La seguridad no es una mala palabra: cómo un enfoque positivo transformará tu programa de seguridad

Publicado originalmente en el blog de DevSecCon.

Al haber estado en ambos lados, conozco muy bien la tensión que puede surgir entre el equipo de desarrollo y los especialistas en AppSec cuando se trata de mantener las mejores prácticas de seguridad.

Es difícil; al fin y al cabo, la prioridad principal de un desarrollador es entregar funcionalidades de software. Deben ser atractivas, funcionales y ayudar a mostrar el potencial de la aplicación. Con las prácticas de desarrollo ágil que suelen utilizarse hoy en día, estas funcionalidades deben completarse en plazos estrictos... y la seguridad rara vez ocupa un lugar destacado en la lista de preocupaciones cuando hay tanto en juego.

La seguridad se percibe como el dominio del equipo de AppSec, que tiene la ingrata tarea de escanear el código (o peor aún: revisarlo manualmente, línea por línea) e informar al equipo de desarrollo de que su código es inseguro o, de hecho, totalmente inutilizable. Son los que ponen trabas, critican su buen trabajo, frenan la innovación y, en general, causan dolores de cabeza a los desarrolladores. Al final, muchos problemas de seguridad tienen una solución sencilla; quizás una sola línea de código podría reforzar una puerta trasera vulnerable en cuestión de minutos.

Pero aquí está el problema. Como la "seguridad" es sinónimo de una experiencia negativa, los desarrolladores simplemente no se involucran tanto como deberían. Esas correcciones de una línea no se llevan a cabo: después de todo, el equipo de AppSec se encuentra continuamente con los mismos problemas. Debe ser bastante exasperante para ellos seguir señalando fallos de inyección SQL, más de veinte años después de que los descubriéramos (y de que existiera su solución).

Lo que hemos hecho hasta la fecha no está funcionando ni de lejos tan eficazmente como esperábamos. Debemos centrarnos en reparar el puente entre los desarrolladores y los especialistas en AppSec, esforzándonos por lograr una cultura de seguridad positiva en la que los desarrolladores reciban las herramientas y la formación necesarias para lograr un impacto real en este ámbito.

¿Quién sabe? ¡Puede que hasta les encante, como a mí!

La seguridad positiva es la forma más rápida y sencilla de mejorar la seguridad de las aplicaciones

y no, no se trata de algo abstracto sobre resultados intangibles. Es un ingrediente absolutamente vital en la receta del éxito de la codificación segura.

Los desarrolladores tienen la clave para mejorar la seguridad desde el principio de la producción, escribiendo código seguro desde el primer momento. Al crear una cultura de seguridad positiva y entusiasmar a los desarrolladores con la seguridad de las aplicaciones, se pueden eliminar las vulnerabilidades comunes antes de que lleguen a un escaneo o a una revisión manual de código en el terreno de AppSec.

Es treinta veces más caro corregir vulnerabilidades en código que ya ha sido enviado, por lo que encontrar una formación que aproveche los puntos fuertes de los desarrolladores, mantenga su interés y realmente funcione es un gran paso para reducir los costes futuros de identificación y corrección de esas vulnerabilidades recurrentes.

Las iniciativas positivas centradas en el desarrollador fomentan la cultura de seguridad adecuada.

Cuando todos están en sintonía con las mejores prácticas de seguridad, una cultura de seguridad positiva es un subproducto feliz y vital.

Las iniciativas positivas y escalables centradas en el desarrollador fomentan la cultura de seguridad adecuada. Involucrar a las mentes creativas y resolutivas de los desarrolladores es esencial para ganárselos, además de garantizar que los nuevos empleados puedan ponerse al día rápidamente con las expectativas de seguridad del equipo. Ponte en contacto para obtener una visión general de cómo ha evolucionado la relación entre seguridad y desarrollo, e ideas para implementar un programa de concienciación sobre seguridad exitoso en tu organización.