Pieter Danhieux, CEO y cofundador de Secure Code Warrior: “todos deben comprender y asumir el papel que desempeñan en la ciberseguridad”

Esta entrevista apareció originalmente en CyberNews.

‍

A pesar de la prevalencia de herramientas y servicios de seguridad, las empresas siguen teniendo dificultades para seguir el ritmo de un panorama de amenazas en constante evolución.

Esto se puede atribuir a la falta de concienciación y formación en seguridad entre los desarrolladores, lo que puede llevar a que se publique código arriesgado que sea explotado por actores malintencionados. Aunque las medidas de seguridad como el software antivirus o las soluciones sólidas de escaneo de vulnerabilidades pueden añadir una capa de protección, nuestro invitado de hoy explica que todo comienza con un equipo de desarrollo centrado en la seguridad.

Para hablar sobre cómo se puede formar a los desarrolladores para identificar y mitigar las amenazas de seguridad, el equipo de CyberNews se reunió con Pieter Danhieux, director ejecutivo y cofundador de Secure Code Warrior, una empresa que ofrece una plataforma de aprendizaje y un conjunto de herramientas centradas en el desarrollador que ayudan a los equipos de desarrollo a gestionar las vulnerabilidades de seguridad.

¿Cómo ha sido tu trayectoria? ¿Cómo surgió la idea de Secure Code Warrior?

De joven, era un apasionado de desmontar la tecnología para descubrir qué había dentro y cómo funcionaba. Para alivio de mi familia y de nuestros electrodomésticos, acabé aplicando el mismo enfoque al hardware y al software, buscando formas de vulnerarlos y romperlos. Así nació una pasión por la seguridad que me ha acompañado toda la vida y, durante muchos años, me centré en compartir mis habilidades de "ruptura" con estudiantes, colegas y la comunidad de seguridad, mostrando cómo encontrar, usar y abusar de los errores en el software. Más tarde, me centré en mejorar las capacidades de los defensores, enseñando a los desarrolladores patrones de codificación buenos y seguros en un entorno de aula, y ayudándoles a entender las vulnerabilidades comunes y cómo evitarlas. También trabajé en consultoría, donde asesoré a grandes empresas sobre cómo podían mejorar sus programas de seguridad, especialmente en lo que respecta a la participación de los desarrolladores. Fue durante este tiempo cuando conecté con lo que ahora es mi equipo fundador en Secure Code Warrior. Juntos, entendimos los puntos débiles a los que se enfrentaban tanto los equipos de seguridad como los de desarrollo en lo que respecta a las vulnerabilidades a nivel de código, así como los problemas que existían con la mayoría de las soluciones de formación destinadas a mejorar las habilidades de seguridad de los desarrolladores. Nos pusimos a trabajar en nuestra visión de una plataforma de aprendizaje que pudiera escalarse a nivel empresarial, sin dejar de ser divertida y atractiva para los desarrolladores. En última instancia, queríamos crear un conjunto de herramientas adaptadas al entorno de trabajo del desarrollador, que fueran menos disruptivas y les ayudaran a construir una mentalidad de seguridad primero. Y nos propusimos hacer esto lo más flexible posible en cuanto a lenguajes y rico en contenido.

¿Puedes presentarnos a qué te dedicas? ¿Cuáles son los principales desafíos que ayudas a resolver?

En última instancia, ayudamos a las empresas a acelerar su desarrollo de software eliminando la fricción y los retrasos de seguridad que a menudo introducen los malos patrones de seguridad en el código. Hemos creado una plataforma de aprendizaje y un conjunto de herramientas centradas en el desarrollador que ayudan a los equipos de desarrollo a gestionar las vulnerabilidades de seguridad comunes, muchas de las cuales existen desde hace décadas y siguen exponiendo a las empresas a riesgos cibernéticos hoy en día. La razón por la que persisten es que los desarrolladores carecen de la formación y las habilidades para remediar estos problemas a nivel de código, y a menudo los introducen en primer lugar mediante el uso continuado de patrones y técnicas de codificación deficientes. No se les enseña codificación segura a nivel terciario, y la mayoría de los programas de formación en el lugar de trabajo son ineficaces a la hora de ofrecer contenido relevante para su trabajo diario, además de ser demasiado infrecuentes para tener un impacto real en la calidad y la seguridad del código a lo largo del tiempo. Nuestras soluciones buscan proporcionar un desarrollo de habilidades atractivo y relevante que cambie los comportamientos de codificación y les ayude a priorizar la seguridad en el mundo real. Cada vez nos integramos más en los entornos con los que los desarrolladores están más familiarizados, y nuestro enfoque en el aprendizaje contextual ofrece a los usuarios la mejor oportunidad de retener los resultados educativos clave. También nos esforzamos por hacerlo de una manera que ayude a los desarrolladores a ver la seguridad bajo una luz positiva y divertida que recompense el éxito y fomente la comunidad.

Dado que aprender sobre codificación segura puede sonar tedioso para algunos, ¿cómo logras que tu formación sea efectiva y a la vez entretenida?

Nuestra plataforma de aprendizaje insignia está diseñada teniendo en cuenta el compromiso del desarrollador. Una de las funciones más populares es el modo Torneo, donde los participantes pueden poner a prueba los conocimientos que han adquirido durante la formación frente a sus compañeros. Se obtienen puntos por cada respuesta correcta y una tabla de clasificación en vivo se actualiza durante toda la sesión del torneo. Los hemos organizado en eventos comunitarios y conferencias, y algunos de nuestros clientes han creado temas increíblemente complejos donde todos vienen disfrazados. Es una gran experiencia de trabajo en equipo y el momento perfecto para celebrar el compromiso con la mejora de las habilidades con pizza, premios y un descanso de la rutina habitual. Además, nuestro contenido en general está disponible en más de sesenta marcos de programación, utilizando fragmentos de código reales que verán en su trabajo diario. Es mucho más fácil mantenerse comprometido cuando el contenido es hiperrelevante y ayuda a resolver problemas reales, en lugar de ver videos o realizar un examen de cumplimiento anual.

