¿Está su programa de seguridad preparado para el Plan Estratégico de Ciberseguridad de la CISA?

Una versión de este artículo apareció en Forbes. Ha sido actualizado y distribuido aquí.


‍El Plan Estratégico de Ciberseguridad impulsa cambios importantes en la forma en que la mayoría de las organizaciones abordan la ciberseguridad, y los desarrolladores se encuentran en una posición única para ayudar a alcanzar esos nuevos objetivos.

‍

La Agencia de Ciberseguridad y de Seguridad de las Infraestructuras (CISA) no solo ha sido fundamental para salvaguardar la infraestructura crítica y las redes informáticas de los Estados Unidos desde su creación en 2018, sino que su influencia y experiencia también han repercutido a nivel mundial. Los consejos integrales, las advertencias de seguridad, los informes de vulnerabilidades y los programas de ciberseguridad de la agencia han establecido un punto de referencia global para las mejores prácticas ejecutables, subrayando la importancia del recién publicado Plan Estratégico 2023-2025 de CISA en el ámbito de la ciberseguridad mundial.

La influencia y los logros de CISA también se han extendido mucho más allá de lo que la mayoría de las agencias gubernamentales han podido lograr, especialmente considerando que solo ha existido durante unos pocos años. Esto se debe en gran medida al crecimiento exponencial del panorama de amenazas y al hecho de que los atacantes son cada vez más hábiles en sus intentos de intrusión y explotación. CISA ha asumido un papel de liderazgo en la lucha contra los ciberdelincuentes y otros actores de amenazas, rastreando metódicamente las tendencias y asesorando sobre las mejores prácticas de ciberseguridad.

Sin embargo, a pesar de todos los consejos y orientaciones útiles de la agencia, nunca antes había publicado un plan estratégico general diseñado para establecer la dirección global de los esfuerzos de ciberseguridad durante los próximos años. Este no es solo otro plan, sino un hito que muchas organizaciones querrán estudiar y, en última instancia, implementar. El hecho de que el plan exija cambios importantes en la forma en que se aborda la ciberseguridad podría hacer que seguir esa guía sea un desafío, aunque la comunidad de desarrolladores está en una posición única para ayudar si recibe el apoyo, las herramientas y las vías de capacitación adecuados.

Se respira un cambio en las mejores prácticas de ciberseguridad global

A primera vista, sería fácil percibir cierto nivel de frustración en el Plan Estratégico de CISA, pero CISA simplemente reconoce el hecho de que si seguimos haciendo lo mismo que ahora, seguiremos obteniendo los mismos resultados. Para que la ciberseguridad mejore, se requerirán cambios importantes en todos los ámbitos, incluso por parte de las empresas que crean el software y las aplicaciones que se utilizan hoy en día.

Señalar al software, al menos parcialmente, es un concepto que se ha introducido anteriormente. De hecho, la Estrategia de Seguridad Nacional de los Estados Unidos establece específicamente que “la deficiente seguridad del software aumenta considerablemente el riesgo sistémico en todo el ecosistema digital”. El Plan Estratégico de CISA presenta una nueva estrategia para abordar y resolver esa situación.

El mayor cambio en ciberseguridad que defiende CISA es desafiar a quienes crean software para que entreguen productos seguros. Si se establecen y aplican las mejores prácticas de codificación segura, habrá muchas menos vulnerabilidades, especialmente las importantes, acechando dentro del software para que los atacantes las exploten. Sí, algo aquí y allá podría pasarse por alto y requerirá diligencia para encontrarlo y corregirlo, pero esa es una propuesta manejable en comparación con el statu quo actual: cientos de vulnerabilidades detectadas cada día que sobrecargan a los defensores de la ciberseguridad. CISA afirma muy claramente en su plan que quienes crean software y otras tecnologías deben ser responsables de la seguridad de sus propios productos.

“Como sociedad, ya no podemos aceptar un modelo donde cada producto tecnológico sea vulnerable en el momento en que se lanza y donde la carga abrumadora de la seguridad recaiga en las organizaciones y usuarios individuales”, afirma el Plan Estratégico de CISA. “La tecnología debe diseñarse, desarrollarse y probarse para minimizar la cantidad de fallas explotables antes de que se introduzcan en el mercado”.

