Convertir el aburrido cumplimiento de PCI-DSS en un ejercicio útil para todos: Parte 1 - AppSec

Esta es la primera parte de una serie de dos entregas sobre cómo lograr el cumplimiento de PCI-DSS dentro de una organización. En este capítulo, detallamos cómo los especialistas en AppSec pueden colaborar estrechamente con los gerentes de desarrollo para empoderar a los desarrolladores, fortalecer el SSDLC y obtener resultados concretos a partir de la legislación general.

La palabra "cumplimiento" no resulta muy emocionante. Es formal, árida, directiva... incluso un poco restrictiva en su tono. Si tuviera un color, sería beige. Y, bueno, parece estar en conflicto con cualquier tipo de entorno creativo o de innovación.

Como desarrollador, mi experiencia con el "cumplimiento" solía significar leer (por encima) algunas directrices o ver una presentación, antes de volver a programar funcionalidades y centrarme en crear software que los clientes usen y valoren. Todos retienen lo que pueden en el momento (e intentan hacer lo correcto en todo momento), pero las directrices de cumplimiento —especialmente las que rodean a las mejores prácticas de seguridad— no suelen estar redactadas pensando en los desarrolladores como público objetivo, y cualquier acción requerida puede resultar poco clara. En ese escenario, es demasiado fácil limitarse a seguir con los objetivos actuales.

La cuestión es que el desarrollo de software seguro ya no es algo "deseable" en ninguna empresa; es (o debería ser) una prioridad en toda organización... y si esta maneja grandes cantidades de información confidencial de clientes, entonces es un blanco fácil para los ciberataques. Los desarrolladores son los primeros en trabajar con el código y, como tales, deberían estar tan involucrados como el resto del equipo en cualquier medida de cumplimiento de seguridad.

Pero, espera... escúchame. Esto no significa que todos deban convertirse en esclavos de un desarrollo rígido y sin creatividad. Significa que la empresa tiene la oportunidad y el poder de crear un estándar de código más alto, juntos. Poco a poco, el mundo está comprendiendo que, hasta la fecha, los desarrolladores no han tenido exactamente las herramientas adecuadas a su disposición para hacer de la seguridad una prioridad (y los especialistas en seguridad aislados no pueden cargar con la responsabilidad solos). Sin embargo, a medida que la industria avanza hacia un futuro DevSecOps con la seguridad como responsabilidad compartida, pueden ayudar a frenar el flujo de vulnerabilidades recurrentes cuando se les prepara para el éxito.

Las directrices PCI-DSS cubren el cumplimiento de la seguridad en línea para las pasarelas de pago con tarjeta, un servicio que la mayoría de nosotros utilizamos habitualmente. Estas directrices son aplicables a nivel mundial y, de hecho, han detallado lo que los desarrolladores deben hacer para mantener los estándares en línea con sus mandatos, junto con varios documentos de cumplimiento en aspectos del comercio electrónico.

Las brechas de datos son riesgos aterradores que destruyen la reputación y que las empresas difícilmente pueden permitirse, y con Cyber Security Ventures pronosticando que las brechas de día cero alcanzarán una por día en 2021, esto es algo contra lo que todos en el proceso de entrega de software pueden ayudar a luchar.

Analicemos las recomendaciones de PCI-DSS y cómo pueden funcionar en todo el equipo:

Atención, equipos de AppSec y Cumplimiento: No toda la formación para desarrolladores es igual

Los desarrolladores en organizaciones grandes (o incluso pequeñas) rara vez tienen mucha voz en la formación que reciben en el trabajo. Para retener a los empleados estrella, algunas empresas ofrecen programas integrales, pero siguen siendo menos comunes de lo que deberían. La necesidad de formación en seguridad presenta una gran oportunidad no solo para iniciar el cumplimiento organizacional sin aburrir a nadie hasta la muerte, sino también para empezar a mejorar las relaciones frías con el equipo de desarrollo.

