Impulsar el éxito significativo de las iniciativas empresariales de Secure-by-Design

Ha sido alentador ver cómo el movimiento Secure-By-Design (SBD) de la CISA cobra impulso en todo el mundo, a medida que Estados Unidos, Australia, Nueva Zelanda, Canadá, Singapur, Japón, Alemania y el Reino Unido se comprometen a integrar directrices similares en sus estrategias de ciberseguridad más amplias, y muchos de estos países también contribuyen a las recomendaciones originales.

Desde abril de 2024, más de 200 empresas, incluida Secure Code Warrior, han firmado el compromiso Secure-by-Design, lo que indica un compromiso más amplio de la industria con estándares más altos de calidad y seguridad del software. Consideramos estas directrices como un momento crucial para los líderes de ciberseguridad que, por primera vez, cuentan con el respaldo de gobiernos globales para un cambio cultural significativo en el desarrollo de software. Aunque estas recomendaciones aún no son obligatorias fuera de los proveedores de software que venden directamente al gobierno de EE. UU., lo veo no solo como el futuro, sino como una oportunidad de oro para empezar a contraatacar a los actores de amenazas. Un aspecto central de las directrices es esforzarse por eliminar categorías de vulnerabilidades, y un enfoque en toda la industria sobre este objetivo podría permitirnos lograr el impacto positivo más significativo en la seguridad digital en décadas.

Creemos que este movimiento es fundamental, y nuestro último informe de investigación, Benchmarking Security Skills: Streamlining Secure-by-Design in the Enterprise es el resultado de un análisis profundo de iniciativas reales de Secure-by-Design a nivel empresarial y de la obtención de mejores prácticas basadas en hallazgos respaldados por datos.

Medición del ROI de los esfuerzos organizacionales de Secure-by-Design

Una revisión de las prácticas de desarrollo de software establecidas desde hace mucho tiempo no es una tarea sencilla. Los CISO a menudo se enfrentan a desafíos al intentar demostrar el retorno de la inversión (ROI) y el valor comercial de las actividades del programa de seguridad tanto a nivel personal como empresarial, y muchos expresan una creciente frustración por la reducción del presupuesto y la falta de apoyo de la alta dirección a las nuevas iniciativas cibernéticas. Sin embargo, una propuesta respaldada por datos marcará la diferencia aquí.

En los últimos años, la ausencia de un punto de referencia de habilidades que permita a las organizaciones evaluar cómo están progresando frente a los estándares de la industria ha sido un desafío clave. Esto ha hecho que sea increíblemente difícil diseñar e implementar programas de seguridad que impacten en las áreas correctas y fomenten la mejora continua del grupo de desarrollo, un elemento crucial de las prácticas exitosas de seguridad de software.

La clave para que las iniciativas de Secure-by-Design funcionen no es solo dar a los desarrolladores las habilidades para garantizar un código seguro, sino también asegurar a los reguladores que esas habilidades están implementadas. Por eso, decidimos analizar la preparación de los equipos de desarrollo, y los resultados pueden sorprender.

Cómo las empresas que intentan acelerar sus iniciativas de SBD pueden aprovechar el Trust Score

Es prácticamente imposible mejorar de manera eficiente sin una idea sólida de dónde se empieza y hacia dónde se debe ir. Sin embargo, cientos de clientes empresariales utilizan eficazmente el SCW Trust Score—un punto de referencia global que cuantifica las competencias de seguridad de los equipos de desarrollo— para proporcionar estos puntos de datos útiles y granulares. Estos conocimientos dan forma a programas de seguridad altamente efectivos impulsados por los desarrolladores que son propicios para iniciativas exitosas de Secure-by-Design.

El análisis revelado en nuestro informe técnico muestra que las organizaciones de las principales industrias de infraestructura crítica están progresando en la preparación de sus desarrolladores para avanzar en sus iniciativas de SBD. También descubrimos que los equipos de desarrollo de estas industrias poseen una postura de seguridad promedio.

El análisis de Secure Code Warrior sobre la mejora de las habilidades de los desarrolladores en las industrias de infraestructura crítica se basa en conocimientos de más de 20 millones de puntos de datos, en 600 clientes empresariales y más de 250,000 desarrolladores activos en todo el mundo. El análisis encontró que:

• El número total de desarrolladores actualmente involucrados en iniciativas de mejora de habilidades de SBD centradas en el desarrollador es menos del 4% de todos los desarrolladores a nivel mundial;
• La industria de servicios financieros posee el Trust Score más alto, con 336;
• La mayoría de las iniciativas de mejora de habilidades de Secure-by-Design a gran escala tienen éxito, mientras que las iniciativas a menor escala tienden a estar dispersas. Sin embargo, cuando se les da un mandato, se ha demostrado que ofrecen un retorno de la inversión (ROI) medible más pronto;
• Cuando las iniciativas de mejora de habilidades están firmemente establecidas, los riesgos introducidos por los desarrolladores en las aplicaciones son considerablemente menores. El análisis encontró que los desarrolladores dentro de grandes iniciativas de mejora de habilidades (más de 7000 desarrolladores en una sola empresa) pueden reducir previsiblemente las vulnerabilidades en un 47-53%.

La solución | Conclusión

SCW Trust Score es una herramienta poderosa en el arsenal de cualquier líder de seguridad, lo que permite un análisis exhaustivo de áreas específicas dentro de una organización. Los informes se pueden filtrar según idiomas, equipos o categorías, produciendo informes personalizados que permiten a las empresas abordar las necesidades específicas de los desarrolladores o equipos e identificar las áreas donde se necesita capacitación o asesoramiento adicional. Después de todo, la seguridad es un esfuerzo interminable; comparar eficazmente el rendimiento ayudará a identificar oportunidades de mejora continua.

El desarrollo y despliegue acelerado de software, junto con un panorama de amenazas cibernéticas cada vez más amenazante y reguladores cada vez más atentos, han puesto la ciberseguridad en primer plano. Las organizaciones, si aún no lo han hecho, deben priorizar el desarrollo de una cultura de seguridad primero en toda la empresa.