Cómo convencer a su jefe para que invierta en formación sobre codificación segura

Es muy probable que, si trabajas con software de cualquier manera, ya seas desarrollador, QA, líder de ingeniería o profesional de AppSec, la seguridad sea parte de tu trabajo. La labor del equipo de seguridad es señalar las vulnerabilidades del software, y la del desarrollador es esforzarse al máximo por escribir código sin fallos desde el principio. Pero para realizar esas tareas de la forma más eficiente y eficaz posible, es importante que todas las partes colaboren contra las amenazas de seguridad, empezando por el código sobre el que se ejecutan tus aplicaciones.

Sin embargo, aprender a programar de forma segura y retener ese conocimiento puede parecer inherentemente difícil. Con las herramientas adecuadas, no tiene por qué ser así. Pero no siempre es fácil convencer a las partes interesadas y a los superiores de que inviertan en el tipo de formación correcto. Con demasiada frecuencia, la formación se elige con el único objetivo de cumplir con un requisito de conformidad y, la mayor parte del tiempo, es irrelevante para el trabajo diario del desarrollador. Pero, ¿qué pasaría si los desarrolladores pudieran aprender sobre seguridad en tiempo real, en el lenguaje y framework que utilizan a diario, y además divertirse haciéndolo? Y, por si fuera poco, tu organización cumpliría con los estándares del sector al mismo tiempo.

Te cubrimos las espaldas. Aquí tienes algunas estrategias para ganarte el apoyo de tus compañeros, líderes y los responsables de la toma de decisiones en tu organización para que se sumen a un programa de formación en codificación segura centrado en el desarrollador.

Evitar las vulnerabilidades de software desde el principio ahorra cantidades incalculables de tiempo y dinero

¿Pasas demasiado tiempo buscando, informando o corrigiendo problemas de seguridad recurrentes? No estás solo.

Imagina el siguiente escenario: tan pronto como el equipo de AppSec encuentra una vulnerabilidad y se la comunica al equipo de desarrollo, los desarrolladores acceden a una lección de formación relevante y aprenden no solo a corregir ese fallo, sino también a evitar cometer el mismo error en el futuro. ¿Cuál crees que sería el resultado? Lo más probable es que ese desarrollador recuerde la lección debido a su relevancia y sea menos propenso a cometer el mismo error de nuevo. Esto significa que, si trabajas en un equipo de seguridad, habrá un desarrollador menos que pueda crear esa vulnerabilidad sin saberlo, y ese mismo desarrollador tendrá menos probabilidades de tener que volver a corregirla.

Echa un vistazo a este vídeo de nuestro cliente, Contrast Security, sobre lo eficaz que es la formación en tiempo real para su equipo de desarrollo.

Si todos los desarrolladores participaran en una formación regular sobre código seguro y tuvieran a su alcance las herramientas para aprender sobre problemas de seguridad en tiempo real, el tiempo que se recuperaría para crear software increíble y trabajar en programas de seguridad sería incalculable. Suena como un argumento bastante sólido para que tu organización invierta en una herramienta así, ¿verdad?

Si has encontrado una gran herramienta que te encantaría usar para mejorar tus habilidades en seguridad, algo como (ejem) Secure Code Warrior, este es un excelente argumento para presentárselo al CISO o al CTO de tu organización.

Los desarrolladores capacitados ofrecen mejores resultados y son más felices

El tiempo y el dinero son, por supuesto, muy importantes para tu equipo directivo, pero también lo es tu satisfacción laboral. Los empleados satisfechos ofrecen mejores resultados, permanecen más tiempo en sus puestos y contribuyen a un entorno de trabajo positivo. Por eso, el desarrollo profesional y la formación son una inversión, no un gasto. Y si esa formación es realmente divertida y enseña algo relevante, es la clave del éxito.

La gran noticia es que los desarrolladores suelen estar muy motivados para aprender sobre seguridad porque saben lo importante que es para su trabajo. Encuestamos a desarrolladores de todo el mundo en un estudio con Evans Data Corporation y descubrimos que quieren aprender sobre seguridad porque:

1. Aumenta la productividad y la eficiencia
2. Tienen curiosidad e interés personal en aprender sobre ello
3. Quieren evitar los problemas asociados con el código inseguro
4. Entienden que ofrece potencial para el avance profesional
5. Es un uso más eficiente de los recursos humanos
   

(Descarga el informe completo aquí.)