En términos de cumplimiento PCI, se puede ver que sus directrices son específicas sobre los resultados que esperarían de cualquier software que ejecute pasarelas de pago; entre otros objetivos, quieren que las aplicaciones estén reforzadas (vital para frustrar la inyección de código malicioso o la manipulación), controles de privilegios mínimos y una conciencia total de las vulnerabilidades comunes... como mínimo. Todo el personal que trabaje con datos de titulares de tarjetas debe estar adecuadamente formado, y para los desarrolladores, esa formación puede marcar la diferencia entre el éxito y el fracaso a la hora de escribir código seguro desde el inicio de su proceso.

El documento oficial Mejores prácticas para mantener el cumplimiento de PCI-DSS detalla algunos conceptos directos sobre la concienciación en seguridad, las necesidades de los desarrolladores y la formación adecuada, como:

Copyright © 2006 - 2020 PCI Security Standards Council, LLC. Todos los derechos reservados.

Esto ofrece una visión de la formación específica y profunda necesaria para dotar a los desarrolladores de las habilidades necesarias, pero sigue sin señalar ningún tipo de solución educativa como más eficaz que otra. La Guía PCI-DSS para Desarrolladores es un poco más directa, identificando el Top 10 de OWASP como un punto de referencia para aprender a encontrar y corregir las vulnerabilidades más comunes, así como algunos programas de certificación.

Pero... aquí está el problema. Como sin duda sabrás por diversas iniciativas de formación y cumplimiento en el lugar de trabajo, pueden variar enormemente en calidad y éxito futuro. Y cuando se trata de desarrolladores, muchos programas de formación en codificación segura no parecen satisfacer nuestras necesidades, formas de trabajar o incluso nuestros trabajos diarios de manera significativa. En este escenario, no toda la formación es igual, y no toda la formación dará como resultado un software más seguro. Esto es, por supuesto, exactamente lo contrario de lo que deseas, y no reducirá el estrés de tu propio trabajo en ninguna medida significativa. Si quieres reducir la carga y evitar que las vulnerabilidades comunes causen posibles desastres, tendrás que construir un puente.

Cerrando la brecha de habilidades de seguridad con los gerentes de ingeniería de tu lado

Colaborar directamente con los responsables de ingeniería para encontrar una solución adecuada, que además sea bien recibida por quienes deben implementarla, es la vía rápida hacia resultados de seguridad positivos. Ellos conocen mejor a sus equipos y pueden identificar los obstáculos que han dificultado la formación en cumplimiento (más allá de que, por lo general, no suele ser una experiencia muy agradable).

La formación presencial, los vídeos bajo demanda y cualquier ejercicio puntual de "cumplir por cumplir" dificultan mucho mantenerse al día; son soluciones estáticas que no pueden seguir el ritmo del cambiante panorama de la ciberseguridad. Al final, el responsable de ingeniería querrá ver resultados que justifiquen la inversión de tiempo, por lo que es vital ofrecer opciones viables que ayuden a alcanzar el objetivo común: un código más seguro y conforme a la normativa.

Entonces, ¿cómo es una buena formación? No tiene mucho sentido aprender a programar de forma segura mediante grandes dosis de información puntuales. Un proceso de aprendizaje gradual y en pequeñas dosis facilita mucho la retención y la aplicación en el contexto real, y debe realizarse obligatoriamente en los lenguajes y marcos de trabajo que se usan a diario. Personalmente, me gusta que me desafíen y ver el propósito de mi esfuerzo; al fin y al cabo, todos estamos bastante ocupados, ¿no?

Para cumplir con las mejores prácticas de PCI-DSS mencionadas, y dependiendo de la solución elegida, los responsables podrían verse obligados a combinar diversos cursos para cubrir todos los lenguajes y marcos de la empresa. Ahí es donde todo se complica, sin mencionar lo difícil que resulta para los equipos de AppSec y cumplimiento evaluar si realmente se está reduciendo la vulnerabilidad del software. Colaboren para encontrar la opción adecuada en lugar de precipitarse por obtener resultados rápidos. De lo contrario, podrían acabar con una solución de formación tipo Frankenstein... y eso da mucho miedo.

Gracias por leer la primera parte de esta miniserie sobre PCI-DSS. En el capítulo final, hablaremos de cómo los CISO y CTO pueden impulsar esta transformación cultural, capacitar a los equipos y cómo la primera línea de seguridad —el grupo de desarrolladores— puede aprovechar la concienciación y el cumplimiento de PCI-DSS a su favor.