por no mencionar a los desarrolladores que utilizan componentes de terceros) sobre sus medidas de seguridad hace que sea increíblemente difícil evaluar, validar y declarar que se cumplen las mejores prácticas de ciberseguridad. Debemos analizar a los proveedores que utilizamos y el software que escriben. Estas acciones pueden considerarse un esfuerzo adicional, pero deberían ser inherentes a un estándar de oro en ciberseguridad.

Distribuir código seguro con confianza ha sido un punto crítico en nuestra industria durante mucho tiempo, pero esta es la oportunidad perfecta para evaluar los procesos actuales y liderar el camino hacia un software y una infraestructura en la nube robustos que sean la envidia de quienes se quedan atrás. Hable con nosotros ahora y descubra cómo puede aprovechar Cursos, Evaluaciones y herramientas de desarrollo para certificar a su próximo equipo de desarrolladores conscientes de la seguridad.

‍