¿Está su organización realmente preparada para DevSec? Póngala a prueba.

Apenas estamos a mitad de 2020 y ya vamos camino de establecer un triste récord de filtración de datos, con un aumento del 273% en los datos robados en comparación con la primera mitad de 2019. Hoy en día, es más preciso preguntar qué cantidad de datos aún no ha sido robada. Con eventos mundiales como la pandemia de COVID-19, estos ataques solo han aumentado en frecuencia y potencia, con objetivos cada vez más vulnerables.

Es algo que todos sabemos desde hace tiempo: la seguridad ya no es opcional y nuestro enfoque debe ser un ataque preventivo. Para que sea eficaz, todos en el SDLC deben ser conscientes de la seguridad, especialmente los desarrolladores. Esta es la parte "DevSec" de DevSecOps, una metodología de desarrollo de software ideal para el clima actual, pero muchas organizaciones no están totalmente preparadas para ejecutarla con eficacia.

Teniendo en cuenta su organización, reflexione sobre estas preguntas en el contexto de su función. ¿Cómo le iría si se sometiera a la prueba DevSec?

Autoevaluación DevSec: ¿Está su entorno de SDLC listo para cultivar ingenieros conscientes de la seguridad?

1. ¿Es la seguridad una prioridad en el proceso de desarrollo interno?
   Una serie de factores de riesgo de ciberseguridad podrían quitarle el sueño al CISO promedio, pero la preocupante realidad es que, aunque muchas empresas están dando más prioridad a la seguridad, su enfoque interno puede no ser lo suficientemente sólido como para mitigar un posible desastre (o, al menos, enormes dolores de cabeza para el equipo de AppSec y retrasos en la entrega de software).
   DevSecOps podría ser el estado actual del nirvana de la seguridad, pero pocas empresas trabajan con esta metodología. Si todavía utiliza Agile, o incluso Waterfall, la seguridad a menudo se sigue considerando dominio de especialistas alejados del proceso y que se activan tarde en el SDLC, apareciendo para arruinar el día de un desarrollador con correcciones urgentes para su código. En un entorno así, será difícil impulsar una cultura DevSec: a los desarrolladores les encanta y priorizan la creación de funciones, y simplemente no habrán tenido suficiente experiencia práctica con la seguridad para verla como una vía de mejora deseable. De hecho, sus puntos de contacto con ella pueden ser de frustración y negatividad. Esto debe remediarse rápidamente para inculcar un enfoque de prioridad absoluta para todos los involucrados en el proceso de desarrollo de software.
   ‍
2. ¿Sigue su organización intentando ponerse al día en lo que respecta al modelado de amenazas?
   Es una estadística aleccionadora que el 60% de las pymes cierran en los seis meses posteriores a un ciberataque exitoso, y al igual que otros desastres, el impacto es mucho mayor sin una planificación adecuada.
   El modelado de amenazas es un elemento crucial de las mejores prácticas de seguridad, ya que permite a los profesionales de AppSec evaluar el alcance total de la superficie de ataque y estructurar las defensas, contramedidas y planificación adecuadas. En las empresas que han adoptado plenamente DevSecOps, la seguridad se habilita al principio del proceso CI/CD, de tal manera que no ralentiza la producción tanto como pudo haberlo hecho en el pasado. La seguridad, la codificación segura y la entrega continua son parte del proceso, y los equipos de desarrollo reciben los recursos y la exposición necesarios para ser componentes importantes del motor que genera código hermético.
   ‍
3. ¿Priorizan los gerentes de desarrollo las mejores prácticas de seguridad?
   Les guste o no, los gerentes de desarrollo son modelos a seguir para su equipo. Y no es solo por la cultura y el ambiente, como usar chanclas en la oficina o cómo "gestionan hacia arriba". Sus prioridades de trabajo serán absorbidas inevitablemente por los miembros de su equipo, y si la seguridad no es parte de los objetivos clave, o no se planifica en términos de capacitación y apoyo, entonces los ingenieros a su cargo se verán perjudicados y el negocio estará más en riesgo de lo que debería.
   ‍
4. ¿Se les da a los desarrolladores una razón para preocuparse por la seguridad?
   En mi experiencia, la forma más rápida de poner a alguien en contra es decirle que tiene que hacer algo ajeno a su enfoque actual, sin decirle por qué.
   
   Que te digan que "cambies" implica que el enfoque anterior era incorrecto, cuando en muchos casos, es simplemente una mejora que, con suerte, hará las cosas más fáciles y eficientes más adelante. Para adoptar realmente el movimiento DevSec, primero hay que dar a los desarrolladores una razón para preocuparse por la seguridad; después de todo, en la mayoría de las organizaciones, sigue siendo "problema de otro" (es decir, los magos de AppSec encerrados en otra habitación, muy, muy lejos).
   
