Análisis del sector de la ciberseguridad: otra vulnerabilidad recurrente que debemos corregir

Una versión de este artículo apareció en Help Net Security. Ha sido actualizado y distribuido aquí.

‍

He pasado mi carrera encontrando, arreglando, debatiendo y analizando vulnerabilidades de software, de una forma u otra. Sé que, cuando se trata de algunos errores de seguridad comunes, a pesar de estar en nuestra órbita desde los años 90, siguen plagando nuestro software y causando problemas importantes, incluso cuando la solución (a menudo sencilla) se conoce desde hace casi el mismo tiempo. Realmente parece el día de la marmota, donde como industria parece que hacemos lo mismo una y otra vez esperando un resultado diferente.

Sin embargo, hay otro pequeño problema. No estamos recibiendo consejos realistas ni las soluciones más rápidas para combatir el incesante ataque que supone la ciberseguridad moderna. Por supuesto, cada brecha es diferente a su manera y existen numerosos vectores de ataque que pueden explotarse en software vulnerable. Los consejos genéricos viables serán limitados, pero el enfoque de mejores prácticas parece cada vez más defectuoso.

Con este fin, me pregunto por qué gran parte de los comentarios y análisis sobre ciberseguridad han omitido soluciones que realmente abordan la causa raíz de tantas vulnerabilidades: los humanos. El Hype Cycle for Application Security más reciente de Gartner y The State of Application Security 2021 de Forrester, ambas biblias para los expertos en seguridad que sin duda ayudan a dar forma a sus programas y a la posible adopción de productos, están casi totalmente centrados en las herramientas. Un informe de Aberdeen de 2017 mostró lo inmanejable que se había vuelto el conjunto de tecnologías de seguridad promedio, con CISO gestionando cientos de productos como parte de sus estrategias de seguridad; cuatro años después, nos enfrentamos a más riesgos, más vulnerabilidades y más añadidos a las crecientes bestias tecnológicas.

Las herramientas de seguridad son imprescindibles, pero debemos mirar más allá y restaurar el equilibrio en el componente humano de la defensa de seguridad.

La automatización es el futuro. ¿Por qué debería importarnos el elemento humano de la ciberseguridad?

Prácticamente todo en nuestras vidas funciona con software, y es cierto que la automatización está reemplazando los elementos humanos que alguna vez estuvieron presentes en tantas industrias. Es una señal de progreso en un mundo que se digitaliza a la velocidad de la luz, con la IA y el aprendizaje automático como temas candentes que mantienen a muchas organizaciones enfocadas en el futuro.

Entonces, ¿por qué un enfoque de ciberseguridad centrado en las personas sería algo más que una solución anticuada para un problema tecnológicamente avanzado? El hecho de que miles de millones de registros de datos hayan sido robados en brechas durante el último año, incluida la reciente brecha de Facebook que afectó a más de quinientos millones de cuentas, debería indicar que no estamos haciendo lo suficiente (o no estamos adoptando el enfoque correcto) para dar un golpe serio a los actores de amenazas.

Las herramientas de ciberseguridad son un componente muy necesario de la defensa cibernética, y las herramientas siempre tendrán su lugar. Los analistas han acertado plenamente al recomendar las últimas herramientas en un enfoque de mitigación de riesgos para las empresas, y eso no cambiará. Sin embargo, dado que la calidad del código (y, por definición, la seguridad) es difícil de gestionar al volumen de producción de código, las herramientas no pueden hacer el trabajo solas. Hasta la fecha, no existe una sola herramienta que pueda:

• Escanear en busca de cada vulnerabilidad, en cada lenguaje:framework
• Escanear a gran velocidad
• Minimizar el doble manejo causado por falsos positivos y negativos

Las herramientas pueden ser lentas, engorrosas y difíciles de manejar. Sin embargo, sobre todo, solo encuentran problemas: no los solucionan ni recomiendan soluciones. Esto último requiere expertos en seguridad, que son escasos y están sobrecargados de trabajo, revisando basura para encontrar tesoros en interminables resultados de pruebas de penetración y escaneos.

