DevSecOps en la región DACH: conclusiones clave de los programas piloto de codificación segura

Las mejores prácticas de ciberseguridad han sido un tema candente durante más de una década, debatido frecuentemente a nivel gubernamental en la mayoría de las regiones del mundo. Los ciberataques son, en esencia, una realidad cotidiana, y cualquier entidad que almacene datos privados valiosos en línea es un objetivo potencial. Solo en Alemania, el Ministerio Federal de Educación e Investigación estima que el 96 por ciento de todas las pequeñas y medianas empresas ya han experimentado un incidente de seguridad informática. El mismo informe destaca la necesidad urgente de investigación, legislación y concienciación en ciberseguridad, con una petición definitiva para incluir una formación en seguridad más sólida en los campos de la informática y las tecnologías de la información.

Con la llegada del RGPD, así como con la revisión de la estrategia tras un ataque multietapa que expuso datos confidenciales de numerosas figuras públicas —además de servidores del gobierno federal alemán—, queda claro que la concienciación y la acción en materia de ciberseguridad son una prioridad para los líderes de la región DACH. El hackeo de finales de 2018 fue ejecutado por un estudiante de 20 años con conocimientos relativamente bajos, cuyo principal punto de acceso a información altamente confidencial fue posible simplemente adivinando contraseñas. Aunque se trató de una vulnerabilidad de autenticación extremadamente preocupante, puso de relieve la necesidad de una mayor concienciación sobre seguridad a nivel gubernamental, empresarial y social. Un informe de 2019 destacó que Alemania se estaba quedando atrás en cuanto a iniciativas de defensa de ciberseguridad, confiando en la legislación como táctica principal. Sin embargo, con la llegada de DevSecOps como metodología de desarrollo ideal, muchas empresas han reconocido la necesidad de una formación práctica, la creación de software seguro desde el diseño y programas de concienciación sobre seguridad en toda la empresa.

El pulso de la seguridad del software en DACH

Organizaciones como OWASP y MITRE publican clasificaciones verificadas de las vulnerabilidades más frecuentes. En todos los lenguajes, la inyección SQL ocupa el primer lugar y, a pesar de tener décadas de antigüedad, es un fallo común que a menudo se explota con consecuencias desastrosas.

El software bancario suizo BPC, SmartVista, fue alertado de una vulnerabilidad de inyección SQL por SwissCERT; sin embargo, permaneció sin parchear durante meses a pesar de su potencial para exponer datos confidenciales de los clientes, incluidos números de tarjetas de crédito. La inyección SQL puede provocar, y de hecho provoca, brechas peligrosas, al igual que la brecha de 2017 en múltiples departamentos gubernamentales y universidades de EE. UU. y el Reino Unido. Muchos de estos incidentes son causados por procesos laxos de validación de entradas, lo que permite a un atacante insertar código malicioso desde el front-end de una aplicación. Otra fuente común de vulnerabilidad es el uso de código de proveedores inseguro que no se revisa en busca de errores de seguridad, introduciendo así fallos en un entorno de producción previamente escaneado y aprobado. Ninguno de estos puntos de acceso es específico de la región DACH; más bien, son ejemplos globales de malas prácticas de seguridad que no pueden continuar a medida que el mundo produce más código.

Es imperativo parchear los problemas tan pronto como se descubren, y la decisión de SmartVista de retrasarse podría haber sido un desastre. Aunque la región DACH ha tenido su cuota de brechas, unas directrices y un apoyo más centrados en la concienciación y la formación en seguridad podrían evitar que los problemas potenciales a nivel organizativo se descontrolen, y esto requerirá una legislación mucho más específica para impulsar la formación evaluada de los desarrolladores.

No toda la formación en código seguro es igual.

Muchas directivas de ciberseguridad en todo el mundo son cada vez más completas; sin embargo, siguen siendo bastante inespecíficas a la hora de definir una formación en seguridad eficaz. La directiva NIS de la UE incluye el requisito de "sensibilización, formación y educación" a nivel nacional, pero apresurarse a implementar una solución de formación puede no tener el resultado deseado de reducción tangible del riesgo si faltan elementos clave que impulsen la mejora de las competencias de los desarrolladores y el cambio organizativo.

Las soluciones educativas varían, y la formación debe ser específica para el trabajo diario del desarrollador (incluida la capacidad de aprender en su lenguaje y marco de trabajo preferidos), además de seguir siendo atractiva y medible a lo largo del tiempo.

Las soluciones de formación estáticas, como la formación en vídeo basada en ordenador, suelen ser demasiado genéricas y rara vez se revisan o evalúan en cuanto a su éxito para fomentar la concienciación y la habilidad necesarias para evitar que las vulnerabilidades entren en el código mientras se escribe. La formación dinámica, sin embargo, es vital para mejorar las competencias de los desarrolladores con ejemplos contextuales, además de proporcionar métricas que influyen en los procesos de mitigación empresarial. Se actualiza con frecuencia, promueve un alto nivel de retención de conocimientos y es parte de la formación de desarrolladores conscientes de la seguridad que contribuyen a una cultura de seguridad positiva en su lugar de trabajo.

