La formación profunda en seguridad genera debate en la educación

Desde que comenzamos nuestra misión en 2015, nuestro enfoque siempre ha sido facilitar una formación en programación segura que sea divertida, relevante y atractiva para los desarrolladores. Hace mucho que reconocemos la importancia de dotar a los desarrolladores de los conocimientos y herramientas necesarios para comprender las mejores prácticas de seguridad, por qué son importantes y cómo pueden ayudar a fortalecer el software frente a ataques maliciosos mientras se escribe el código.

Sin embargo, la formación en seguridad no es un concepto nuevo. Ciertamente no fuimos los primeros en iniciar esta iniciativa, y las medidas de seguridad adecuadas han sido una consideración en el desarrollo de software durante mucho tiempo. Por supuesto, algunos tipos de formación son más eficaces que otros, pero el acceso a cierta educación en seguridad es relativamente fácil de encontrar, especialmente hoy en día.

... entonces, ¿por qué diablos tenemos tantas filtraciones de datos? A fecha de septiembre, más de cuatro mil millones de registros han quedado expuestos en múltiples ciberataques solo en 2019.

Muchas organizaciones están librando actualmente una batalla perdida para mantener a salvo nuestros datos, cada vez más valiosos. Para los CISO y CIO de todo el mundo ha quedado muy claro que "desplazarse a la izquierda" (shifting left) sigue siendo demasiado tarde; debemos empezar por la izquierda con la seguridad en el ciclo de vida de desarrollo de software (SDLC), y eso significa que los desarrolladores deben tener los conocimientos de seguridad adecuados para corregir fallos mucho antes de que el código se confirme, y mucho menos antes de que salga al público.

Los especialistas en seguridad de aplicaciones (AppSec) no pueden ser los únicos guardianes del conocimiento en seguridad.

En el pasado, la seguridad del software era dominio de un grupo muy particular de expertos ingeniosos, con casi nula interacción con los ingenieros que escribían el código. Su trabajo consistía en probar, romper y evitar que el código inseguro viera la luz. Si llegaban a cruzarse, lo más probable es que fuera porque el especialista en seguridad señalaba fallos en el código... algo que garantizaba una recepción gélida por parte del desarrollador que se había dejado la piel en su creación.

Si avanzamos hasta hoy, la situación es prácticamente la misma, solo que ahora hay mucho más en juego. Casi todos los aspectos de nuestras vidas están digitalizados... desde álbumes de fotos en redes sociales, historiales médicos y banca, hasta nuestros documentos de identificación más valiosos. Una cosa era proteger software y sistemas operativos independientes y mayormente desconectados. Otra muy distinta es tener que defenderse de amenazas a miles de millones de líneas de código, con cientos de millones de usuarios potencialmente en riesgo. Hay demasiado en juego como para que un solo grupo de especialistas asuma toda la responsabilidad, y por eso debemos cerrar la brecha entre AppSec y el equipo de desarrollo. Necesitan trabajar juntos, compartir conocimientos y operar como una unidad cohesiva y consciente de la seguridad.

Solo hay un problema con eso: los desarrolladores rara vez tienen la oportunidad de aprender habilidades de programación segura de manera significativa. La mayoría de la educación superior apenas toca las mejores prácticas de seguridad, y la formación en el trabajo varía enormemente en calidad.

¿Es de extrañar que veamos filtraciones masivas día sí y día también? Descargue nuestra lista de verificación de AppSec.

‍

Una "licencia para programar".

A pesar del sombrío panorama actual, soy optimista sobre el futuro de la seguridad. Se respira un cambio en el ambiente, y me siento muy alentado por la inmensa cantidad de organizaciones que se están tomando en serio la programación segura en este momento.

Cada vez es más evidente que los desarrolladores necesitan acceso a las herramientas y conocimientos adecuados para mitigar los riesgos de seguridad, y que una cultura próspera de concienciación sobre seguridad es vital en la lucha contra las filtraciones de datos. Cuando los desarrolladores asumen la responsabilidad de la seguridad mientras escriben el código, resulta mucho más difícil para los atacantes explotar fallos simples y obtener las llaves del reino.

Siempre ha sido así: algunos desarrolladores son más conscientes de la seguridad que otros, y esto supone un verdadero reto para las organizaciones. Si bien los equipos de desarrollo internos suelen tener cierto grado de formación y seguimiento de habilidades, las cosas se complican mucho cuando se introducen contratistas, autónomos y recién graduados en la mezcla. ¿Actúan con una mentalidad de seguridad? ¿Pueden evitar con éxito fallos antiguos como la inyección de scripts en sitios cruzados (XSS) que existen desde hace décadas? Es difícil saberlo, y sin embargo, a menudo se les deja trabajar en partes vitales de una compilación de software. ¡Vaya!

Afortunadamente, estamos viendo un aumento en los estándares innegociables para los desarrolladores. Por ejemplo, algunas organizaciones están utilizando Secure Code Warrior como herramienta para evaluar las habilidades de desarrollo y emitir una "licencia para programar". Sin aprobar las evaluaciones fundamentales de programación segura, no pueden empezar a trabajar en ningún proyecto. Esto ha sido invaluable para ayudar a graduados y pasantes a ponerse al día con sus habilidades de seguridad, al mismo tiempo que inculca la importancia de programar de forma segura. Después de todo, la seguridad debe ser sinónimo de calidad cuando se trata de software.

