Convertir el aburrido cumplimiento de PCI-DSS en un ejercicio significativo para todos: Parte 2 - CISOs y concienciación de los desarrolladores

Esta es la segunda parte de una miniserie sobre el cumplimiento de PCI-DSS dentro de una organización. En este capítulo final, detallamos cómo los CTO y CISO pueden liderar desde la dirección para reducir el riesgo cibernético y hacer que el proceso sea fluido, exitoso... y quizás hasta un poco divertido para los desarrolladores. (¿Te perdiste la primera parte? Consúltala aquí y descubre cómo los especialistas en AppSec pueden aprovechar esta oportunidad para obtener mejores resultados de seguridad).

Las mejores prácticas de PCI-DSS son, sin duda, una responsabilidad compartida, pero los CISO y CTO pueden aprovechar su considerable influencia para crear un programa de seguridad próspero y positivo desde la dirección. Son la cara visible de la confianza en la ciberseguridad y del sentimiento relacionado con los usuarios finales, y centrarse en la concienciación desde el principio tiene un poderoso efecto en cascada, ayudando a los desarrolladores y profesionales de AppSec a obtener los conocimientos, las herramientas y el apoyo que necesitan para contribuir a una postura de seguridad sólida dentro de la empresa.

Es importante cumplir con la normativa, pero cuando todos entienden el "porqué", ven resultados y reciben el apoyo adecuado, un programa puede trascender la legislación y convertirse en algo natural.

Los CTO y CISO tienen un papel fundamental en la creación de confianza mutua

¿Has estado en un sitio web recientemente y te lo has pensado dos veces antes de facilitar los datos de tu tarjeta de crédito? A menos que se trate de la aplicación web de aspecto sospechoso que gestiona los pedidos online de tu pizzería local, es probable que no sea algo que experimentes muy a menudo, especialmente con grandes corporaciones y marcas conocidas de venta online.

A menos que revelen una brecha de seguridad, por supuesto.

El gigante mundial del alojamiento, Marriott, acaba de revelar su segunda brecha en el espacio de tres años, resultando esta vez en el robo de 5,2 millones de registros de clientes. En esta ocasión, no parece que la información de pago formara parte del robo, aunque su catastrófica brecha de 2018 sí lo hizo; 383 millones de clientes se vieron comprometidos, con el robo de 5 millones de números de pasaporte sin cifrar, así como 8 millones de números de tarjetas de crédito.

Si la confianza de los clientes en la marca Marriott no estaba ya lo suficientemente baja, diría que está a punto de tocar fondo. Este es el tipo de cosas que quitan el sueño a los CISO, ya que se sienten como blancos fáciles en la guerra contra las ciberamenazas. Basta con mirar a Equifax, Yahoo, Sony o Target: son solo algunos de los grandes nombres que han sufrido brechas a gran escala, lo que representa miles de millones de registros de datos robados, cientos de miles de millones de dólares en daños y un impacto devastador en la confianza de sus clientes. Es un desastre para el negocio (Target informó de una caída de beneficios de 440 millones de dólares en el trimestre posterior a su brecha de 2014), y aunque las personas individuales no suelen ser consideradas responsables (después de todo, la seguridad del software debería ser una responsabilidad compartida), no es algo que quieras tener en un currículum por lo demás brillante si trabajabas para estas organizaciones en ese momento.

Prescindir de un programa de seguridad sólido para lograr el cumplimiento en una organización que maneja pagos, datos confidenciales y ese activo intangible que es la percepción positiva del cliente, es un indicador de una empresa que no solo está en riesgo, sino que se está quedando seriamente atrás en innovación.

A todos debería preocuparles la confianza en la relación entre el cliente y la organización.

Más allá del estrés y la calamidad que enfrentan los departamentos de TI, desarrollo y seguridad tras una brecha, el factor de confianza es un elemento clave para el éxito a largo plazo de una empresa nueva o para el crecimiento continuo de una ya establecida. Lo que está en juego, obviamente, es tu puesto de trabajo si la empresa se enfrenta a una recesión económica como consecuencia de la pérdida de confianza.

Las normativas PCI-DSS hacen que las empresas rindan cuentas —y, como se mencionó anteriormente, ignorar estos planes bien establecidos tiene enormes implicaciones—, pero solo son tan buenas como el programa de seguridad que se implementa y las personas que trabajan en él. Si te los tomas en serio, te mantienes alerta y das ejemplo a los demás, te estarás diferenciando de una manera muy positiva.

La concienciación lo es todo.

Un programa de concienciación sobre seguridad deficiente hará que la mayoría de los intentos de cumplir con PCI sean prácticamente inútiles. La concienciación sobre seguridad en toda la organización constituye la parte más crítica de las directrices de mejores prácticas; incluso ofrecen sus propios módulos de formación sobre cómo se puede implementar esto en funciones interdepartamentales y cómo se ve esto en las empresas que lo están haciendo bien.

A medida que avanzamos hacia DevSecOps como el estándar de oro actual en el desarrollo de software seguro —en el que la seguridad como responsabilidad compartida es fundamental—, las empresas deben invertir tiempo, dinero y esfuerzo para garantizar que todos, incluidos proveedores y contratistas, sean conscientes de la seguridad y sigan las mejores prácticas.

Un desarrollador consciente de la seguridad es un desarrollador que cumple con la normativa (y llegar a ese punto no tiene por qué ser aburrido)

Cuando se trata de convertirse en un desarrollador "certificado" en cumplimiento PCI-DSS, no hay muchas opciones claras. ¿Por qué? Probablemente porque no puede ser un ejercicio de "hacerlo una vez y listo".

La OWASP es una de las mejores organizaciones del mundo para aprender a prevenir vulnerabilidades comunes, y su Top 10 figura formalmente en las directrices PCI-DSS para desarrolladores. Sin embargo, mantener la seguridad como prioridad y perfeccionar las habilidades requiere tiempo y un esfuerzo constante. Y nadie quiere que esto sea aburrido o una pérdida de tiempo.

Una cultura de seguridad positiva no es algo "deseable" en una organización; si se toman la seguridad en serio, debe formar parte del funcionamiento diario de la empresa.

Los desarrolladores están en la primera línea de batalla cuando se trata de detener vulnerabilidades. ¿Reciben el apoyo, las herramientas y la formación necesarios para cumplir con su parte del acuerdo de seguridad en el cumplimiento de PCI-DSS?

La verdad es que la formación adecuada es más fluida; no debería sentirse como una lección magistral y debe ser altamente relevante para el trabajo diario. Este tipo de formación práctica es una oportunidad de mejora profesional: un paso en la carrera que solo aporta beneficios a los desarrolladores comprometidos con detener vulnerabilidades y colaborar con el resto del equipo para producir código de mayor calidad.

¿Quieres poner a prueba tus habilidades de codificación segura ahora mismo? Elige tu misión.