Incentivar a los desarrolladores es la clave para mejorar las prácticas de seguridad

El panorama de las ciberamenazas se vuelve más complejo cada día. Los atacantes escanean constantemente las redes en busca de aplicaciones, programas e instancias en la nube vulnerables, y la última moda son las API, ampliamente consideradas como un blanco fácil gracias a sus controles de seguridad, a menudo laxos. Son tan persistentes que, a veces, las nuevas aplicaciones pueden verse comprometidas y explotadas pocas horas después de su implementación. El Informe de Investigaciones de Filtración de Datos de Verizon de 2021 deja muy claro que las amenazas contra empresas y organizaciones son más peligrosas hoy que en cualquier otro momento de la historia.

Cada vez está más claro que la única forma de fortalecer realmente el software que se crea es garantizar que se base en un código seguro. En otras palabras, la mejor manera de detener la invasión de los actores de amenazas es negarles, desde el principio, cualquier punto de apoyo en sus aplicaciones. Una vez que se empieza a luchar en esa guerra, la mayoría de las ventajas se inclinan a favor de los atacantes.

Esta situación dio lugar primero al desarrollo ágil y a DevOps, y más tarde a todo el movimiento DevSecOps, donde la seguridad es una responsabilidad compartida por todos los involucrados en el proceso de creación de software, desde el desarrollo hasta la implementación. Pero la base de esa pirámide, y posiblemente la parte más importante, son los desarrolladores. Aunque la mayoría de ellos quiere hacer su parte y escribir código seguro, muchas de las organizaciones para las que trabajan apoyan menos los cambios que requiere un giro tan importante en las prioridades.

Derrota por diseño

Durante muchos años, se les dijo a los desarrolladores que su función principal en sus organizaciones era crear e implementar aplicaciones rápidamente en un entorno dinámico, donde el negocio nunca se detiene y los clientes nunca duermen. Cuanto más rápido pudieran programar y más funciones pudieran implementar, más valiosos eran considerados en sus evaluaciones de desempeño.

La seguridad era una ocurrencia tardía, si es que se consideraba. En cambio, todo eso se dejaba en manos de los equipos de seguridad de aplicaciones (AppSec). A la mayoría de los desarrolladores no les gustaban los equipos de AppSec porque a menudo devolvían las aplicaciones terminadas al desarrollo para aplicar parches de seguridad o reescribir código para corregir vulnerabilidades. Y cada hora que un desarrollador pasaba trabajando en una aplicación que ya estaba "terminada" era una hora que no dedicaba a crear nuevas aplicaciones y funciones, lo que disminuía su rendimiento (y su valor, a ojos de una empresa particularmente punitiva).

Y entonces, el entorno de amenazas cambió la importancia y la priorización de la seguridad para la mayoría de las empresas. Según el reciente Informe sobre el costo de una filtración de datos de IBM y el Instituto Ponemon, el costo promedio de una brecha de ciberseguridad es ahora de unos 3,8 millones de dólares por incidente, aunque ese no es ni mucho menos el límite superior. Una sola empresa incurrió en 1300 millones de dólares en pérdidas tras una brecha en su red. Las empresas actuales quieren la seguridad que ofrece DevSecOps, pero, lamentablemente, han tardado en recompensar a los desarrolladores que responden a esa llamada.

Simplemente decirles a los equipos de desarrollo que consideren la seguridad no funcionará, especialmente si todavía se les incentiva basándose únicamente en la velocidad. De hecho, dentro de un sistema así, los desarrolladores que se toman el tiempo para aprender sobre seguridad y proteger su código podrían estar perdiendo mejores evaluaciones de desempeño y bonificaciones lucrativas que sus colegas menos conscientes de la seguridad siguen ganando. Es casi como si las empresas estuvieran amañando involuntariamente el sistema para sus propios fallos de seguridad, y todo se reduce a su percepción del equipo de desarrollo. Si no los ven como la primera línea de defensa de la seguridad, es muy poco probable que un plan viable para utilizar su fuerza laboral llegue a buen puerto.

