Código sin jaulas: por qué los desarrolladores seguros pueden lanzar software sin límites

Este artículo apareció originalmente en SD Times. Se ha actualizado y distribuido aquí.

‍

La verificación de habilidades ha sido una faceta de nuestras vidas durante la mayor parte de la era moderna, otorgándonos validez y abriendo puertas que de otro modo no estarían disponibles. Conducir, por ejemplo, es un rito de iniciación importante para la mayoría, y se espera que aprobemos una serie de evaluaciones estandarizadas para confirmar que se nos puede confiar una máquina de casi dos toneladas, capaz de viajar a más de 160 kilómetros por hora. Los errores, especialmente a gran velocidad, pueden costarte ese privilegio o incluso una vida humana.

Pero, ¿qué pasa si, para algunos, conducir es más que una comodidad cotidiana y se convierte en una profesión de élite? Una persona puede continuar su proceso de mejora de habilidades y convertirse potencialmente en piloto de F1, donde se le permite operar máquinas que van más rápido de lo que cualquier civil podría manejar de forma realista sin una gran probabilidad de error a altas velocidades.

Con este fin, resulta desconcertante que la mayoría de los desarrolladores que trabajan en código para infraestructuras críticas, automóviles, tecnología médica y todo lo demás, lo hagan sin verificar primero su competencia en seguridad. Por otro lado, ¿por qué los desarrolladores con conocimientos de seguridad, que han demostrado repetidamente que saben programar de forma segura, tienen que hacer cola con los demás en unos procesos de desarrollo cada vez más lentos debido a todas las barreras de seguridad? El sector no ve esto como un descuido, sino como la norma.

Sabemos por investigaciones exhaustivas que la mayoría de los desarrolladores simplemente no priorizan la seguridad en su código y carecen de la formación continua necesaria para gestionar muchos de los errores de seguridad comunes. Suelen ser parte de la razón por la que la seguridad a gran velocidad parece una utopía, y muchos desarrolladores capacitados en seguridad sienten que están atrapados en el carril lento de la autopista detrás de un grupo de conductores novatos.

A pesar de esto, el mundo de la seguridad avanza lentamente y existe una demanda creciente de desarrolladores con habilidades de seguridad verificadas que puedan empezar a trabajar de inmediato. La Orden Ejecutiva sobre la Mejora de la Ciberseguridad de la Nación de la Administración Biden exige específicamente la evaluación de las prácticas de seguridad de los proveedores —y de sus equipos de desarrollo— para cualquier suministrador en la cadena de suministro de software del gobierno de EE. UU. Es lógico pensar que el énfasis en las habilidades de seguridad de los desarrolladores no hará más que crecer en la mayoría de los sectores, pero con una oferta escasa de evaluaciones estándar, ¿cómo pueden las organizaciones demostrar que su programa de seguridad está desarrollando habilidades verificables sin paralizar la entrega ni impedir que los desarrolladores conscientes de la seguridad desplieguen todo su potencial?

Control de acceso basado en el mérito: ¿podría funcionar?

Los controles de seguridad de privilegios mínimos son un pilar en muchas organizaciones, bajo la premisa de que a cada rol se le asigna acceso a software, datos y sistemas según la necesidad de conocerlos en el contexto de su trabajo, y nada más. Este método, especialmente cuando se combina con principios de autorización de confianza cero, es útil para reducir el alcance de la superficie de ataque. Y, en realidad, deberíamos aplicar esta misma estrategia a los permisos de API y otros casos de uso basados en software como estándar.

La mayoría de nosotros en el sector de la seguridad somos muy conscientes de que el software está transformando el mundo, y el código de los sistemas integrados que hace funcionar tu freidora no es realmente diferente del código que mantiene la red eléctrica en funcionamiento, en cuanto a su potencial de ser explotado. Nuestras vidas y datos críticos están a merced de los actores de amenazas, y todo desarrollador debe comprender el poder que tiene para fortalecer su código cuando recibe la formación adecuada. Requiere una mejora seria en la cultura de seguridad de la organización, pero para una verdadera responsabilidad compartida al estilo DevSecOps, los desarrolladores necesitan una razón para preocuparse más por el papel que desempeñan, y quizás la forma más rápida de cambiar su mentalidad sería vincular el acceso al repositorio de código con los resultados de aprendizaje de codificación segura.

Si tomamos una organización en el sector BFSI, por ejemplo, es muy probable que haya repositorios altamente sensibles que contengan datos de clientes o almacenen información valiosa como números de tarjetas de crédito. ¿Por qué, entonces, deberíamos asumir que cada ingeniero al que se le ha concedido acceso es consciente de la seguridad, cumple con los estrictos requisitos PCI-DSS y es capaz de realizar cambios en la rama principal rápidamente y sin incidentes? Aunque ese pueda ser el caso para algunos, sería mucho más seguro restringir el acceso a estos sistemas delicados hasta que se demuestre este conocimiento.

El desafío es que, en la mayoría de las empresas, promulgar un escenario de "licencia para programar" sería arduo y, dependiendo de la solución de formación, demasiado manual para respaldar cualquier objetivo de seguridad a gran velocidad. Sin embargo, la combinación adecuada de educación integradora y herramientas puede ser el núcleo de una estrategia de seguridad defensiva impulsada por el desarrollador.

La integración efectiva de la formación no es imposible.

Encontrar soluciones de mejora de habilidades para desarrolladores que complementen tanto los objetivos comerciales de alta velocidad como su flujo de trabajo es la mitad de la batalla, pero hacer un esfuerzo adicional para superar la formación de cumplimiento de "una sola vez" es la única forma en que comenzaremos a ver una reducción significativa en las vulnerabilidades a nivel de código. ¿Y para los desarrolladores que logran demostrar su valía? Bueno, el mundo de la programación es suyo, y no tienen por qué verse limitados por controles de seguridad que asumen que no pueden manejar lo básico.

El avance práctico de habilidades que se integra a la perfección con el entorno de desarrollo proporciona el contexto necesario para que los ingenieros comprendan y apliquen realmente los conceptos de codificación segura, y estas mismas integraciones pueden utilizarse para gestionar eficazmente el acceso a sistemas críticos, asegurando que quienes destacan en sus resultados de aprendizaje trabajen en las tareas sensibles de mayor prioridad sin obstáculos. También facilita la implementación de recompensas y reconocimientos, asegurando que los desarrolladores con habilidades de seguridad sean vistos como un modelo a seguir en su grupo.

Como muchas cosas en la vida, la fortuna favorece a los valientes, y romper el statu quo para adoptar un enfoque innovador en la verificación de habilidades de los desarrolladores es exactamente lo que necesitamos para elevar los estándares de calidad de código aceptables del mañana sin sacrificar la velocidad.