Desarrolladores conscientes de la seguridad: ¡AppSec los necesita!

Aunque pueda parecer contradictorio para quienes trabajan fuera del desarrollo de software, muchos de los profesionales que han trabajado en seguridad de aplicaciones a lo largo de los años han ocupado esos puestos críticos con poca o ninguna experiencia en programación. Estos profesionales de AppSec forman parte del equipo responsable de garantizar que no se filtren vulnerabilidades en las aplicaciones que se han convertido en el motor de muchas industrias y organizaciones, y sin embargo, pocos de ellos pueden evaluar o corregir el código directamente.

En lugar de provenir de un entorno de programación, muchos profesionales de la seguridad abordan sus funciones desde el conocimiento clave sobre vectores de ataque, amenazas, exploits y riesgos empresariales; tienen una visión limitada del código. Aunque no todos los expertos en AppSec tienen las mismas habilidades, el día a día de muchos implica trabajar con revisores de código y herramientas de escaneo para asegurar que los programas y sistemas cumplan con los estándares organizativos o los marcos industriales y gubernamentales pertinentes. Luego, redactan informes sobre sus hallazgos y envían información sobre el vector de ataque que podría comprometer el código. Corresponde entonces a los desarrolladores realizar las correcciones necesarias, sin importar lo disruptivo que pueda ser para el trabajo actual.

La razón por la que la situación se desarrolló así es porque la lógica predominante durante años fue que la tarea de proteger redes y aplicaciones era tan vasta que no tenía sentido esperar que todos los que trabajaban en ciberseguridad desempeñaran todas las funciones. Las habilidades profundas de programación se dejaban a los desarrolladores, y se daba poco valor a la capacidad de escribir o editar código en etapas posteriores del ciclo de desarrollo.

Esa mentalidad está cambiando rápidamente, lo que presenta una oportunidad única para que los desarrolladores den el lucrativo salto y cambien su carrera hacia AppSec. No todos los desarrolladores querrán abrazar el llamado "lado oscuro", y muchos no tienen opiniones precisamente positivas sobre los equipos de AppSec. Pero para aquellos que sí lo deseen, nunca ha habido un mejor momento para alcanzar esa meta cada vez más tentadora.

DevSecOps impulsa casi todas las industrias

Uno de los factores más importantes para elevar el valor de los programadores y desarrolladores conscientes de la seguridad en cualquier organización es la adopción casi universal de prácticas de desarrollo más ágiles como DevSecOps. Cuando el desarrollo, la seguridad y las operaciones se combinan, la ciberseguridad se convierte en una responsabilidad compartida integrada en el desarrollo de nuevo software de principio a fin. En ese entorno, la capacidad de programar se considera cada vez más un activo valioso en todos los ámbitos, especialmente para los ingenieros que también comprenden la seguridad de forma inherente.

Un profesional de AppSec que no solo entiende la ciberseguridad a alto nivel, sino también el código que hace que todo funcione, es intrínsecamente más valioso para cualquier organización que alguien cuyo conocimiento se concentra en lo teórico. Ser capaz de descubrir y evaluar rápidamente las vulnerabilidades encontradas en el código, y luego mitigar esos problemas, es la esencia de por qué DevSecOps está teniendo tanta popularidad.

Los desarrolladores que trabajan en AppSec también aportan otra gran ventaja a cualquier organización que los emplee. Venir del lado del desarrollo les facilita hablar con otros desarrolladores sobre seguridad y vulnerabilidades. También hace que sea mucho más sencillo convertirse en mentores para los equipos de desarrollo, ayudándoles a mejorar su código. Con el tiempo, incluso podrían eliminar el estigma del "lado oscuro" de AppSec y ayudar a unificar los equipos dentro del desarrollo de software en toda la organización.

La escasez de habilidades en ciberseguridad está empeorando

Shakespeare reflexionó que no hay mal que por bien no venga. Lo que quería decir es que incluso la situación más oscura probablemente beneficia a alguien. La escasez de habilidades en ciberseguridad es un gran ejemplo de ello.

La falta de personal se siente de forma aguda en casi todas partes. En una encuesta reciente realizada por el Centro de Estudios Estratégicos e Internacionales, el 82% de los responsables de decisiones de TI afirmó que sus organizaciones sufrían escasez de habilidades en ciberseguridad, y el 71% indicó que esta carencia había provocado daños directos y cuantificables. Para poner esta crisis en perspectiva, el informe señaló que solo en Estados Unidos había más de 520,000 puestos de ciberseguridad sin cubrir en 2020, en un campo donde solo hay unos 940,000 empleados.

La escasez de personal de ciberseguridad es una mala noticia para las organizaciones que intentan proteger su infraestructura, negocio y datos de un panorama de amenazas cada vez más peligroso. Pero representa una buena oportunidad para los desarrolladores que buscan entrar en AppSec y seguridad. Es probable que haya puestos de ciberseguridad y AppSec disponibles en casi todas partes. Y dado que los puestos de ciberseguridad tardan, de media, un 21% más de tiempo en cubrirse hoy en día, los salarios están aumentando en todos los niveles.

Dando el salto a AppSec

Puede que nunca haya un mejor momento para que los desarrolladores den el lucrativo salto hacia el lado brillante de la seguridad. Los desarrolladores conscientes de la seguridad ya no se ven solo como parte de un método de seguridad provisional, sino que están ocupando un papel completo y respetado como defensores de la ciberseguridad. Esto es especialmente cierto en organizaciones que han adoptado DevSecOps y otras metodologías de desarrollo más ágiles. Además, la escasez de talento en ciberseguridad significa que hay puestos disponibles en casi todas las empresas, agencias gubernamentales u organizaciones. Aquellos con las habilidades adecuadas pueden elegir dónde quieren trabajar.

Pasarse a AppSec puede no ser para todos y, por supuesto, la mayoría de los desarrolladores seguirán centrados en crear funciones increíbles. Pero para quienes consideran dar el salto, invertir en formación en seguridad para aumentar sus habilidades de programación existentes puede abrir muchas puertas. Los mejores profesionales de AppSec provienen de la ingeniería, porque entienden profundamente la tecnología y empatizan con la situación de sus compañeros desarrolladores. DevSecOps significa que todos son responsables de la seguridad, así que ¿por qué no aprovechar la actual escasez crítica de habilidades para avanzar en su carrera hacia la seguridad de aplicaciones? Nunca ha habido un mejor momento para dar un paso positivo para usted, su familia y su carrera.