El desarrollo seguro debería ser el sistema inmunológico de AppSec

Como profesional de la seguridad de aplicaciones, su trabajo consiste en garantizar la ciberseguridad de las aplicaciones de su organización. Sin embargo, usted no es responsable de escribir el código en el que se ejecutan dichas aplicaciones; eso es tarea de los ingenieros del equipo de desarrollo. Entonces, ¿cómo puede asegurarse de que desarrollen esos sistemas teniendo la seguridad en mente?

Lo más probable es que esté haciendo algunas, o incluso todas, de las siguientes cosas:

• Revisar todo el código en busca de fallos de seguridad y comunicárselos al equipo de desarrollo para que los corrija.
• Imponer un proceso estricto de revisión por pares a lo largo de su ciclo de vida de desarrollo seguro.
• Realizar evaluaciones de aplicaciones o pruebas de penetración periódicas por parte de equipos de seguridad internos o externos.
• Implementar herramientas de escaneo para detectar vulnerabilidades.
  

Estas son excelentes prácticas, pero también son costosas y equivalen a tomar antibióticos cada vez que uno se enferma. Esto no solo conlleva un alto costo, sino que pierde eficacia y puede debilitar su sistema inmunológico con el tiempo.

¿Cómo puede lograr que el código que los desarrolladores entregan esté escrito de forma segura desde el principio?

Dejando a un lado la programación segura, primero piense en cómo aprenden las personas. La mayoría de nosotros somos aprendices visuales y aprendemos haciendo. Sin embargo, la formación en código seguro a menudo se ofrece como una actividad de "cumplimiento" que no es relevante para el trabajo diario del desarrollador. Está diseñada para demostrar que los desarrolladores han recibido formación en seguridad, a menudo para cumplir con los estándares de la industria, y no para que realmente retengan ese conocimiento, y mucho menos para que disfruten del proceso de aprendizaje.

Otra forma en la que los humanos tendemos a aprender es a través de nuestros errores, de la misma manera que lo hace nuestro sistema inmunológico. Las células T recuerdan qué tipo de patógenos han encontrado y eliminado con éxito en el pasado, para poder protegerse contra ellos en el futuro. Este es exactamente el papel que deberían desempeñar los desarrolladores en su SDLC seguro.

Es poco realista esperar que no cometan errores, pero puede prepararlos para que sean capaces de reconocer patrones de codificación que se traducirán en vulnerabilidades de seguridad en el futuro.

Así es como un proceso sólido de revisión por pares se vuelve tan poderoso. El hecho de que un desarrollador no note un fallo de seguridad no significa que otro no lo hará. Y cuanto mejor formado esté el equipo de desarrollo en su conjunto, más probable será que las vulnerabilidades se detecten a tiempo y nunca lleguen a producción.

Las vulnerabilidades de software son como patógenos

Las vulnerabilidades de software son como patógenos en el sentido de que hay que recordarlos para poder combatirlos. Con los patógenos, nuestro sistema inmunológico a menudo necesita estar expuesto varias veces antes de recordar cómo combatirlos para evitar enfermedades graves o algo peor.

Un ciberataque exitoso a través de software vulnerable puede paralizar o destruir gravemente a una organización. Pero si los desarrolladores conocen las vulnerabilidades de software primero en un entorno controlado, pueden trabajar para desarrollar inmunidad contra las amenazas aumentando y practicando regularmente sus conocimientos y habilidades de programación segura.

Exponga a los desarrolladores a fallos de seguridad en un entorno controlado

Nunca podremos protegernos por completo de enfermarnos, pero hay cosas que podemos hacer para fortalecer nuestro sistema inmunológico y mantenernos lo más saludables posible. Cosas como el ejercicio regular, una alimentación saludable y dormir lo suficiente se encuentran entre las opciones de estilo de vida comúnmente asociadas con un sistema inmunológico fuerte. Pero todas esas cosas requieren un poco de esfuerzo y deben ser continuas. Salir a trotar todos los días durante una semana o dejar de beber durante un mes apenas tendrá impacto en su salud general. Tampoco es recomendable salir a correr 10 km el primer día que empezamos a correr. Primero debemos exponer nuestro corazón y nuestros músculos al ejercicio. También sabemos que hace falta un poco de experimentación hasta encontrar un buen equilibrio para nuestro cuerpo y los alimentos saludables y ejercicios que nos gustan.