El único problema es que la mayoría de las formaciones en codificación segura les están fallando. No son relevantes para su trabajo diario y, seamos sinceros, son francamente aburridas. Esas son características que normalmente no dan buenos resultados en cuanto a retención de información y aprendizaje real. Sin embargo, cuando la plataforma de aprendizaje está centrada en el desarrollador, es divertida, atractiva y relevante para su trabajo, puede ofrecer resultados reales y crear profesionales capacitados que quieren escribir código seguro. Y, ¿por qué tu jefe, ya sea un líder de desarrollo, un CISO o un CTO, no querría que los desarrolladores se interesaran por programar de forma segura y tuvieran las habilidades para hacerlo?

Comprender la seguridad hace que los ingenieros sean mejores en general

Cuando los ingenieros entienden cómo el software puede ser vulnerable a los ataques, realizan su trabajo teniéndolo en cuenta. Cuanto más entiende alguien lo que puede salir mal, más trabaja con un enfoque preventivo.

No solo eso, sino que el código de mala calidad tiene más probabilidades de contener vulnerabilidades de software y es más fácil para un desarrollador introducir una vulnerabilidad en ese código sin saberlo. ¿Por qué? Porque gran parte de lo que hacen es leer y modificar código. Cuando ese código está mal organizado y utiliza una lógica deficiente, se tarda más en realizar esas tareas y resulta más fácil cambiar algo y, accidentalmente, introducir un error de seguridad crítico.

Cuando se comprende la seguridad y cómo evitar problemas, también se reflexiona más sobre la calidad general del código y cómo escribirlo de tal manera que no sea fácil introducir errores por accidente. La formación en seguridad es beneficiosa para todos. Los desarrolladores aprenden sobre codificación segura y, al mismo tiempo, se convierten en mejores ingenieros.

La unión hace la fuerza

Otra táctica excelente para conseguir el apoyo de sus líderes a la hora de adoptar una plataforma de aprendizaje de codificación segura es involucrar a sus colegas. Cuantos más desarrolladores estén interesados en mejorar sus conocimientos de seguridad, más fácil será convencer a la dirección o a los altos ejecutivos para que inviertan en ello.

¿Cómo lograrlo? Dado que la mayoría de los desarrolladores entienden la necesidad de mejorar en seguridad y quieren aprender, no debería ser difícil. Puede pedirles que echen un vistazo a este escaparate para desarrolladores de Secure Code Warrior para obtener un adelanto de nuestro producto y empezar a poner a prueba sus habilidades de codificación segura. Una vez que vean el impacto del código inseguro y descubran que aprender sobre seguridad puede ser divertido, se sentirán motivados para aprender más.

Una vez que haya adoptado la herramienta adecuada, una forma estupenda de involucrar a sus desarrolladores es mediante una competencia sana. Intente iniciar su programa de formación con un torneo.

Descubra cómo Nelnet utilizó los torneos de forma creativa para fomentar una cultura de seguridad dentro de su empresa.

La formación continua en seguridad promueve una cultura empresarial deseable

La formación no tiene por qué ser aburrida, y realmente no debería serlo. Sabemos que las clases magistrales son costosas, difíciles de organizar —especialmente con equipos distribuidos— y es poco probable que se retenga mucho de ellas. Sin embargo, las organizaciones siguen ofreciendo a los desarrolladores una formación en codificación segura que no hace más que cumplir con un requisito anual de conformidad. Ya no basta con mantener el statu quo. Es hora de que los responsables de desarrollo y AppSec den un paso adelante y colaboren para implementar una herramienta de formación que promueva un aprendizaje continuo y atractivo. Y eso empieza por convencer a los responsables de la toma de decisiones.

La formación continua y práctica es necesaria por varias razones. Las amenazas de ciberseguridad evolucionan constantemente, por lo que es natural que la formación para combatirlas también sea continua. Además, como ya se ha mencionado, cuando aprendemos en tiempo real, es mucho más probable que retengamos lo aprendido. Programar teniendo en cuenta la seguridad es difícil de implementar, porque esperar que un desarrollador recuerde algo que aprendió en una presentación fuera de contexto hace casi un año no es realista. Pero si aprenden a evitar una vulnerabilidad de software específica en el momento en que se les informa y sienten que están jugando al mismo tiempo, la situación cambia por completo.

Tan pronto como se implementa una formación práctica y relevante, la seguridad se convierte en parte de la cultura de la empresa y deja de tratarse como una ocurrencia tardía. Se integra en el proceso de desarrollo desde el inicio del ciclo de vida del desarrollo de software.

¿A qué espera? Comience su camino para mejorar la seguridad dentro de su organización y proteger los datos vitales de la empresa y de sus clientes. Involucre a sus desarrolladores y jefes para llevar la codificación segura al siguiente nivel en su organización. Deje de sufrir las mismas vulnerabilidades una y otra vez pensando en la seguridad desde el principio.

¿Necesita más recursos?‍

Descargue el kit completo "Convence a tu CISO / CTO"