¿Qué papel desempeña el factor humano en el futuro de la programación segura?

A medida que aumenta el número de ciberamenazas, las organizaciones se ven obligadas a tomar decisiones diarias que comprometen la seguridad, la practicidad o la velocidad, exponiéndose a riesgos en el proceso. Se necesitan nuevos enfoques para la programación segura, por lo que Secure Code Warrior colaboró con Evans Data Corp. para realizar una investigación primaria sobre la actitud de los desarrolladores hacia la programación segura, las prácticas de código seguro y las operaciones de seguridad (descargue el informe técnico aquí).

Lo que este informe reveló es que, si bien el pensamiento reactivo de la "vieja escuela" sigue predominando, existe una creciente conciencia sobre la necesidad de soluciones más proactivas que conviertan a los propios desarrolladores en la primera línea de defensa.

Cualquier análisis sobre la adopción de prácticas de programación segura debe comenzar por comprender a las personas involucradas en su implementación, sus percepciones y su capacidad para llevarlas a cabo. Esto nos lleva a la pieza más importante del rompecabezas: ¿cómo podemos capacitarlos para que programen de forma más segura desde el principio y entreguen código de calidad con mayor rapidez y confianza?

Programación segura: ¿dónde estamos ahora y qué debe cambiar? Descargue la infografía 'El factor humano' ahora.

Perspectivas actuales: reactivo frente a proactivo

Cuando se preguntó a los desarrolladores y gerentes de desarrollo sobre las actividades que asocian con la programación segura, las tres respuestas principales fueron:

• Uso de herramientas de escaneo en aplicaciones desplegadas.
• Revisión manual de código en busca de vulnerabilidades.
• La práctica activa y continua de escribir software protegido contra vulnerabilidades.

Como podemos ver, dos de las tres respuestas principales siguen centrándose en enfoques reactivos: la primera depende de herramientas (escáneres) y la segunda del desarrollador (es decir, el factor humano) realizando comprobaciones manuales.

Al mismo tiempo, dos de las tres actividades mencionadas dependen del factor humano. Esto apunta a una percepción creciente de la seguridad como un problema humano. Pero de todas las actividades señaladas, la más reveladora es la n.º 3, que identifica el factor humano al escribir software que esté protegido contra vulnerabilidades desde el origen. Esto destaca un cambio hacia el "shift left" (desplazamiento a la izquierda): un enfoque proactivo y preventivo que integra la seguridad en el software desde el inicio del ciclo de vida de desarrollo (SDLC).

¿Dónde encaja la seguridad en el SDLC?

Cuando se pregunta a los desarrolladores y gerentes de desarrollo dónde integran las prácticas de código seguro en el SDLC, las opiniones difieren. El 55 % de los gerentes cree que la programación segura está integrada en todo el proceso de desarrollo, en comparación con solo el 43 % de los desarrolladores. La diferencia podría reflejar los distintos roles de estos dos grupos dentro del SDLC. La gerencia suele estar menos involucrada en el trabajo real de programación y tiende a tener una visión más general, mientras que los desarrolladores pueden estar más preocupados por los detalles técnicos.

Pero desde el punto de vista de la seguridad general y la calidad del código, lo alarmante es que solo el 13 % de los desarrolladores y el 10 % de los gerentes afirman que las prácticas de código seguro deberían integrarse en las etapas de diseño, justo al comienzo del SDLC. Esta es una oportunidad enorme y desaprovechada. Según un estudio de IBM, es treinta veces más costoso corregir vulnerabilidades en el código después del lanzamiento que si se detectan y remedian al principio.1 Ese es un incentivo poderoso para una nueva defensa proactiva y centrada en las personas, que equipe a los desarrolladores para programar de forma más segura desde el inicio. La seguridad del software no puede resolverse confiando únicamente en herramientas; debe tener en cuenta el factor humano.

¿Está preparado el factor humano?

El 97 % de los desarrolladores encuestados cree haber recibido suficiente formación en programación segura, y el 95 % coincide en que dicha formación ha sido valiosa para su carrera. Pero antes de aceptar estas afirmaciones al pie de la letra, debemos preguntarnos: ¿por qué siguen siendo tan frecuentes las vulnerabilidades en el código? ¿Son las afirmaciones de los desarrolladores sobre su experiencia en código seguro solo una cuestión de ego? La evidencia ciertamente apunta en esa dirección. En una admisión más modesta, más del 88 % de los desarrolladores encuestados admite que la programación segura es difícil de aprender, y el 91 % de los gerentes de desarrollo reconoce que las prácticas de programación segura son difíciles de implementar. Cuando se les pidió identificar sus principales preocupaciones personales sobre la implementación de código seguro, el 28 % de los desarrolladores considera que el proceso de aprendizaje es difícil, mientras que el 24 % lo encuentra aburrido. Esto señala que la formación de los desarrolladores debe mejorar.

¿Qué necesita el factor humano?

Para superar el factor de "dificultad", una formación en seguridad eficaz requiere un proceso de "andamios" que apoye al desarrollador para desarrollar habilidades de programación segura paso a paso. Para lograr la máxima relevancia y aplicabilidad inmediata, esa formación debe realizarse en el lenguaje y marco de trabajo específicos que utilizan a diario.

Para superar el factor de "aburrimiento", la formación en código seguro debe impartirse de forma práctica, lo cual ha demostrado ser mucho más atractivo para los desarrolladores que los modelos obsoletos de aula o de "ver este video". Esto debe incluir simulaciones en vivo que permitan a los desarrolladores abordar desafíos de seguridad, a veces arriesgados, en un entorno seguro. El objetivo debe ser enseñar a los desarrolladores a encontrar y corregir vulnerabilidades en el código mientras trabajan, haciendo que la programación segura sea parte de su flujo diario. Otro factor clave es el linting y el coaching dentro del IDE, que ayuda a los desarrolladores a aprender y mejorar constantemente mientras programan, previniendo y eliminando vulnerabilidades sobre la marcha.

Si desea descubrir cómo proporcionar a sus desarrolladores este nuevo nivel de herramientas y formación centradas en ellos, reserve una demostración ahora.

También puede descargar su copia del informe técnico Pasar de la reacción a la prevención: la cara cambiante de la seguridad de las aplicaciones.

‍