El plan continúa sugiriendo que, eventualmente, este nuevo enfoque podría ser más que una sugerencia, diciendo que CISA utilizará “todas las palancas disponibles para influir en las decisiones de riesgo de los líderes organizacionales”. También insinúa que leyes como la Ley de Informes de Ciberincidentes para Infraestructuras Críticas de 2022 (CIRCIA), que actualmente rige la notificación de ciberincidentes, podrían actuar como modelo para que el cumplimiento voluntario de estas nuevas regulaciones se vuelva eventualmente más obligatorio. En cualquier caso, a la mayoría de las empresas que crean software y otras tecnologías hoy en día les beneficiaría intentar respaldar esta nueva guía.

La guía de CISA representa una oportunidad clave

En lugar de sentir aprensión ante la perspectiva de más regulaciones potenciales, las organizaciones deberían aprovechar la oportunidad de utilizar el Plan Estratégico de CISA para esforzarse por lograr un software mejor y de mayor calidad. Esto no es solo un llamado al cumplimiento, sino una oportunidad para que los desarrolladores perfeccionen sus habilidades y contribuyan a un panorama digital más seguro. En última instancia, producir software seguro ayuda a todos, incluida la empresa que lo fabrica, los usuarios que dependen de él y las personas cuyos datos son accedidos o almacenados por ese software o aplicación. Solo los atacantes se quedan con las manos vacías si el código que compone la mayoría del software y las aplicaciones se hace lo más seguro posible antes de pasar a un entorno de producción.

Dada esta nueva dirección, tiene sentido que los desarrolladores de una organización, que escriben o obtienen todo el código, sean el lugar perfecto para comenzar cuando se trata de implementar una codificación más segura y esfuerzos para cumplir con el plan de CISA. Pero los desarrolladores no pueden hacerlo solos sin el apoyo del resto de su organización, especialmente de la alta dirección. Contar con desarrolladores que comprendan las vulnerabilidades, cómo escribir código seguro y cómo reconocer los problemas mucho antes de que lleguen a un entorno de producción será la clave para que las organizaciones asuman finalmente la responsabilidad de enviar código y, como dice CISA, “garantizar que las vulnerabilidades se descubran y corrijan antes de que los adversarios puedan usarlas para causar daño”.

Una cosa clave a tener en cuenta es que la capacitación que necesitan los desarrolladores es bastante avanzada. Es un esfuerzo desafiante para alguien volverse competente en la escritura constante de código seguro, y las medidas de cumplimiento de marcar casillas simplemente no están a la altura de esa tarea. Los desarrolladores requerirán métodos de aprendizaje ágiles y de alto nivel que ofrezcan resultados de aprendizaje prácticos, digeribles y continuos como parte de un programa general de concienciación sobre seguridad para garantizar que tengan las habilidades necesarias para mantener el nivel de seguridad requerido por el nuevo plan de CISA.

Idealmente, la capacitación para prepararse para el plan de CISA también debería incorporar muchos de los métodos y programas avanzados que los desarrolladores usan todos los días, como los principios del desarrollo ágil. Por ejemplo, en el desarrollo ágil, el trabajo se divide en partes manejables, superponiendo sprints uno encima del otro en un ciclo continuo. Un buen programa educativo que incorpore prácticas ágiles puede ayudar a los desarrolladores a ponerse al día rápidamente con las habilidades necesarias para respaldar el plan de CISA, permitiéndoles comenzar a ver beneficios y comenzar a codificar de manera más segura casi de inmediato.

La buena noticia es que la mayoría de los desarrolladores apoyan las prácticas de codificación segura y están ansiosos por ayudar a sus organizaciones a cumplir con la nueva directiva de CISA. En una encuesta a más de 1,200 desarrolladores profesionales que trabajan activamente en todo el mundo, la gran mayoría dijo que apoyaba el concepto de crear código seguro y establecer una mejor cultura de seguridad en sus organizaciones.

Los desarrolladores necesitan rutas de formación precisas y el apoyo adecuado. Si las organizaciones pueden proporcionárselo, no solo lograrán que su código sea más seguro, sino que se situarán a la vanguardia en sus esfuerzos por cumplir o superar las directrices establecidas en el nuevo Plan Estratégico de Ciberseguridad de la CISA.

Este cambio propuesto en la cultura de seguridad será un reto, pero también es una oportunidad increíble para transformar la naturaleza de la ciberseguridad y crear un mundo donde la tecnología que mejora nuestras vidas no esté plagada de atacantes que intentan explotarla constantemente para sus propios fines nefastos. Tenemos el poder de detenerlos, y el plan de la CISA muestra un camino prometedor hacia ese objetivo notable y, en última instancia, alcanzable.