No es muy diferente cuando se trata de desarrollo de software seguro. El aprendizaje ocurre con el tiempo y con la práctica, y los desarrolladores necesitan la misma formación continua para mejorar regularmente sus habilidades de programación segura. Sin mencionar que el desarrollo de software siempre está evolucionando y adaptándose, lo que significa que las vulnerabilidades también lo hacen. Es por eso que un simple curso de formación no es suficiente. Los desarrolladores necesitan una mejora continua de sus habilidades para estar lo suficientemente familiarizados con las amenazas potenciales y estar debidamente equipados para defenderse de ellas.

Apunte a lograr la inmunidad de rebaño dentro del equipo de desarrollo

Una sola persona no puede prevenir todos y cada uno de los problemas de seguridad. Es genial tener campeones de seguridad en el equipo, pero para obtener la mejor protección, cuantas más personas hayan aprendido sobre las vulnerabilidades de seguridad y cómo prevenirlas, mayores serán las posibilidades de que su organización las evite. Una vez más, no es muy diferente a cómo el sistema inmunológico tiene diferentes tipos de células T para diferentes propósitos. Cada desarrollador es parte de un equipo que garantiza la seguridad. Si se les empodera para asumir la responsabilidad, hacerlo bien e incluso disfrutar haciéndolo, el resultado será que podrá crear una inmunidad de rebaño contra las ciberamenazas dentro del equipo de desarrollo.

Priorice la seguridad mediante la exposición constante

Nuestro cerebro aprende de forma similar a como funciona nuestro sistema inmunológico. El psicólogo alemán Hermann Ebbinghaus fue un pionero en el campo de la memoria y el aprendizaje. Dedujo que el aprendizaje debe ocurrir a lo largo del tiempo y mediante múltiples sesiones. En la escuela, nunca se espera que retengamos conocimientos nuevos tras una primera toma de contacto. Primero se nos presenta la información, luego la practicamos con guía y, finalmente, por nuestra cuenta. E incluso después de haber aprendido lo suficiente para aprobar un examen, la información tiende a olvidarse si no utilizamos regularmente lo que tanto esfuerzo nos costó aprender. ¿Cuántos de nosotros podemos decir que recordamos el francés del instituto?

Entonces, ¿cómo podemos creer que un solo día viendo diapositivas y escuchando a alguien hablar sobre seguridad hará que los desarrolladores asistentes escriban código de forma más segura?

Los patrones de vulnerabilidades recurrentes demuestran que esto simplemente no funciona. 

¿Cómo lograr una inmunidad en el desarrollo seguro?

La respuesta reside en nuestra propia naturaleza. Nuestro cuerpo y nuestra mente funcionan igual y ofrecen soluciones brillantes a los problemas, siempre que trabajemos a favor de ellos y no en su contra. 

Para garantizar que sus aplicaciones sean seguras, debe empezar por capacitar a los desarrolladores para que escriban código seguro. De lo contrario, el equipo de AppSec seguirá dedicando todo su tiempo a revisar el código en busca de fallos de seguridad y a informar de las mismas vulnerabilidades recurrentes a desarrollo, solo para que se solucionen rápidamente sin que nadie aprenda nada. Y luego, repetir el proceso en la siguiente versión.

Así que, insistamos en ello.

Si colabora con sus gerentes de desarrollo para lograrlo, no solo implementará un ciclo de vida de desarrollo de software (SDLC) seguro y cumplirá con los requisitos de formación en seguridad, sino que tendrá un impacto real en el proceso de desarrollo. Y, como guinda del pastel, AppSec dejará de encontrar y reportar vulnerabilidades repetidas a los equipos de desarrollo, y los desarrolladores dedicarán menos tiempo a corregirlas. Esto significa que podrán invertir más tiempo en crear y mejorar el software increíble que hace que nuestro mundo sea mejor. 

¿Listo para capacitar a su equipo de desarrollo? Adelante, reserve una demostración con nosotros.