El cumplimiento normativo en servicios financieros depende de la seguridad del software

Las instituciones de servicios financieros tienen razones de peso para garantizar que el código de software que utilizan sea seguro. Una motivación evidente es, por supuesto, la necesidad de proteger sus datos frente a brechas de seguridad, lo cual puede resultar costoso en términos de filtración de información de identificación personal (PII), gastos de remediación, multas, indemnizaciones y daños a la reputación de la organización. Otra razón constante es la necesidad de mantener el cumplimiento de una amplia gama de normativas gubernamentales y del sector.

Debido a que manejan una gran cantidad de información sensible, personal y financiera, además del dinero de los usuarios, los servicios financieros constituyen un sector altamente regulado. Dependiendo de los servicios que presten, las empresas deben cumplir con una combinación de normas y requisitos.

El Estándar de Seguridad de Datos para la Industria de Tarjeta de Pago (PCI DSS) es bien conocido por sus normas sobre la protección de los datos de los titulares de tarjetas, por ejemplo. Los requisitos de la Ley Sarbanes-Oxley rigen la gestión de registros financieros. Las empresas que operan a nivel internacional están familiarizadas con la Ley de Resiliencia Operativa Digital (DORA), que es un marco vinculante de gestión de riesgos, y con las normas globales para transferencias de fondos establecidas por la Sociedad para las Telecomunicaciones Financieras Interbancarias Mundiales, conocida como Swift.

Asimismo, leyes como la Ley de Privacidad del Consumidor de California (CCPA) y el Reglamento General de Protección de Datos (RGPD) de la UE establecen requisitos para proteger la privacidad y la información personal de los clientes. Existen otras normativas, como las establecidas por la Oficina del Contralor de la Moneda (OCC) de EE. UU. y el Banco Central Europeo (BCE).

Por si fuera poco, la Estrategia Nacional de Ciberseguridad establece, entre otras cosas, que los fabricantes de software deben ser responsables de una seguridad de software ineficaz. Además, la Agencia de Ciberseguridad y de Seguridad de las Infraestructuras (CISA), junto con 17 socios estadounidenses e internacionales, ha publicado una guía sobre principios de seguridad desde el diseño (Secure-By-Design) para el desarrollo de software.

Un denominador común para las empresas de servicios financieros es que el código seguro es un elemento crítico para ayudar a alcanzar los objetivos de dichas regulaciones, lo que facilita demostrar el cumplimiento de las mismas. Esto subraya por qué los desarrolladores necesitan formación y capacitación continua para garantizar que la seguridad se aplique al código desde el inicio del proceso de desarrollo.

Como ejemplo de cómo funciona esto, analicemos la versión más reciente de PCI DSS.

La codificación segura (y la formación de desarrolladores) es el núcleo de PCI DSS 4.0

PCI DSS 4.0, que entró en vigor el 1 de abril de 2024, incluye varias actualizaciones sustanciales respecto a PCI DSS 3.2.1, entre las que destaca el énfasis en el papel que desempeñan los desarrolladores para garantizar la seguridad del código de software.

PCI ha reconocido desde hace tiempo la importancia del software seguro. La versión 2.0, publicada en 2017, incluía orientación para desarrolladores sobre cómo garantizar transacciones seguras en dispositivos móviles. La guía de la versión 4.0 ahora enfatiza la aplicación de las mejores prácticas de seguridad al desarrollo de software e incluye directrices específicas sobre la formación de los desarrolladores.

Los requisitos suelen estar planteados de forma general, aunque las empresas pueden optar por implementar un enfoque más exhaustivo.

Por ejemplo, un requisito de la versión 4.0 establece que los "procesos y mecanismos para desarrollar y mantener sistemas y software seguros deben estar definidos y comprendidos". Una buena forma de garantizar que esto se cumpla es que los desarrolladores reciban formación precisa en los lenguajes de programación y marcos de trabajo que utilizan, con el fin de cubrir cualquier brecha de conocimiento.

Otro requisito establece que los desarrolladores que trabajan en software a medida y personalizado deben recibir formación al menos una vez cada 12 meses, cubriendo:

• Seguridad de software relevante para su función laboral y lenguajes de desarrollo.
• Técnicas de diseño y codificación de software seguro.
• Cómo utilizar herramientas de pruebas de seguridad —si se están utilizando— para detectar vulnerabilidades en el software.

