Establecer un enfoque coherente para la seguridad liderada por desarrolladores

En respuesta a importantes brechas de seguridad como la campaña de SolarWinds, que utilizó un proceso de actualización de software para infectar a más de 18 000 usuarios del popular software de gestión Orion, incluidas muchas grandes corporaciones y agencias gubernamentales, existe una mayor presión para lograr esfuerzos de seguridad más eficaces liderados por los desarrolladores. Las organizaciones de todos los tamaños están empezando a cuestionar su «cadena de suministro de software» y a exigir que los desarrolladores que crean su software cuenten con habilidades y conocimientos de seguridad verificados.

Incluso el gobierno de los Estados Unidos está pidiendo mejores prácticas de seguridad lideradas por los desarrolladores y un fortalecimiento de la cadena de suministro de software. Estos conceptos son un componente clave de una Orden Ejecutiva sobre la mejora de la ciberseguridad de la nación emitida por el presidente Biden.

En general, la comunidad de desarrolladores ha sido receptiva a la idea de trasladar la seguridad a etapas más tempranas del ciclo de vida de desarrollo de software (SDLC) a través de programas y movimientos como DevSecOps. Y, en una encuesta reciente, la comunidad de desarrolladores afirmó valorar la formación en seguridad que recibió para apoyar dicho esfuerzo.

Las vulnerabilidades de software siguen siendo explotadas, e incluso los desarrolladores admiten que a veces dejan vulnerabilidades en su código.

¿Por qué?

La encuesta confirmó que escribir código de calidad era una prioridad máxima para la comunidad de desarrollo. Sin embargo, también identificó varias razones por las que la formación que reciben los desarrolladores, aunque se considera valiosa, no alcanza el objetivo de ayudar a asegurar la cadena de suministro de software. El 33 % afirmó que seguía dejando vulnerabilidades en su código porque, incluso después de la formación recibida, no sabía cómo identificar o corregir las vulnerabilidades conocidas. Además, un abrumador 92 % dijo necesitar al menos cierto nivel de formación adicional en seguridad, mientras que el 50 % señaló que se requería mucha más formación.

Está claro que la comunidad de desarrolladores valora la formación que recibe. Sin embargo, al preguntarles sobre las barreras para la adopción de prácticas de codificación segura, la falta de tiempo fue citada como la razón principal, seguida por una quinta parte de los encuestados que señaló la falta de un enfoque cohesivo como el culpable. La formación se veía más como un evento puntual que como parte de un esfuerzo estratégico continuo para incorporar la seguridad en los flujos de trabajo de los desarrolladores y utilizarla a diario.

Como resultado, los desarrolladores no están capacitados para desarrollar y retener habilidades de codificación segura como parte de un programa cohesivo y continuo en sus organizaciones. También podemos concluir que la formación que reciben actualmente no es especialmente eficaz ni exhaustiva, dado que muchos desarrolladores afirman que todavía no pueden identificar ni corregir vulnerabilidades comunes.

El 92 % de los desarrolladores afirmó necesitar al menos cierto nivel de formación adicional en seguridad, mientras que el 50 % señaló que se requería mucha más formación.

¿Qué pueden hacer las organizaciones para solucionar esta situación?

Resulta interesante que los desarrolladores hayan afirmado de forma abrumadora que necesitaban más formación en seguridad. Y, aunque valoraban la formación recibida, podría tratarse de una situación en la que simplemente se conforman con lo que pueden conseguir.

Cuando se les pidió que comentaran formas de mejorar su formación, empezaron a surgir sus verdaderas opiniones sobre el tema. En general, la mayor parte de la formación que recibían los desarrolladores era limitada, no interactiva, solo estaba parcialmente orientada a sus responsabilidades laborales y no formaba parte de un plan global o continuo para ayudar a mejorar las habilidades y la concienciación sobre seguridad de su organización. Según los desarrolladores encuestados, si las organizaciones quieren mejorar la eficacia de la formación ofrecida, esta debería presentarse como parte de un enfoque integral para promover un mayor énfasis en la seguridad a lo largo del SDLC. Además, los desarrolladores hicieron peticiones específicas para que su formación fuera más valiosa. Una de las sugerencias más populares fue incluir más casos de uso y ejemplos prácticos de situaciones que probablemente encontrarían desde una perspectiva de seguridad. Otra respuesta popular para mejorar la eficacia fue que la formación cubriera escenarios cada vez más complejos o difíciles, una medida que probablemente también requeriría un enfoque más cohesivo y un plan a largo plazo para el aprendizaje continuo y el desarrollo de habilidades. Los desarrolladores también destacaron la necesidad de una mayor interactividad y, tal vez, de añadir un elemento competitivo. En general, la formación en la que los usuarios simplemente ven un vídeo o escuchan una conferencia sin oportunidad de aprendizaje práctico y contextual no se considera eficaz ni especialmente valiosa cuando se intenta enseñar una habilidad compleja y (percibida como) difícil como la codificación segura.

Los desarrolladores también destacaron la necesidad de una mayor interactividad y, tal vez, de añadir un elemento competitivo.

¿Qué otros elementos son importantes al adoptar un enfoque de seguridad cohesivo?

La formación es, por supuesto, fundamental cuando se intenta mejorar la concienciación y las habilidades de seguridad de la comunidad de desarrolladores de una organización. Y garantizar que el aprendizaje sea continuo, interactivo, relevante y contextual es una necesidad. Pero un enfoque verdaderamente cohesivo para una mejor concienciación sobre la seguridad va incluso más allá.

Un enfoque verdaderamente cohesivo debe considerar lo que se necesita para fomentar una cultura de seguridad genuinamente liderada por los desarrolladores. Puede requerir cambiar el enfoque de las formas típicas de gestionar y crear equipos de desarrollo. Por ejemplo, tradicionalmente se ha evaluado a los desarrolladores en función de la rapidez con la que podían programar. Pero un enfoque cohesivo de la seguridad podría implicar cambiar esas métricas y valores arraigados. En su lugar, las evaluaciones podrían dejar de premiar la velocidad bruta para recompensar a aquellos desarrolladores que puedan crear código de calidad que además sea seguro, es decir, que esté libre de vulnerabilidades.

También podría involucrar a la propia comunidad de desarrolladores como parte del esfuerzo. En lugar de simplemente imponer la seguridad a los desarrolladores, considere crear o designar campeones de seguridad dentro de la comunidad. Se trataría de desarrolladores talentosos y conscientes de la seguridad que se distingan ya sea en la formación o como parte de las evaluaciones basadas en las nuevas métricas. También deberían estar dispuestos a ayudar a otros desarrolladores a mejorar sus habilidades, mejorando así la comunidad de desarrollo desde dentro.

Un enfoque verdaderamente cohesivo debe considerar lo que se necesita para fomentar una cultura de seguridad genuinamente liderada por los desarrolladores. Puede requerir cambiar el enfoque de las formas típicas de gestionar y crear equipos de desarrollo.

Lecturas adicionales

Informe técnico: Los desafíos (y oportunidades) para mejorar la seguridad del software

Informe técnico: El enfoque preventivo de seguridad de software impulsado por desarrolladores

Informe técnico: El Superbowl de DevSecOps: cómo los defensores de la seguridad pueden llevar a su equipo a la victoria frente a vulnerabilidades tardías

Informe: El estado de la seguridad impulsada por desarrolladores en 2022