OWASP AppSec Day 2019: Fomentando desarrolladores seguros

A principios de este mes, tuve la oportunidad de asistir a OWASP AppSec Day 2019 en la hermosa Melbourne. Estos eventos centrados en el desarrollo son de mis favoritos del calendario; me recuerdan con humildad a la comunidad que trabaja incansablemente para educar y capacitar a ingenieros y especialistas de software para que defiendan la seguridad en su trabajo.

El elenco de invitados fue sensacional, por no mencionar refrescantemente diverso, y es una gran sensación saber que, incluso después de todos estos años en la industria, todavía puedo irme inspirado. Personas como Tanya Janca, Toni James y Teri Radichel ofrecieron presentaciones increíbles, mientras que los desafíos de codificación segura improvisados de Wireghoul'Eldar Marcussen pusieron a prueba a todo el auditorio, pero fue genial ser testigo de tanta conciencia sobre seguridad entre los asistentes.

Este año, Secure Code Warrior fue patrocinador platino del evento. Tuve que sonreír al recordar que hace solo cuatro años, fue el equipo detrás de OWASP AppSec Day el que ayudó a nuestra startup con un stand gratuito y promoción. Fue un momento de orgullo ver lo lejos que habíamos llegado como empresa, y un momento para estar agradecido de que exista una comunidad tan generosa de personas increíbles.

Toni James: La seguridad desde la perspectiva del desarrollador

Si hay algo que debemos fomentar más en este mundo, es la empatía. Y cuando se trata de hacer que el software sea más seguro en todos los ámbitos, comprender la situación del desarrollador es fundamental.

Disfruté mucho la presentación de Toni y estoy seguro de que fue identificable al instante para cualquier desarrollador. Hay mucho más en la historia que simplemente "escribir código seguro", y aunque ciertamente creo que los desarrolladores capacitados eficazmente en seguridad son nuestra mejor oportunidad en la lucha contra las vulnerabilidades, es imperativo considerar sus desafíos diarios.

El trabajo de un desarrollador de software puede estar expuesto a millones de usuarios, respaldar infraestructuras críticas y ser la fuerza impulsora detrás de servicios que damos por sentados. Crear funciones, ejecutar innovaciones empresariales y cumplir con plazos de entrega ajustados genera mucha presión, y eso es antes de que un equipo de AppSec aparezca y analice su arduo trabajo. Toni habló sobre cómo es la vida en este entorno y cómo una buena dosis de empatía por todas partes puede conducir a procesos y resultados de seguridad mucho mejores. Me complace mucho ver que se están dando pasos tan saludables para cerrar la brecha entre los desarrolladores y los equipos de AppSec; al fin y al cabo, este es un elemento crítico en una cultura de seguridad positiva y próspera, y Toni es un excelente ejemplo de que este proceso funciona increíblemente bien.

Tanya Janca y Teri Radichel: Superhéroes de la seguridad

No es que sea una competencia, pero las contribuciones de Tanya Janca y Teri Radichel a la conferencia fueron de mis favoritas. Diez minutos después de su tutorial sobre evaluaciones de seguridad en la nube, quedó expuesta su increíble amplitud de experiencia, cualificaciones y conocimientos, pero también su calidez genuina y su deseo de compartir conocimientos y apoyar a la comunidad de desarrolladores. Juntas, presentaron acciones realistas y ejecutables para garantizar que las implementaciones de Azure fueran seguras, incluidos consejos prácticos sobre cómo establecer políticas de seguridad y medidas de privilegios mínimos.

Una búsqueda rápida en Google le dirá todo lo que necesita saber sobre su dedicación para apoyar a los desarrolladores a nivel de base, con una gran cantidad de recursos gratuitos, oportunidades de mentoría y entrevistas para promover el lado divertido y atractivo de la seguridad del software. Son campeonas inspiradoras y vitales de nuestra comunidad; si hablan en la próxima conferencia de seguridad a la que asista, sería una locura perderse su sesión.

Clientes en el gran escenario

Fue brillante ver a tantos de nuestros clientes no solo asistiendo, sino también adueñándose del escenario y compartiendo sus inmensos conocimientos de seguridad con la audiencia.

Logramos ver a Telstra's Andrew Bailey dando una charla importante, "Añadiendo la 'Sec' a DevOps". Su gran experiencia como ingeniero de software senior, ahora centrado en la seguridad de aplicaciones y la codificación segura, fue una perspectiva excelente para destacar. Dio consejos integrales sobre cómo inyectar seguridad en cada etapa del SDLC (incluyendo, por supuesto, desde el principio, capacitando a más desarrolladores en codificación segura).

Ken Johnson es parte del equipo de seguridad de GitHub's, y me encantó verlo unirse al panel de expertos al final de la conferencia. Él, junto con los otros panelistas, estuvo encantado de responder a las preguntas urgentes de la audiencia, incluidas aquellas que no necesariamente reciben la atención que merecen en los medios. Junto con varias perspectivas de la industria, hizo que el panel hablara sobre la importancia del bienestar y el equilibrio entre el trabajo y la vida personal, algo muy importante en esta era de agotamiento de los desarrolladores.

Me gustaría extender un enorme agradecimiento a Julian Berton y a todo el equipo de OWASP Melbourne por otra conferencia increíble. Nos vemos el próximo año (con más pegatinas).