Para que los desarrolladores ayuden a derrotar a la bestia del cibercrimen, la formación es una misión que consta de dos partes

Una versión de este artículo apareció en DevOps.com. Ha sido actualizado y distribuido aquí.

El terreno de juego entre héroes y villanos en la ciberseguridad es notoriamente injusto. Los datos confidenciales son el nuevo oro, y los atacantes se adaptan rápidamente para eludir las defensas, explotando fallos de seguridad, grandes y pequeños, en busca de un botín potencial.

El volumen de código que se produce es demasiado grande para que los expertos en seguridad —cada vez más escasos— puedan hacerle frente, y el creciente coste de las brechas de datos es la prueba de que algo tiene que cambiar. Afortunadamente, por el bien de nuestra seguridad digital y la salud mental de los CISO de todo el mundo, el movimiento DevSecOps está ayudando a involucrar a los desarrolladores en el proceso de seguridad desde el inicio del ciclo de vida del desarrollo de software. Se les reconoce como la primera línea de defensa contra los ciberatacantes, con el poder de eliminar vulnerabilidades comunes al alcance de su mano.

Sin embargo, sus capacidades defensivas son tan buenas como la formación que reciben, y ese es otro obstáculo más que los equipos de seguridad deben superar. Para muchos desarrolladores que reciben formación en codificación segura en el trabajo, el principal desafío es mantenerse despiertos durante actividades tediosas y pasivas que no son efectivas ni los inspiran a mantener la seguridad como prioridad. Los cursos en vídeo sin alma no nos llevan a ninguna parte, los eventos anuales de "cumplir el expediente" son una pérdida de tiempo, y nadie está ganando la partida al posible actor malintencionado que espera aprovechar cualquier pequeña oportunidad.

En esta etapa de nuestra industria, hemos comprendido que la educación contextual y práctica, impartida en lenguajes y marcos de programación relevantes, con desafíos que imitan los que un desarrollador podría encontrar en el mundo real, es un enfoque mucho más atractivo.

Esta es la primera fase de la búsqueda de un desarrollador para ayudar a los gurús de AppSec a eliminar vulnerabilidades comunes, pero la segunda fase es donde los escenarios deben volverse reales para lograr una fuerza defensiva superpotente y consciente de la seguridad.

El aprendizaje andamiado es fundamental en la educación de adultos

Cuando se trata de cursos extracurriculares o formación en el trabajo, a menudo se pasa por alto que los adultos aportan un cierto nivel de experiencia y conocimientos previos. Una buena formación añade valor a esta base y se estructura de manera que permite una comprensión más profunda y una mayor autonomía en el proceso de aprendizaje.

La educación andamiada es un método de aprendizaje potente y positivo que busca activar y mejorar la experiencia previa, mientras se siguen construyendo nuevas habilidades —en fragmentos manejables— que permiten al alumno abordar tareas cada vez más difíciles con mayor confianza. Por lo general, es una metodología que funciona mejor con buenas dosis de demostración, ayudas visuales y exploración dirigida por el propio estudiante.

Si vinculamos este enfoque con la formación en seguridad para desarrolladores, no sorprende que el método dinámico de "aprender haciendo" haya sido preferido durante mucho tiempo frente a la monotonía del aprendizaje teórico estático. Son libres de ser los dueños de su dominio y deben ver que su tiempo está bien invertido.

En ese sentido, aprender a programar de forma segura en un entorno hiperrelevante y contextual es clave, pero el siguiente nivel es ver una explotación de código vulnerable en acción. Con el contexto de las vistas de frontend y backend lado a lado, existe un vínculo tangible entre las acciones tomadas durante el proceso de codificación y lo que un atacante puede hacer potencialmente con atajos, configuraciones erróneas o accidentes que no se detectan ni se corrigen.

Pasar del recuerdo a la aplicación para un enfoque de seguridad verdaderamente preventivo

Experimentar el impacto de las vulnerabilidades de seguridad de primera mano es una pieza vital del rompecabezas educativo, y es algo bastante raro, incluso con las opciones de formación en seguridad más modernas para desarrolladores. El trabajo fundamental dedicado a perfeccionar las habilidades para detectar y remediar vulnerabilidades, y recordar esa experiencia para eliminar los mismos errores en el código mientras se escribe, es extremadamente importante, pero no es la imagen completa. Ver cómo un actor malintencionado explota el código vulnerable añade una poderosa capa de contexto, una que realmente refuerza la importancia de asegurar el código y aplicar los conocimientos de seguridad adquiridos con esfuerzo para cerrar cada ventana de oportunidad.

Por lo general, se acepta que a los desarrolladores no les encanta la seguridad, y tienen aún menos afecto por la formación en seguridad. Sus experiencias con los especialistas en AppSec pueden ser muy frías, y el trabajo extra causado por el equipo de seguridad al devolver código vulnerable a los desarrolladores para su corrección es la pesadilla de su existencia. Para un equipo de ingeniería que ya está al límite, la seguridad es problema de otro, no su prioridad, y un obstáculo para su creatividad natural y su objetivo principal de crear funcionalidades. Sin embargo, simplemente hay demasiado código, demasiadas brechas y demasiado riesgo para los datos del mundo como para que esta mentalidad continúe.

Un proceso DevSecOps funcional hace que los desarrolladores trabajen en armonía con los equipos de seguridad desde el principio del ciclo de vida de desarrollo de software (SDLC), y la oportunidad de aprendizaje aplicado, donde pueden interactuar con una explotación simulada y ver el impacto de un código mal asegurado, ayuda mucho a que los desarrolladores se pongan en sintonía con esos molestos especialistas en AppSec (que, después de todo, no son tan malos).

El aprendizaje interactivo prepara a los desarrolladores para el enfrentamiento final

En el momento de escribir este artículo, se reportaron dos brechas importantes en un período de 7 días: Razer anunció que más de 100.000 registros de datos confidenciales habían quedado expuestos, mientras que la cadena de suministros de oficina Staples también informó de una filtración de datos similar. Más de mil millones de registros confidenciales han quedado expuestos en lo que va de 2020, y esta preocupante tendencia no muestra signos de desaceleración. En pocas palabras, los actores malintencionados llevan la delantera, y se necesitan urgentemente desarrolladores conscientes de la seguridad para servir como primera línea de defensa.

Los desafíos interactivos centrados en simular dichas brechas permiten a los desarrolladores pasar de la memorización pasiva, a la aplicación de habilidades que marcan la diferencia en el enfrentamiento final: detener a los atacantes en seco.

‍