Puntos de datos de los pilotos de Secure Code Warrior en DACH:

Ema Rimeike, directora de ventas de Secure Code Warrior (máster en Ciberseguridad), ha trabajado estrechamente con organizaciones de la región DACH, ejecutando programas piloto para que los desarrolladores evalúen su competencia interna en codificación segura, su compromiso con las mejores prácticas de seguridad y la cultura de seguridad general de la empresa. Utilizando una formación en código seguro gamificada y dinámica, sus conclusiones clave revelan un futuro brillante cuando los desarrolladores reciben los conocimientos y las herramientas que fomentan una reducción exitosa de las vulnerabilidades desde el inicio del ciclo de vida de desarrollo de software (SDLC).

During her pilot programs, she collated statistics based on an average of 90 minutes spent per user on the Secure Code Warrior (SCW) platform, in which they played 15 secure coding challenges (bite-sized, gamified and self-paced lessons):

Los usuarios dedicaron un tiempo promedio de 5,5 minutos a completar un desafío, frente a los 3 minutos de promedio en otros pilotos globales de SCW.

• Precisión frente a confianza: los pilotos de DACH registraron un porcentaje promedio de entre el 88 y el 92% de confianza en sus respuestas a los desafíos, sin embargo, la precisión de estas respuestas se situó entre el 53 y el 66%.
• Más del 75% de los participantes encuestados prefieren métodos de formación gamificados o dinámicos, en contraste con enfoques estáticos como la formación basada en ordenador (CBT).
• Entre las vulnerabilidades más frecuentes, observamos fallos de inyección, configuración de seguridad incorrecta, Cross-Site Scripting (XSS), uso inadecuado de la plataforma, control de acceso, autenticación, corrupción de memoria, Cross-Site Request Forgery, protección insuficiente de la capa de transporte y redirecciones y reenvíos no validados

No es ningún secreto que, por lo general, la ética de trabajo sólida y el enfoque en la precisión son valores muy apreciados en la región DACH, y los desarrolladores que prueban el programa piloto no son una excepción. Estos datos reflejan su falta de familiaridad con este tipo de formación, pero también su deseo de seguir jugando, mejorar su puntuación y evitar el uso de la función de "pista" disponible. Su afán por aprender y mejorar es evidente, pero también demuestra que es necesario trabajar más para implementar una formación y una concienciación eficaces dentro de la propia organización.

Una formación excelente que reduzca los riesgos y bloquee las vulnerabilidades no es un ejercicio puntual, y va mucho más allá del cumplimiento normativo. Los directivos y el personal de seguridad de aplicaciones deben esforzarse por desplegar un programa de concienciación sobre seguridad con una estrategia y un apoyo que reflejen los objetivos fundamentales de seguridad y busquen mantenerlos a largo plazo. Esto es, en esencia, la columna vertebral de un proceso DevSecOps exitoso con desarrolladores conscientes de la seguridad.

¿Qué revela un programa piloto a una organización?

Los programas piloto de Secure Code Warrior son una herramienta increíblemente valiosa para ofrecer a las empresas una instantánea de su estado actual de seguridad (normalmente entre el 65 y el 75 %), así como de las áreas de mejora inmediata. Revelan:

• Claridad sobre qué vulnerabilidades deben abordarse como prioridad, así como si esta dirección debe aplicarse a un equipo, unidad de negocio o lenguaje de programación en particular
• Una inteligencia precisa y de mayor alcance sobre los factores de riesgo de ciberseguridad dentro de su ciclo de vida de desarrollo de software (SDLC), que abarca el factor humano del desarrollo de software.
• Al aprovechar la plataforma SCW, las organizaciones pueden predecir el resultado potencial de las pruebas de penetración y tener la oportunidad de mitigar esos riesgos por adelantado, preparando a los equipos incluso antes de que se les asigne un proyecto específico.

En las organizaciones que han comenzado a desplegar programas de seguridad integrales y eficaces, normalmente se aprueba a nivel directivo entre 1 y 1,5 horas semanales de desarrollo profesional para ayudar a sus desarrolladores a mejorar sus conocimientos de codificación segura. Sin embargo, observamos que las organizaciones están pasando de centrarse en el "tiempo dedicado a la plataforma" a determinar "qué equipos de desarrollo de software suponen el mayor y el menor riesgo para el negocio". Esto está estrechamente vinculado a la certificación/niveles formalizados, al descubrimiento de defensores de la seguridad y a los programas de mentoría para obtener los mejores resultados. La asignación de tiempo, junto con una evaluación constructiva y positiva, es absolutamente clave para crear desarrolladores conscientes de la seguridad que no solo aprecien la seguridad, sino que reduzcan de forma medible el riesgo para el negocio.