El hecho es que, según el informe IBM Cyber Security Intelligence Index, el error humano desempeña un papel en el 95% de todas las brechas de datos exitosas. Casi la mitad de ellas se relacionan directamente con vulnerabilidades de software, muchas de las cuales podrían aliviarse si hubiera una mayor adherencia a la codificación segura y a la concienciación en las primeras etapas del ciclo de vida de desarrollo de software (SDLC). Sin embargo, para que esto suceda, es clave un enfoque más nítido y relevante en la educación para los desarrolladores, además de hacerlo intrínseco a su flujo de trabajo.

Nos guste o no, los humanos están profundamente arraigados en el proceso de desarrollo de software, y la ciberseguridad es, en gran medida, un problema humano. Las herramientas no serán una solución universal para corregir un defecto fundamental en nuestro enfoque, pero pueden desempeñar un papel de apoyo clave para remodelar las soluciones humanas.

¿Qué pasaría si simplemente construyéramos mejores herramientas (y muchas de ellas)?

Las herramientas de seguridad mejoran constantemente. Las herramientas SAST/DAST/IAST han avanzado mucho, mejorando en velocidad e inteligencia, y RASP debería ser una consideración defensiva seria en muchos entornos de aplicaciones. Cortafuegos, gestores de secretos, aplicaciones de seguridad en la nube y de red: todo es evidente.

Los humanos siempre pueden esforzarse por crear mejores herramientas, pero la innovación no sigue el ritmo de las necesidades de seguridad y protección de datos del mundo digital en el que vivimos. Las herramientas, en su mayor parte, están construidas pensando en robots. Pueden estar ahí para ayudar a los desarrolladores y al equipo de seguridad a escanear, monitorear o proteger el código, pero la interacción es muy limitada, y muy pocas soluciones tienen como objetivo elevar la conciencia de seguridad o mejorar las habilidades básicas que pueden conducir a mejores resultados de seguridad.

De hecho, más de la mitad de las empresas ni siquiera saben si las herramientas les están funcionando, ni confían en que podrían evitar una brecha de datos devastadora. Ese es un sentimiento muy pobre y, en una industria obsesionada con las herramientas que carece de apoyo para un enfoque diferente, tiende a solidificar el statu quo y los problemas internos.

¿Cómo puede una organización aprovechar un enfoque de seguridad centrado en las personas?

No cabe duda de que mantenerse al día con las tendencias en tecnología de seguridad de aplicaciones es beneficioso, e incluso puede ayudar a priorizar actualizaciones o consolidaciones en una infraestructura tecnológica saturada, pero ignorar la causa raíz del software vulnerable —nosotros, los humanos— nos mantendrá en el bando perdedor de la batalla de la ciberseguridad.

Si queremos tomarnos en serio la reducción de las vulnerabilidades de seguridad a nivel de código, debemos proporcionar a los desarrolladores las bases necesarias para que asuman su parte de responsabilidad en la seguridad. Necesitan formación práctica y relevante, capacitación continua en el puesto de trabajo y herramientas funcionales que no interrumpan su flujo de trabajo ni conviertan la seguridad en una tarea tediosa. Lo ideal es que las herramientas estén centradas en el desarrollador y diseñadas pensando en su experiencia de usuario.

A día de hoy, no existe un programa formal de certificación de seguridad para desarrolladores, pero cualquier empresa puede beneficiarse de evaluar y mejorar las habilidades de codificación segura, eliminando las vulnerabilidades comunes de forma temprana y frecuente, antes de que la infraestructura tecnológica tenga que intervenir y ralentizar todo el proceso.

Un equipo de desarrolladores conscientes de la seguridad es un tesoro oculto para cualquier organización, pero, como todo lo que merece la pena, requiere tiempo y esfuerzo formar un equipo ideal. Convencer a los desarrolladores de que se preocupen por la seguridad y vean la codificación segura como un pilar de la calidad del código exige un compromiso de toda la organización. Cuando los equipos son plenamente conscientes del impacto positivo que pueden tener al eliminar vulnerabilidades mientras escriben código, no hay herramienta en el mundo que pueda competir con ellos.