Adelanta la seguridad (y logra el cumplimiento) con habilidades de programación segura y repetibles

Hoy en día, casi todos los equipos de desarrollo emplean algún tipo de formación en cumplimiento normativo, ya sea como parte de un proceso de certificación inicial para garantizar que la empresa se mantenga dentro de los marcos del sector o las normativas gubernamentales, o como parte de un requisito o revisión anual. Es un paso importante, porque si una organización no puede cumplir con los requisitos básicos de cumplimiento, sus trabajadores no pueden desempeñar sus funciones de manera realista.

Las normas de cumplimiento existen por una razón: cualquiera que trabaje en el campo que cubren dichas normas debe tener, al menos, un conocimiento fundamental de todos los procesos y procedimientos pertinentes, así como de cualquier ley aplicable.

Aunque la formación en cumplimiento es importante, completar los requisitos mínimos obligatorios no garantiza una verdadera seguridad en las aplicaciones. Esto es especialmente cierto para los desarrolladores que intentan integrar habilidades de codificación segura en su flujo de trabajo diario. Casi todos los desarrolladores reciben algún tipo de formación en cumplimiento y, sin embargo, al ser encuestados, el 67% admitió que a menudo dejaba vulnerabilidades en su código.

¿Por qué?

Por segundo año consecutivo, Secure Code Warrior llevó a cabo la encuesta "The state of developer-driven security survey, 2022" en colaboración con Evans Data Corp en diciembre de 2021. Encuestamos a 1200 desarrolladores de todo el mundo para comprender sus habilidades, percepciones y comportamientos en lo que respecta a las prácticas de codificación segura, así como su impacto y relevancia percibida en el ciclo de vida del desarrollo de software (SDLC).

En cuanto a por qué la formación en cumplimiento no logra mejorar la seguridad del software, este es un problema del que llevamos mucho tiempo hablando. La encuesta reciente simplemente pone de relieve este problema.

Por un lado, se pide a los desarrolladores que asuman nuevos roles incluyendo la ciberseguridad en todo el proceso de desarrollo de software, incluso desde el momento en que escriben el código de las aplicaciones y programas. Pero escribir código seguro, o incluso simplemente aprender sobre los problemas de ciberseguridad y las vulnerabilidades que podrían afectarlo, no es una tarea fácil. En la encuesta, el 63% de los desarrolladores afirmó que escribir código seguro era una tarea difícil.

La dificultad de escribir código seguro no debería ser una sorpresa. Hay una razón por la que tantos puestos de ciberseguridad bien remunerados quedan vacantes, con más de 3,5 millones de ofertas en todo el mundo según el último recuento. Si fuera un trabajo fácil, todo el mundo se lanzaría a ese campo. Aprender a combatir amenazas y eliminar vulnerabilidades en el código es difícil, y el panorama de amenazas cambia constantemente. La formación estática en cumplimiento o las clases puntuales no pueden seguir el ritmo ni proporcionar el tipo de educación que necesitan los desarrolladores. Puede que cumplan con un requisito normativo, pero no pueden ofrecer garantías reales de seguridad de las aplicaciones para su organización, ni capacitar a los desarrolladores para escribir código seguro o proporcionarles las habilidades para encontrar y corregir vulnerabilidades.

La formación en cumplimiento y la formación en seguridad son importantes, pero diferentes

Las organizaciones deben empezar a darse cuenta y reconocer lo que la formación en cumplimiento puede hacer y lo que no. No abandone la formación en cumplimiento, especialmente si es un requisito legal. Y sobre todo porque (incluso con los métodos de formación actuales) el 92% de los encuestados declaró que necesitaba al menos algo de formación en cuestiones relacionadas con el cumplimiento o marcos de seguridad, y el 50% destacó la necesidad de una formación en cumplimiento significativa.

Los marcos de cumplimiento en los que estaban más interesados en formarse incluían aquellos específicos de diversos sectores, aunque también aparecieron en la lista varios marcos generales de ciberseguridad. Entre ellos se incluyen el marco de seguridad CIS, PCI DSS, OWASP Top 10, MISRA C, ISO/IEC, la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA), entre otros.

Así que sí, fórmese en esos marcos, pero entienda que marcar una casilla en la formación de cumplimiento no equivale a proporcionar una base para la creación continua de código seguro.

En su lugar, considere la formación en cumplimiento como parte de una oportunidad continua para ampliar las habilidades de codificación segura de sus desarrolladores, que puede repetirse fuera del ciclo de cumplimiento, para que puedan crear y lanzar software seguro todos los días. Cambie la prioridad de lograr el cumplimiento a capacitar a los equipos de desarrollo para que codifiquen de forma segura mediante el aprendizaje continuo. Al invertir tiempo y recursos en la capacitación de los desarrolladores, esos ejercicios o exámenes anuales de cumplimiento se convertirán en algo sencillo de superar para su personal, al tiempo que se beneficiarán de una mayor productividad general.

¿Cómo puede hacer la transición hacia una seguridad impulsada por los desarrolladores?

Los desarrolladores afirmaron mayoritariamente que la formación era valiosa, pero cuestionaron el tipo de formación que han recibido sobre codificación segura a lo largo de los años. Los desarrolladores dijeron que querían ver un mayor énfasis en la formación práctica utilizando ejemplos del mundo real que fueran relevantes para sus trabajos (30%). El 26% de los encuestados también consideró fundamental una mayor interactividad, especialmente si podían practicar la escritura de código seguro como parte de esos ejercicios.

El deseo de recibir una formación más guiada centrada en las vulnerabilidades específicas que tenían más probabilidades de encontrar en su industria o sector fue considerado importante por el 23% de los desarrolladores encuestados, mientras que el 22% quería ver más ejemplos de vulnerabilidades del mundo real en sus cursos de formación.

Está claro que simplemente proporcionar formación estática y no interactiva (que suele ser la experiencia habitual en la formación de cumplimiento) tiene poco valor en términos de habilidades de seguridad repetibles para los desarrolladores. En su lugar, las organizaciones deberían centrarse en aspectos como la formación "just-in-time", donde se enseña a los desarrolladores sobre seguridad mientras trabajan. Incluso podría considerar la implementación de un programa de aprendizaje por niveles.

Con un enfoque por niveles, los temas más amplios suelen dividirse en experiencias o conceptos de aprendizaje discretos. A medida que los desarrolladores progresan, se añaden conceptos más avanzados sobre los ya dominados, al igual que se construye un andamio físico a medida que un edificio crece. Esto constituye un método probado para enseñar un tema difícil y en constante evolución como la ciberseguridad, dividiéndolo primero en partes más pequeñas y menos complejas para luego construir una mayor complejidad sobre esa base.

Independientemente de cómo decida abordar su programa de habilidades de seguridad para desarrolladores, mantenerlo separado de los ejercicios de cumplimiento será clave. Tanto la formación en cumplimiento como la de seguridad son importantes, y ambas requieren enfoques diferentes para lograr el éxito.

Lecturas adicionales

Informe técnico: Los desafíos (y oportunidades) para mejorar la seguridad del software.

Libro blanco: El enfoque de desarrollo preventivo para la seguridad del software.

Informe: El estado de la seguridad impulsada por los desarrolladores.