¿Cuáles considerarías los principales desafíos a los que se enfrentan los desarrolladores hoy en día?

Creo que es importante establecer que los desarrolladores quieren hacerlo bien, pero no han sido capacitados adecuadamente para la seguridad en su educación o carreras. Esto es clave para muchos de los problemas que enfrentan desde una perspectiva de seguridad. También tienden a ver la seguridad como algo fuera de su ámbito de responsabilidades y, en la gran mayoría de las organizaciones, sus KPI no incluyen nada relacionado con los resultados de codificación segura. Si queremos ver un cambio en el volumen de vulnerabilidades a nivel de código, este statu quo debe romperse. Sin embargo, los desarrolladores necesitan el apoyo y las herramientas adecuadas para ser el cambio que queremos ver, y el desafío radica en una habilitación efectiva, dándoles tiempo para formarse e invirtiendo en esa mejora de habilidades ahora para lograr seguridad a velocidad más adelante.

¿Cómo afectaron los recientes eventos globales a tu campo de trabajo?

Si bien todas las empresas sintieron sin duda algunos efectos del clima global actual en sus objetivos, proyecciones y presupuestos, hemos tenido la suerte de capear el temporal hasta la fecha. La ciberseguridad es un elemento no negociable para la mayoría de las empresas, y trabajamos duro para seguir siendo parte de esa conversación con clientes y clientes potenciales.

¿Cuáles son algunas de las mejores prácticas que las organizaciones deberían seguir al desarrollar software o aplicaciones?

Cada organización tendrá sus matices, pero, por lo general, las empresas que operan con las mejores prácticas de seguridad están dispuestas a pensar de forma creativa y probar diferentes enfoques. No olvidan el poder de las personas para marcar una diferencia positiva en los resultados de seguridad. En su mayor parte, los desarrolladores no son una consideración importante en un programa de seguridad. Sin embargo, ante una brecha mundial de habilidades de seguridad que es poco probable que se cubra pronto, los desarrolladores capacitados en seguridad pueden ayudar a reducir el riesgo y lograr el cumplimiento desde una perspectiva de creación de software. Pueden generar un impacto en la etapa más temprana y económica posible del proceso.

Además de las herramientas de codificación segura, ¿qué otras medidas o prácticas considera que no solo pueden mejorar, sino también proteger las operaciones comerciales?

Toda empresa debería contar con algún tipo de formación en seguridad basada en roles. Existen multitud de amenazas más allá de las vulnerabilidades a nivel de código que los atacantes intentan aprovechar, por lo que cada persona en la organización necesita una base regular sobre los principios de seguridad aplicados a su puesto. En este sentido, desde el gerente de oficina hasta el equipo de contabilidad, todos deben comprender y asumir el papel que desempeñan en la concienciación y la acción en ciberseguridad.

Dado el clima económico actual, los CISO están bajo mucha presión para mantener la seguridad de las empresas al menor costo posible. ¿Qué consejo les daría?

Los CISO deben ser creativos en este entorno, especialmente a medida que la legislación sobre ciberseguridad se vuelve más exigente y, en algunos casos, conlleva que los CISO sean considerados personalmente responsables en caso de una brecha. Si a esto le sumamos los despidos, nos encontramos ante una situación en la que se espera que menos ingenieros asuman más responsabilidades mientras mantienen el mismo volumen de desarrollo de software. Los CISO pueden ayudar a la empresa a alcanzar el éxito eliminando uno de los principales obstáculos que los ralentizan: la seguridad.

Sin duda, la etapa más económica para abordar las vulnerabilidades de seguridad y los errores de configuración a nivel de código es antes de que el software se lance, lo que sitúa al desarrollador en una posición privilegiada para reducir ese riesgo. Sin embargo, necesitan apoyo personalizado para lograrlo. La seguridad a gran velocidad es posible si se dota al equipo de ingeniería de herramientas diseñadas para el desarrollador, teniendo en cuenta su flujo de trabajo y su pila tecnológica actuales. Necesitan capacitación para lograr precisión en la seguridad a gran velocidad, y esto se aborda mejor enseñándoles a utilizar patrones de codificación segura y a solucionar problemas con mayor rapidez.

Con el costo de una formación integral para desarrolladores, se puede trabajar para eliminar las vulnerabilidades desde el origen, ahorrando tiempo y dinero en etapas posteriores del ciclo de vida de desarrollo de software (SDLC). Dada la frecuencia de los ataques a gran escala y la mayor responsabilidad que recae sobre los CISO, debemos dejar de culpar a la falta de talento en ciberseguridad por quedarse atrás. Priorice las prácticas de seguridad defensiva y potencie al personal que ya tiene a su disposición.

¿Qué le depara el futuro a Secure Code Warrior?

Queremos seguir innovando, manteniendo al desarrollador como prioridad en las soluciones que lanzamos al mercado. Nos enfocamos en permitirles ofrecer seguridad sin comprometer la velocidad de entrega de funciones ni su tranquilidad mientras gestionan múltiples prioridades.

Nuestro objetivo es ayudar a las organizaciones a revolucionar sus programas de seguridad defensiva, y queremos que los desarrolladores capacitados en seguridad sean los héroes de esa historia. Estén atentos.