   DevSecOps simplemente no funciona si la seguridad no es una responsabilidad compartida. Los desarrolladores necesitan las herramientas, el apoyo y la formación adecuados para hacer su parte... y esto requiere tiempo para implementarse y perfeccionarse como parte de un programa de seguridad general. El peor enfoque es el que abruma y aliena, lo que puede ocurrir cuando los desarrolladores tienen demasiadas prioridades en conflicto y ninguna ayuda para gestionarlas sin volverse locos. Este es un cambio cultural y no ocurre de la noche a la mañana.
   ‍
5. ¿Depende de un puñado de unicornios mágicos de seguridad para asumir la tarea de muchos?
   Los profesionales de la seguridad son muy escasos, y necesitamos muchos más de los que hay disponibles actualmente. Eso es un hecho, pero hay un número creciente de desarrolladores que se trasladan a roles más centrados en la seguridad. Por lo general, pueden tener títulos como "ingeniero de seguridad" o "ingeniero de DevOps" (¡lentamente, veremos cómo este título se transforma en ingeniero de DevSecOps, con un poco de suerte!). Un buen ingeniero de DevOps es capaz de desarrollar funciones para prácticamente cualquier aplicación, mientras realiza la implementación mediante un verdadero proceso CI/CD. Lo hacen todo de principio a fin y, por lo general, cuentan con una buena dosis de conciencia de seguridad. En ese sentido, son una especie de magos y, como resultado, son raros.
   
   Sin embargo, algunas empresas cometen el error de contratar a estos ingenieros especialistas, colocarlos en un equipo y esperar que se ocupen de todos los problemas de seguridad, en cada etapa del proceso de desarrollo, y que esto sea la panacea. Si sobrecarga a sus magos de DevSecOps, terminará donde empezó: enviando código inseguro sin los controles, equilibrios y precisión de seguridad que fueron contratados para realizar en primer lugar. Es de suma importancia que el equipo de desarrollo en general reciba capacitación y se fomente en un entorno de seguridad positivo para que estén equipados para compartir la carga de manera significativa.

Encuentre el cambio que desea ver en su organización.

Si implementa una formación sólida como parte de su programa de seguridad, descubrirá algunas joyas ocultas en su grupo de desarrollo. Son las personas que, a pesar de las experiencias negativas que hayan podido tener en su trabajo diario, tienen cierta pasión por la codificación segura y las mejores prácticas de seguridad. Estas personas son candidatas ideales para ser campeones de seguridad dentro del equipo; un punto de contacto entre la seguridad y la ingeniería que da un gran ejemplo a los demás, mantiene alta la conciencia y ayuda con las iniciativas de participación. Sus habilidades interpersonales también son muy importantes para difundir la alegría de la seguridad y defender las necesidades de los desarrolladores ante la dirección y el equipo de seguridad.

La conversación sobre "¿qué gano yo con esto?" es un paso positivo hacia adelante.

Incluso los humanos más nobles necesitan una "zanahoria" para aventurarse en territorio desconocido o en una actividad que puede no tener la curva de aprendizaje más agradable.
Dar el salto de "dev" a "DevSec" es un impulso increíble para la carrera de un desarrollador. Los desarrolladores conscientes de la seguridad se han esforzado por comprender la seguridad, asumir la responsabilidad de ella en las áreas que pueden controlar y operar con el entendimiento de que el único código de calidad es el código seguro. Por lo general, los desarrolladores quieren mejorar, abordar nuevos problemas y crear funciones envidiables que les ayuden a destacar entre sus pares. Ofrézcales un camino para alcanzar un nivel superior de desarrollo de software y será una situación en la que todos ganan.

Nunca es demasiado tarde para formar su equipo ideal de DevSec.

Si gestiona desarrolladores, dirige un equipo de concienciación sobre AppSec o es una de las muchas mentes que trabajan arduamente para diseñar estrategias de programas de seguridad, ahora es el momento de ir un paso más allá de "desplazarse" a la izquierda. Con la formación, las herramientas y el entorno adecuados, puede crear una incubadora de seguridad para desarrolladores que dará grandes dividendos para todas las partes. Si esta lista de verificación ha resaltado algunas áreas de mejora, entonces tiene una gran oportunidad para preparar a su organización para un departamento de ingeniería liderado por DevSec que pueda reducir el riesgo desde el mismo inicio del SDLC.