Inteligencia de seguridad avanzada: cursos guiados para que los desarrolladores estén listos para el NIST

Últimamente se han producido avances muy positivos en el sector de la ciberseguridad. Parece que la mentalidad de priorizar la seguridad en el desarrollo de software, desde las fases iniciales, está empezando a mejorar en muchas organizaciones. Esto, sumado a medidas oficiales como la Orden Ejecutiva de Biden sobre ciberseguridad, ha dejado muy claro que todos debemos poner de nuestra parte para garantizar la seguridad del software y la protección de los datos. Lo que resulta especialmente emocionante es que el debate sobre el papel del desarrollador en el mantenimiento de estándares de codificación segura sigue evolucionando, incluso a nivel gubernamental.

Sin embargo, falta algo en este debate. La Orden Ejecutiva sugiere que los desarrolladores necesitan habilidades de seguridad verificadas, pero actualmente no existe tal certificación oficial. Muchas empresas siguen guiándose por el NIST (que proporcionó directrices actualizadas en respuesta a la Orden Ejecutiva) en su búsqueda de cumplimiento y mayores estándares de seguridad de software, pero si pensamos en estrategias para reducir significativamente las vulnerabilidades, incorporando las herramientas adecuadas y manteniendo la velocidad de lanzamiento, la mayoría son demasiado genéricas para lograr el resultado deseado. Aquí es donde muchas empresas se estancan, persistiendo con una formación limitada para desarrolladores o sin construir sobre bases generales que les proporcionen habilidades prácticas.

Los desarrolladores conscientes de la seguridad no surgen de la nada, pero pueden formarse y mejorar mucho más rápido con las herramientas adecuadas. Con ese fin, nos complace anunciar nuestro propio curso exclusivo para el cumplimiento del NIST, estructurado según las directrices de la Orden Ejecutiva del Gobierno de EE. UU.

Apoyo significativo a nivel de código para desarrolladores

Utilizando las directrices del NIST para software crítico según la Orden Ejecutiva (EO-critical) aquí, estructuramos el curso para cumplir con los cinco objetivos clave que, en última instancia, mejorarán la seguridad del software vital utilizado en los niveles más altos del gobierno y que, idealmente, debería servir como punto de referencia para un desarrollo de mayor calidad desde cero.

Para lograr un impacto real en un equipo de desarrollo, cualquier mejora de las competencias debe ir más allá de la teoría e implementarse de forma que no obligue a cambiar constantemente de contexto entre el trabajo y la formación para encontrar respuestas y mantener la agilidad. Las prácticas de seguridad meticulosas (por no hablar del equipo de seguridad) suelen verse como obstáculos para los sprints de desarrollo puntuales y limitan seriamente el estilo del ingeniero promedio centrado en las funcionalidades.

Los microaprendizajes cortos y digeribles, adaptados a las necesidades de los desarrolladores, tienen una acogida mucho mejor y dan lugar a una adquisición de habilidades práctica y memorable.

Eche un vistazo a cómo hemos estructurado esto para nuestro curso NIST:

Objetivo 1: Proteger el software crítico según la Orden Ejecutiva y las plataformas de software crítico según la Orden Ejecutiva contra el acceso y uso no autorizados.‍

Los atacantes se aprovechan de las configuraciones de seguridad incorrectas y de las prácticas de autenticación inadecuadas para infiltrarse con éxito en los sistemas, tomar el control de cuentas y robar datos. Son errores comunes que pueden derivar en problemas graves si se explotan con éxito.

En la plataforma de aprendizaje de Secure Code Warrior, los desarrolladores pueden realizar desafíos basados en fragmentos de código reales que reflejan con precisión cómo aparecerían estos errores en su trabajo diario, y encontrar la solución adecuada para protegerlos. Para los ingenieros de DevOps, asegurar la infraestructura requiere configuraciones de control de acceso meticulosas, y existen desafíos especializados para cumplir con este requisito en lenguajes de infraestructura como código (IaC) como Terraform, CloudFormation y Ansible, así como en el código utilizado en Docker y Kubernetes.

Objetivo 2: Proteger la confidencialidad, integridad y disponibilidad de los datos utilizados por el software crítico según la Orden Ejecutiva y las plataformas de software crítico según la Orden Ejecutiva.

Para este objetivo, todos los caminos conducen al control de acceso. El control de acceso deficiente destronó recientemente a los fallos de inyección como la principal amenaza en el OWASP Top 10 2021, y es un error grave que requiere las habilidades de desarrolladores conscientes de la seguridad para detectarlo y corregirlo lo antes posible.

El curso aborda conceptos como el principio de menor privilegio a nivel de código y ayuda a inculcar el enfoque de limitar el acceso en las cuentas de usuario solo a las áreas necesarias como mejor práctica.

Objetivo 3: Identificar y mantener las plataformas de software crítico según la Orden Ejecutiva y el software desplegado en dichas plataformas para proteger el software crítico según la Orden Ejecutiva contra la explotación.

Uno de los mayores desafíos en las grandes organizaciones es mantener la supervisión de seguridad de todo el software, los sistemas y los componentes que están en uso. Cuando se trata de gestión de riesgos y parches, estos elementos deben ser una prioridad en cualquier programa de seguridad, con los desarrolladores en alerta máxima para realizar el mantenimiento de seguridad.

En la plataforma de aprendizaje de Secure Code Warrior, los desarrolladores pueden realizar desafíos que les ayudarán a identificar y corregir componentes vulnerables, así como configuraciones de seguridad incorrectas basadas en permisos.

Objetivo 4: Detectar, responder y recuperarse rápidamente de amenazas e incidentes que involucren software y plataformas de software críticos para EO.

Es lamentable (y una pérdida de tiempo y dinero) que muchas organizaciones sigan centrándose en la respuesta a incidentes, en lugar de en la prevención, al abordar problemas de ciberseguridad. Estamos luchando por cambiar esta cultura, y los desarrolladores son quienes tienen el poder de proporcionar defensas preventivas cuando reciben la formación adecuada en mejores prácticas de seguridad.

El objetivo 4 requiere que los desarrolladores, en el contexto de su función, supervisen continuamente la seguridad en sus entornos y puntos finales, tanto a nivel de software como de red. El registro y la supervisión insuficientes son otro error común e insidioso, y es vital que los ingenieros sepan gestionar esto con éxito en sus tareas diarias.

En la plataforma de aprendizaje de Secure Code Warrior, los desarrolladores pueden participar en desafíos para perfeccionar estas habilidades, ya sea que trabajen con lenguajes web, de API o en la nube.

Concienciación sobre seguridad con sostenibilidad.

Objetivo 5: Fortalecer la comprensión y el desempeño de las acciones humanas que fomentan la seguridad del software y las plataformas de software críticos para EO.

Este punto es bastante general, pero es el más importante de lograr... y no se puede conseguir sin dominar los cuatro objetivos anteriores. Esta directriz exige que se realicen actividades frecuentes de concienciación sobre seguridad y que todas las "acciones humanas" en el software crítico para EO sean realizadas por personas adecuadamente formadas en el contexto de sus funciones y responsabilidades.

Los desarrolladores son quienes tienen un contacto más estrecho con el código, además de con las configuraciones de seguridad y el control de acceso. Sus habilidades de seguridad deben fomentarse y, para alcanzar los altos estándares establecidos por el NIST, una estructura de cursos prácticos puede ser la forma más eficiente de abordarlo, especialmente con grandes equipos de desarrollo.

Empiece a añadir puntos de experiencia y coeficiente intelectual de seguridad al equipo de desarrollo hoy mismo.