Y esto ni siquiera tiene en cuenta la falta de formación. Algunos desarrolladores muy hábiles tienen décadas de experiencia en programación, pero muy poca en lo que respecta a la seguridad... después de todo, nunca se les exigió. A menos que una empresa proporcione un buen programa de formación a sus programadores expertos, difícilmente puede esperar que sus desarrolladores adquieran nuevas habilidades de repente y las pongan en práctica de una manera significativa que reduzca activamente las vulnerabilidades.

Recompensar a los desarrolladores por las buenas prácticas de seguridad

La buena noticia es que la gran mayoría de los desarrolladores hacen su trabajo porque lo encuentran desafiante y gratificante, y porque disfrutan del respeto que conlleva su puesto. El programador profesional de toda la vida Michael Shpilt escribió recientemente sobre todas las cosas que lo motivan a él y a sus colegas programadores en su trabajo de desarrollo. Sí, enumera la compensación monetaria entre esos incentivos, pero sorprendentemente está muy abajo en la lista. En cambio, prioriza la emoción de crear algo nuevo, aprender nuevas habilidades y la satisfacción de saber que su trabajo se utilizará directamente para ayudar a otros. También habla de querer sentirse valorado dentro de su empresa y comunidad. En resumen, los desarrolladores son como muchas buenas personas que se enorgullecen de su trabajo.

A los desarrolladores como Shpilt y otros no les gusta que los actores de amenazas comprometan su código y lo utilicen para dañar a su empresa o a los mismos usuarios a los que intentan ayudar. Pero no pueden cambiar repentinamente sus prioridades hacia la seguridad sin apoyo. De lo contrario, es casi como si el sistema trabajara en su contra.

Para ayudar a los equipos de desarrollo a mejorar su destreza en ciberseguridad, primero deben aprender las habilidades necesarias. Utilizar el aprendizaje estructurado y herramientas como la formación Just-in-Time (JiT) puede hacer que este proceso sea mucho menos doloroso y ayuda a aprovechar los conocimientos existentes en el contexto adecuado.

El principio de JiT es que los desarrolladores reciban el conocimiento adecuado justo en el momento preciso; por ejemplo, si una herramienta de formación JiT detecta que un programador está creando un fragmento de código inseguro o introduciendo accidentalmente una vulnerabilidad en su aplicación, puede activarse y mostrarle cómo solucionar ese problema y cómo escribir código más seguro para realizar esa misma función en el futuro.

Con un compromiso de mejora de habilidades, los viejos métodos de evaluar a los desarrolladores basándose únicamente en la velocidad deben eliminarse. En cambio, los programadores deberían ser recompensados en función de su capacidad para crear código seguro, convirtiéndose los mejores desarrolladores en campeones de seguridad que ayuden al resto del equipo a mejorar sus habilidades. Y esos campeones deben ser recompensados tanto con prestigio empresarial como con compensación monetaria. También es importante recordar que los desarrolladores no suelen tener una experiencia positiva con la seguridad, y motivarlos con un aprendizaje positivo y divertido e incentivos que respondan a sus intereses contribuirá en gran medida a garantizar tanto la retención de conocimientos como el deseo de seguir desarrollando habilidades.

Las empresas aún pueden incluir la velocidad de programación como una parte de la evaluación de un desarrollador, pero con la expectativa de que desarrollar aplicaciones seguras podría llevar un poco más de tiempo, especialmente mientras los programadores aprenden esas nuevas habilidades.

DevSecOps puede ser la defensa definitiva contra las artes oscuras de un panorama de amenazas cada vez más peligroso. Solo no olviden que los campeones de este nuevo mundo, los desarrolladores que crean código nuevo constantemente, necesitan ser respetados y compensados por su trabajo.

¿Quieres poner a prueba tus habilidades de seguridad frente a otros desarrolladores de todo el mundo? Echa un vistazo a Secure Code Warrior’s Devlympics 2021, ¡y podrías ganar un gran premio en nuestros torneos globales!