Realinear su organización en torno a la programación segura: barreras, preocupaciones y soluciones activas

En nuestro mundo hiperconectado, casi todas las organizaciones comparten un talón de Aquiles común. Una sola vulnerabilidad, una pequeña brecha explotable en su código, puede desencadenar el robo de datos de clientes, daños a la reputación y pérdidas financieras significativas. La alineación organizacional en torno a la programación segura nunca ha sido tan imperativa, pero lograrla es más fácil de decir que de hacer. Por ello, en 2020, Secure Code Warrior colaboró con Evans Data Corp. para realizar una investigación primaria* sobre las actitudes de desarrolladores y gerentes hacia la programación segura, las prácticas de código seguro y las operaciones de seguridad.

En este entorno donde la ciberseguridad es primordial, los indicadores clave de desempeño (KPI) tradicionales para el éxito de los proyectos se están redefiniendo, pero no con la rapidez necesaria.

Cuando preguntamos a desarrolladores y gerentes sobre las prioridades más críticas en el proceso de desarrollo de software:

• El 76% señaló el rendimiento de la aplicación
• El 62% eligió las características y funcionalidades
• Y poco más del 50% seleccionó el código seguro
  

Hoy, como podemos ver, la seguridad no es una prioridad crítica.

Pero al mirar hacia el futuro, el panorama cambia drásticamente. Cuando se les preguntó sobre las prioridades futuras más vitales para medir el éxito de un proyecto, el 79% de los desarrolladores coincidió en que la programación segura será cada vez más crítica. De hecho, los desarrolladores ven la seguridad como el KPI cuya importancia aumentará más.

Sin embargo, aunque la conciencia sobre la programación segura está aumentando, existen preocupaciones en torno a su adopción. Tanto para los desarrolladores como para los gerentes, lidiar con vulnerabilidades y ser responsables del código es suficiente para quitarles el sueño. Nuestra investigación* mostró que ambos grupos comparten el mismo conjunto básico de preocupaciones, lo que apunta a la necesidad de una mejor formación en prácticas de programación segura.

Preocupaciones y barreras en torno a las prácticas de programación segura

La principal preocupación de los desarrolladores es "incluir código que replique vulnerabilidades anteriores". Dado que los desarrolladores son evaluados por la calidad de su código, esto no es sorprendente. Ningún desarrollador quiere ser la fuente de código inseguro, o de código que requiera retrabajo y ralentice a su equipo.

La segunda preocupación más importante para los desarrolladores es lidiar con los errores introducidos por sus compañeros. Cumplir con los plazos y ser responsables del código también ocupan un lugar destacado en la lista, al igual que el hecho de que aprender sobre código seguro es un desafío, lo que refleja la insatisfacción de los desarrolladores con los enfoques de formación actuales.

Los gerentes, por otro lado, tienen una visión más general. Su principal preocupación es ser responsables de un código deficiente o de código que replique vulnerabilidades anteriores. Después de todo, si su equipo produce un código de mala calidad, la responsabilidad recae sobre el gerente.

El hecho de que el proceso de aprendizaje sea un desafío ocupa el tercer lugar; esta no es la única barrera para las prácticas de programación segura.

El 45% identificó la falta de comunicación entre las partes interesadas y la gerencia como un obstáculo importante. El 42% lamenta la falta de habilidades de programación segura entre las nuevas contrataciones. Al mismo tiempo, el 40% señaló la falta de tiempo y recursos para la formación.

Los enfoques actuales de formación en código seguro no están dando resultados, y los gerentes se dan cuenta de que se necesita un nuevo enfoque.

¿Quién es responsable de las prácticas de código seguro?

Por su propia naturaleza, la práctica de la programación segura significa considerar la seguridad mucho antes en el ciclo de vida de desarrollo de software (SDLC). Significa integrar activamente la seguridad en el software a medida que se escribe, desde el principio, en lugar de dejarlo para después. En otras palabras, "desplazarse a la izquierda" (shifting left). Este "desplazamiento a la izquierda" es la esencia de la práctica de programación segura. Y significa que, en última instancia, todos en una organización deberían ser responsables del código seguro. Pero en este momento, solo el 15% de los desarrolladores está de acuerdo.

Sin embargo, aunque la mayoría de los desarrolladores todavía ven la seguridad como un problema de otros, un grupo pequeño pero creciente no solo adopta activamente la programación segura, sino que la defiende dentro de su organización. El 29% de los desarrolladores encuestados coincide en que existen personas de referencia en su lugar de trabajo. El problema es que estos defensores del código seguro todavía son muy escasos.

Formar más expertos en seguridad

Los gerentes de desarrollo son conscientes de la necesidad de identificar y formar nuevos expertos en seguridad, así como de mejorar las habilidades de programación segura de sus desarrolladores en general.

Muchos gerentes también priorizan las habilidades de programación segura al contratar nuevos desarrolladores y valoran la experiencia en este ámbito entre quienes ya forman parte de sus equipos.

El 83% de los gerentes encuestados afirma que pide a sus desarrolladores que aprendan o adopten prácticas de programación segura. Aproximadamente tres cuartas partes de los gerentes encuestados señalan que ofrecen incentivos para que los desarrolladores participen en formación sobre código seguro. Estos incentivos van desde el reconocimiento formal y mayores responsabilidades hasta una mejor remuneración.

Está claro que los gerentes de desarrollo son influenciadores clave en la adopción de prácticas de programación segura a nivel organizacional, y resultan fundamentales para detectar a los expertos en seguridad.

Pero, a la hora de crear más expertos, ¿qué motiva a los desarrolladores a aprender sobre programación segura? Nuestra investigación muestra que lo ven como un medio para aumentar su productividad y eficiencia.

Entonces, ¿por qué los desarrolladores no solicitan más formación en código seguro? ¿Qué impide que se alineen con una necesidad organizacional creciente?

Soluciones para comenzar a abordar la realineación

Los desarrolladores no quieren quedarse sentados escuchando conferencias; quieren ponerse manos a la obra y probar por sí mismos. Buscan un enfoque en aplicaciones prácticas, algo de lo que carecen gravemente los programas de formación actuales. Al preguntarles cómo podría mejorar la formación que ofrece la empresa, el 30% de los encuestados indicó que desearía que se centrara en aplicaciones prácticas, especialmente en escenarios de trabajo reales.

Las prácticas de formación actuales no logran esto. Se requiere un nuevo enfoque y, como defensores del cambio, Secure Code Warrior adopta una metodología centrada en las personas para ayudar a las organizaciones a realinearse en torno a la programación segura. Nuestros cursos de ciberseguridad ofrecen rutas de aprendizaje guiadas que incluyen desafíos de programación prácticos y gamificados que imitan los que los desarrolladores enfrentan en el mundo real.

Esta formación es específica para cada lenguaje y framework, a diferencia de la formación genérica, que a menudo entra por un oído y sale por el otro.

Cuando se trata de realinear la cultura, los torneos pueden utilizarse para medir las habilidades de seguridad de los programadores, establecer una base para el desarrollo futuro de competencias y detectar a los posibles expertos en seguridad dentro de su equipo de desarrollo.

Si desea obtener más información sobre la formación en código seguro que alinea las necesidades de los gerentes, los desarrolladores y la organización hacia un futuro de programación segura, reserve una demostración ahora.

*Pasar de la reacción a la prevención: la cara cambiante de la seguridad de las aplicaciones. Secure Code Warrior y Evans Data Corp. 2020