En realidad, sin embargo, una vez al año no es suficiente para abordar los problemas de seguridad fundamentales y eliminar los malos hábitos de codificación. La formación debe ser continua y medida, con un proceso de verificación de habilidades para asegurar que se está aprovechando al máximo.

PCI DSS 4.0 incluye más de media docena de otros requisitos que abordan áreas como la prevención y mitigación de diversos tipos de ataques, la documentación de componentes de software de terceros, la identificación y gestión de vulnerabilidades, y otros pasos de seguridad. En todos los casos, sería prudente que las organizaciones aplicaran estas medidas de forma exhaustiva. La formación sobre vectores de ataque debería ser frecuente, no anual. Los componentes de terceros, que suelen ser una fuente de vulnerabilidades, deben inventariarse cuidadosamente mediante un programa de Lista de Materiales de Software (SBOM). Asimismo, las organizaciones deben asegurarse de tener roles claramente definidos para la gestión de vulnerabilidades.

La nueva versión también ofrece a las organizaciones cierta flexibilidad para cumplir con sus requisitos, centrándose en los resultados en lugar de en marcar casillas, al tiempo que añade nuevos requisitos para controles de autenticación, longitud de contraseñas, cuentas compartidas y otros factores.

El cumplimiento comienza al inicio del ciclo de vida de desarrollo de software (SDLC)

Lo que estas normativas tienen en común es que intentan establecer estándares elevados para proteger los datos y las transacciones en el sector de los servicios financieros. Además, al igual que ocurre con la última versión de PCI DSS, hacen cada vez más hincapié en la importancia del código seguro desde el inicio del ciclo de vida de desarrollo de software (SDLC). La Estrategia Nacional de Ciberseguridad y los principios de "Secure by Design" de CISA también trasladan la responsabilidad de la seguridad a los creadores del software —antes de su lanzamiento—, por lo que incluso las empresas que no están directamente sujetas a las normativas financieras deben cumplir con estos requisitos.

Las organizaciones deben cerrar la brecha existente entre los equipos de DevOps (centrados en la velocidad de desarrollo) y los de AppSec (que se apresuran a integrar la seguridad en el proceso) capacitando a los desarrolladores para que la seguridad sea inherente a su enfoque. Sin embargo, esto requiere un conjunto complejo de habilidades que va más allá de lo que pueden ofrecer las sesiones de formación anuales o los programas educativos estándar y estáticos. La formación debe ser continua y ágil, diseñada para involucrar a los alumnos con escenarios reales y activos, y entregada en pequeñas dosis que se adapten a sus horarios de trabajo.

Las empresas de servicios financieros deben garantizar la seguridad tanto para protegerse contra las brechas como para cumplir con normativas cada vez más estrictas. Los costes del incumplimiento pueden ser tan perjudiciales como una brecha en términos de impacto en la reputación y pérdidas económicas. El Informe sobre el coste de una brecha de datos 2023 de IBM, por ejemplo, reveló que las organizaciones con un alto nivel de incumplimiento se enfrentaron, de media, a multas y otros costes por un total de 5,05 millones de dólares, medio millón de dólares más que el coste medio de una brecha de datos real.

El crecimiento continuo de los entornos basados en la nube y las transacciones digitales ha hecho que la seguridad del software en el sector de los servicios financieros sea de suma importancia, algo que reconocen normativas como PCI DSS. La mejor manera de garantizar un software seguro es mediante una codificación segura desde el inicio del SDLC. Y la forma de lograrlo es capacitando eficazmente a los desarrolladores en prácticas de codificación segura.

Para obtener una visión general completa de cómo la codificación segura puede ayudar a garantizar el éxito, la seguridad y los beneficios de las empresas de servicios financieros, puede leer el nuevo libro electrónico de Secure Code Warrior: La guía definitiva sobre tendencias de seguridad en servicios financieros.

Visite las páginas del blog de Secure Code Warrior para obtener más información sobre ciberseguridad, el panorama de amenazas cada vez más peligroso y aprender cómo puede emplear tecnología y formación innovadoras para proteger mejor a su organización y a sus clientes.

‍