La formación extracurricular está poniendo a las universidades en el punto de mira.

Cambiar la conversación en torno a la programación segura requiere algo más que un artículo aquí o un discurso allá. Debe ser un movimiento comunitario, y es fantástico ver a tantas organizaciones de primer nivel tomando nota y construyendo programas de seguridad de alto nivel con un estándar envidiable. Una de estas empresas es HSBC, cuyo formidable programa garantiza que los recién graduados y los nuevos empleados se sumen al viaje de "empezar por la izquierda" lo antes posible. Como jefe de la Academia de Tecnología de HSBC India, Sekhar Babu Tatavarti ha descubierto que la formación profunda en seguridad es imprescindible:

"En HSBC Technology, queríamos asegurarnos de que nuestra comunidad de desarrolladores comprendiera la importancia de la programación segura para proteger al banco de vulnerabilidades. En el Programa de Formación para Graduados que tuvimos este año, pensamos que era una oportunidad enorme para captarlos jóvenes y permitirles aprender por sí mismos e interiorizar las mejores prácticas de programación segura antes de que se incorporen y comiencen a programar en sus respectivos proyectos.

Elegimos la plataforma Secure Code Warrior por su maravilloso método de aprendizaje mediante gamificación para los graduados, y no defraudaron nuestras expectativas. Estamos encantados de que cada uno de ellos participara con entusiasmo en el torneo, además de completar la Certificación de Cinturón Blanco en diferentes tecnologías", afirmó.

Cada vez más organizaciones, al igual que HSBC, consideran que las capacidades de codificación segura son esenciales a nivel de desarrollador. Esto, en efecto, ha puesto el foco en la educación superior en su conjunto. Los CISO y CIO comienzan a cuestionarse por qué los ingenieros recién graduados terminan sus estudios sin una formación sólida en seguridad.

Innovación en la educación superior.

Aunque la codificación segura debe convertirse en un componente obligatorio de la ingeniería de software en el nivel superior, algunas universidades lideran el camino al ofrecer una formación de primer nivel y priorizar la seguridad desde el inicio del proceso de desarrollo, en lugar de dejarla solo en manos de los escasos especialistas en AppSec.

En la Universidad de Queensland en Australia, el profesor Ryan Ko está logrando avances significativos en la preparación de la próxima generación de desarrolladores para protegernos de la inevitable oleada de ciberataques:

"La mayoría de las vulnerabilidades de software se introducen en la fase de codificación, por lo que si podemos abordar esto en la fuente (es decir, el programador), seremos capaces de erradicar la mayoría de los problemas recurrentes que aparecen hoy en la lista CVE. Dado que el software afecta la vida y el sustento de gran parte de nuestra sociedad moderna, las universidades e instituciones educativas tienen la responsabilidad moral y social de enseñar a todos los programadores novatos a codificar de forma segura", afirmó.

Esta es una evolución emocionante respecto a los cursos estándar, que ofrecen muy poco en cuanto a conciencia y habilidades de seguridad significativas. Y este es un "virus" que no me importaría propagar. Para mi satisfacción, la Universidad Macquarie también está contagiando a sus estudiantes con una mentalidad de seguridad primero, gracias a los esfuerzos de personas como Christophe Doche:

"Lanzado en 2016, el Centro de Ciberseguridad Optus Macquarie University es la primera iniciativa de este tipo en Australia, que conecta a académicos de seguridad de la información, negocios, criminología, inteligencia, derecho y psicología con expertos en ciberseguridad de la industria y el gobierno.

Nuestra misión es posicionar a Australia como líder mundial en ciberseguridad a través de la educación, la investigación y las asociaciones. Un aspecto importante de esto es abordar la brecha de habilidades bien documentada en ciberseguridad, con proyecciones que indican que 1,8 millones de puestos de trabajo probablemente quedarán vacantes en todo el mundo en 2022.

Abordar esta brecha de habilidades requiere un enfoque multifacético, que implica mejorar y reciclar las competencias de la fuerza laboral existente, así como capacitar a una nueva generación de especialistas en ciberseguridad", señaló.

Su enfoque es increíble, ya que ofrece un aprendizaje preciso y de alta participación que ayuda a cerrar las brechas entre departamentos y crear un pulso de conciencia de seguridad. Están aprovechando el microaprendizaje en su estrategia, ofreciendo módulos de aprendizaje gamificados y breves con una alta tasa de retención, participación y repetición. Estoy especialmente orgulloso de que podamos ayudarles a involucrar a sus estudiantes de forma creativa:

"Un excelente ejemplo de esta participación es la asociación con Secure Code Warrior. Tras un torneo organizado por Secure Code Warrior y el Cyber Security Hub en agosto de 2019, ahora estamos considerando integrar la plataforma Secure Code Warrior en nuestro plan de estudios, especialmente en nuestra nueva unidad de Desarrollo de Aplicaciones Seguras", comentó Christophe.

Iniciativas como las de la Universidad Macquarie y la Universidad de Queensland son verdaderamente pioneras en la codificación segura dentro del ámbito educativo. Nuestro objetivo como profesionales de AppSec, desarrolladores y como comunidad de seguridad en general, debe ser integrar la seguridad en todo lo que hacemos y mantener nuestro compromiso de empezar desde el principio.