Avanzando con el NIST: Nuestra postura centrada en las personas sobre el futuro de la ciberdefensa

La reciente Orden Ejecutiva sobre ciberseguridad de la Administración Biden ha dado mucho que hablar en el sector, especialmente entre quienes buscan convencer a los desarrolladores de la importancia de aplicar las mejores prácticas de codificación segura en su trabajo diario. Por primera vez, los desarrolladores que trabajan en software utilizado por el gobierno federal deben contar con habilidades de seguridad verificadas, además de cumplir con nuevas directrices actualizadas.

Esto marca un cambio positivo en el statu quo de la ciberdefensa y, por fin, incorpora la capacitación adecuada de los desarrolladores a la conversación. Aunque estas políticas se centran en el gobierno de EE. UU., ofrecen una oportunidad global para que las organizaciones aborden y mejoren los estándares de seguridad actuales, desde los desarrolladores hasta el análisis de seguridad de las cadenas de suministro de software.

El NIST solicitó recientemente comentarios públicos para informar sus próximas actualizaciones de la legislación HIPAA, entre otras, y esta fue una oportunidad inmejorable para que reuniéramos nuestra experiencia corporativa en documentos de posicionamiento que ayuden a promover un enfoque de ciberseguridad más seguro, eficaz y centrado en las personas, permitiendo a las organizaciones aprovechar mejor a sus equipos para obtener resultados superiores.

Como organización impulsada por expertos, tenemos la suerte de contar con algunos de los profesionales de ciberseguridad más dedicados y destacados, incluido el candidato a doctorado Pieter de Cremer y el Dr. Brian Chess, miembro de nuestro Consejo Asesor Técnico. Los tres unimos fuerzas para presentar formalmente documentos de posicionamiento al NIST, señalando cómo nuestro enfoque en la capacitación de desarrolladores y la seguridad preventiva en la etapa de creación de software podría influir positivamente en los estándares de ciberseguridad en el futuro.

Un camino de desarrollo seguro, allanado para los desarrolladores

Las herramientas de escaneo de vulnerabilidades, la monitorización y otras formas de automatización de la seguridad son cada vez más frecuentes y aparecen tanto en la nueva Orden Ejecutiva como en las directrices del NIST. Son una parte cada vez más esencial de un programa de seguridad moderno, pero la historia y el presente demuestran que, si bien las herramientas de escaneo detectan vulnerabilidades en el software con una eficiencia cada vez mayor, esto por sí solo no reduce las vulnerabilidades ni mejora la seguridad desde el principio.

Una pila tecnológica compleja que distrae y ralentiza el flujo de trabajo del desarrollador es una de las razones fundamentales por las que los desarrolladores se desconectan de la seguridad y la perciben de forma negativa. Sin embargo, si los desarrolladores contaran con un camino allanado para el desarrollo seguro, personalizado no solo para la tecnología, sino también para los lenguajes, marcos de trabajo y objetivos de desarrollo específicos de cada proyecto, integrar la seguridad en el proceso desde el principio —con la menor interrupción posible para su productividad— sería un ideal que resultaría en una reducción significativa de las vulnerabilidades comunes con el paso del tiempo.

Para leer nuestro documento de posicionamiento del NIST completo, descárguelo ahora:

Marco de certificación para prácticas de desarrollo seguro: el eslabón perdido (actualmente)

Hasta la fecha, no existe una certificación formal que verifique las habilidades de codificación segura y las mejores prácticas. Esto ha sido una negligencia del sector durante mucho tiempo, y nuestra postura es que esto es esencial para el futuro de una mejor ciberdefensa y un desarrollo seguro.

Sabemos que existen muchas formas de formación en seguridad dirigidas a los desarrolladores, pero si el volumen de filtraciones de datos a gran escala, ciberataques y código de mala calidad sirve de indicación, no se está logrando crear desarrolladores conscientes de la seguridad, ni se les está dotando de los conocimientos necesarios para marcar la diferencia en un problema que no hace más que empeorar.

La capacitación de los desarrolladores requiere herramientas y educación que sean relevantes para su trabajo diario, contextuales, breves (pero frecuentes) y que les permitan aprovechar los conocimientos existentes en los lenguajes y marcos de trabajo que realmente utilizan. La formación genérica no es suficiente, y esto debe quedar meridianamente claro en la legislación y en los organismos del sector como el NIST.

El Marco NICE es más que adecuado para desarrollar directrices de certificación integrales que utilicen activamente metodologías eficaces y que sean de mayor interés y relevancia para los desarrolladores y su trabajo. Alinear las prácticas con este marco institucional reconocido ayuda a estandarizar aquellas que realmente marcan la diferencia y proporciona caminos más concretos para que las organizaciones los sigan.

Para leer nuestro segundo documento de posicionamiento del NIST completo, descárguelo ahora:

El factor humano en la ciberseguridad suele olvidarse, y es hora de trabajar en soluciones humanas para problemas humanos, como las vulnerabilidades recurrentes. Los errores de hace décadas ya no deberían ser un obstáculo, pero se necesitará el respaldo de los gobiernos mundiales para cambiar el statu quo y lograr un impacto positivo y medible.
‍
¿Está listo para certificar a sus desarrolladores? Ha llegado al lugar indicado. Eche un vistazo a nuestra Plataforma de Aprendizaje hoy mismo.