¿Cómo utilizan ya las organizaciones Secure Code Warrior?

Varias empresas ya están utilizando Secure Code Warrior para crear concienciación, desarrollar las habilidades de los desarrolladores y fomentar una cultura de seguridad positiva.

Por ejemplo, en un caso práctico, un equipo que se formaba en la plataforma utilizó SCW para revelar sus puntos fuertes y débiles en materia de seguridad:

Acción del desarrollador: Los desarrolladores pudieron ver sus propios resultados, lo que les mostró las áreas en las que debían centrarse y les permitió autogestionarse y marcar el ritmo de la formación para mitigar vulnerabilidades específicas o lagunas de conocimiento que les ayudarán en futuras creaciones de software.

Acción de la dirección: Analizaron los puntos fuertes y débiles generales a nivel de equipo y pudieron prescribir un enfoque gamificado que abordara las áreas específicas de preocupación. Esto creó una vía educativa bidireccional que desarrolla conocimientos relevantes rápidamente.

Resultado: Una vez realizadas las pruebas de penetración a nivel de equipo, cualquier vulnerabilidad queda visible, y comparar los resultados anteriores facilitó la validación de si la formación había sido eficaz para reducir los errores de seguridad comunes.

Esto nos lleva de nuevo a las etapas iniciales del desarrollo de software, donde los objetivos de mejora continua del equipo antes de la formación y la introducción de las mejores prácticas de seguridad desde el principio pueden ser eficaces, fáciles de implementar y ahorrar tiempo en todo el ámbito del desarrollo.

Equipos de proyectos DevSecOps

En un entorno DevSecOps ideal, varias unidades de negocio están representadas en un equipo de proyecto para decidir y cumplir los resultados principales, uno de los cuales son las mejores prácticas de seguridad.

En cuanto a la investigación y planificación previas al proyecto, la plataforma SCW puede evaluar las competencias de seguridad del equipo de desarrollo propuesto antes de que comience a trabajar, prediciendo los resultados finales de las pruebas de penetración y los retrasos relacionados con la seguridad en el SDLC con tiempo suficiente para prepararse adecuadamente. Se puede crear una formación específica para el código y la estructura del proyecto para que el equipo la realice, incluido un proceso de evaluación/certificación que verifique las competencias generales de concienciación sobre seguridad, exigiendo una nota de aprobado preestablecida antes de que se les permita trabajar en los entregables del proyecto.

Esto ofrece un enfoque de inmenso valor empresarial al reducir el coste de reparación de vulnerabilidades, mitigar los riesgos de seguridad, ahorrar tiempo en las pruebas de penetración, reducir el coste de los costosos programas de recompensas y mejorar las competencias del grupo de desarrollo de una forma centralizada, sostenible, escalable y unificada.

Conclusión:

Existe una mayor presión sobre las empresas para que den prioridad a la seguridad, mantengan nuestros datos a salvo y cumplan con normativas cada vez más estrictas a nivel mundial, pero especialmente para las organizaciones que operan en la UE bajo las estrictas directrices del RGPD.

Para las empresas de la región DACH, está claro que están creando vías de seguridad viables al conectar el esfuerzo y los resultados de la formación con actividades del mundo real relacionadas con la prevención de riesgos, incluida la reducción de vulnerabilidades comunes en el código que producen.

Para construir un caso de negocio verdaderamente cuantificable para aumentar los presupuestos de seguridad, la concienciación y el cumplimiento general, la formación debe ser atractiva para los desarrolladores, coherente, adaptable y medible. Realizar un seguimiento de las etapas actuales de capacidad para adaptar la formación adecuada, descubrir defensores de la seguridad y medir el rendimiento del equipo a lo largo del tiempo son iniciativas vitales, y muchas empresas con visión de futuro en toda la región DACH están obteniendo beneficios tras un programa piloto integral de SCW.

Muchas empresas tienen dificultades con métricas de seguridad demasiado genéricas. Al utilizar la plataforma SCW de forma constante y a largo plazo, las empresas pueden aprovechar evaluaciones precisas, cursos y métricas de gestión para descubrir:

• Reducción de vulnerabilidades con el paso del tiempo
• Reducción del coste de corrección de vulnerabilidades con el paso del tiempo
• Desarrollo de habilidades individuales y de equipo con el paso del tiempo
• Reducción de costes y tiempos en la fase de pentesting

¿Qué métricas sigue actualmente su organización, con qué frecuencia se vuelven a medir y han mostrado una mejora notable con el tiempo? ¿Hasta qué punto están integradas sus iniciativas de formación en el flujo de trabajo actual de los desarrolladores?

El enfoque dinámico, gamificado e integral de SCW se considera una parte crucial del flujo de trabajo del Ciclo de Vida de Desarrollo de Software Seguro (SSDLC). Las empresas están dotando a sus desarrolladores de las herramientas y la formación adecuadas, además de integrar SCW en su flujo de trabajo SSDLC.