Desplazarse a la izquierda no es suficiente: por qué empezar a la izquierda es la clave para la excelencia en la seguridad del software

En un mundo impulsado por lo digital, corremos un riesgo cada vez mayor de sufrir robos de datos. Dado que las grandes organizaciones actúan como guardianes de nuestra valiosa información, muchas están reconociendo la necesidad de implementar estándares de seguridad estrictos.

Gran parte de la iniciativa en torno al "shift left", es decir, introducir la seguridad mucho antes en el proceso de desarrollo, simplemente no es suficiente. Esto implica que seguimos comenzando el proceso de la manera incorrecta, retrocediendo al final para lograr un software más seguro. Debemos empezar por la izquierda ("start left"), promoviendo un cambio cultural que involucre positivamente a los equipos de desarrollo y les proporcione los conocimientos que actualmente les faltan. Sin embargo, no todas las herramientas y formaciones son iguales.

En este artículo, exploramos cómo los líderes clave, como los responsables de concienciación sobre seguridad y los gerentes de desarrollo, pueden empoderar realmente a sus equipos de programadores, transformándolos en la primera línea de defensa contra costosos ciberataques.

Shift left frente a start left: una distinción importante.

En la era de las frecuentes filtraciones de datos que afectan a algunas de las organizaciones más confiables del mundo, los líderes empresariales han buscado orientación en la industria de la seguridad para evitar el desastre financiero, reputacional y operativo que supone un ataque exitoso.

Durante bastante tiempo, los especialistas en AppSec (incluyéndome a mí) hemos aconsejado que debemos "desplazarnos a la izquierda". Siguiendo las mejores prácticas de DevOps, así como para obtener mejores resultados en la seguridad del software, muchos aconsejamos que la parte de seguridad de una compilación de software debe realizarse antes en el ciclo de vida de desarrollo de software (SDLC). No debería ser el paso final y costoso, sino que debería acercarse al inicio del proceso, con los equipos de AppSec involucrados desde que los proyectos de software cobran vida.

Este no es un mal consejo, y ciertamente es mejor que la vieja forma de hacer las cosas (que, si la cantidad de datos robados y la antigüedad de las vulnerabilidades utilizadas para sustraerlos sirven de indicación, no funciona de todos modos). Sin embargo, si realmente empezáramos por la izquierda, los resultados en seguridad serían mucho más positivos.

Shift left, start left... ¿cuál es la diferencia? La diferencia radica en cómo involucras a tu equipo de desarrollo. En realidad, ellos son la clave para entregar un software más seguro, de forma mucho más económica de lo que pueden lograr las cadenas de herramientas de ciclo tardío y la revisión manual de código. En un mundo ideal, cada desarrollador que escriba software tendría el conocimiento y las herramientas para programar de forma segura desde el principio. Detectarían posibles fallos y los mitigarían antes de que se integren (lo que los hace mucho más costosos de eliminar y corregir). Habría una reducción drástica en los errores de seguridad que hemos visto durante décadas, aquellos que todavía permiten que los atacantes entren por la puerta trasera. Esas ventanas de oportunidad en forma de inyección SQL, cross-site scripting y autenticación rota se cerrarían.

Sin embargo, en este momento, simplemente no hay suficiente énfasis en la seguridad a nivel vocacional, y la formación en programación segura en el trabajo varía enormemente. Como resultado, los desarrolladores rara vez tienen lo que necesitan para permitir que una organización empiece por la izquierda. Es hora de que quienes ocupan puestos de liderazgo trabajen juntos y aboguen por una mayor concienciación sobre la seguridad, siendo su conocimiento directo y su contacto con los desarrolladores vitales para impulsar programas que funcionen. Después de todo, los gerentes de desarrollo estuvieron alguna vez en su posición, trabajando con las herramientas y en un entorno de seguridad difícil de navegar incluso en los mejores momentos.

A los desarrolladores no les encanta la seguridad (todavía)... pero puedes cambiar la conversación.

Ya sabes cómo funciona: menciona la "seguridad" a un desarrollador típico y es probable que te encuentres con un gesto de fastidio, en el mejor de los casos, o con desconcierto, en el peor. Por lo general, todo el tema de la seguridad se ve como un problema de alguien más.

La responsabilidad principal de un desarrollador es crear software funcional, repleto de funciones innovadoras y entregado dentro de un cronograma ajustado. La seguridad rara vez es una prioridad a nivel de código y puede verse incluso como un obstáculo tedioso para la entrega rápida y la creatividad. AppSec tiene la tarea de revisar meticulosamente el código, realizar pruebas de penetración y luego informar las malas noticias: la presencia de vulnerabilidades de seguridad en un código que a menudo ya está integrado y que, por lo demás, funciona bastante bien. Es un proceso costoso en un entorno que a menudo carece de recursos y tiempo, y cuya configuración está destinada a causar una brecha entre dos equipos que, en última instancia, tienen el mismo objetivo, pero hablan idiomas completamente diferentes.

Ahora, en este clima, es probable que la recepción de la formación obligatoria en seguridad sea bastante fría. Pero el poder de encender una mentalidad de seguridad en cada desarrollador no es una utopía. Con el tipo correcto de formación y apoyo, pueden empezar a integrar la seguridad en su software y asumir la responsabilidad de los resultados de seguridad que pueden controlar. Si los propios desarrolladores pueden ocuparse de los errores comunes, eso libera a los costosos especialistas para que resuelvan los problemas verdaderamente complejos. Y si estás en la posición de gestionar un equipo de desarrollo, puedes ser fundamental para ayudar a cerrar esta brecha y ayudar a tu equipo a ver los beneficios.

No toda la formación es igual.

¿Cuándo fue la última vez que te entusiasmaste realmente por aprender algo nuevo? En las ocasiones en que lo hiciste, palabras como "obligatorio", "cumplimiento" o "diecisiete horas de video" probablemente no te vinieron a la mente.

Los desarrolladores no son diferentes. Son inteligentes, creativos y les encanta resolver problemas. Es muy poco probable que ver videos interminables sobre vulnerabilidades de seguridad los motive, haga que el contenido sea memorable o resulte específico para sus funciones y responsabilidades diarias. Durante mi tiempo como instructor de SANS, quedó claro muy pronto que la mejor formación es la práctica, obligando a los participantes a analizar y ser desafiados intelectualmente, utilizando ejemplos del mundo real que pongan a prueba su cerebro y se basen en aprendizajes previos. La gamificación y la competencia amistosa también son herramientas poderosas para que todos se involucren con nuevos conceptos, sin dejar de ser útiles y prácticos en su aplicación.

Otro factor preocupante es que gran parte de la formación en seguridad no se supervisa. A nadie le gusta sentir que el Gran Hermano lo está observando, pero ¿qué sentido tiene invertir tiempo, dinero y esfuerzo en educación si nadie comprueba si es relevante?

La solución adecuada puede hacer que la programación segura sea divertida, relevante, atractiva y medible. Desafía a tus desarrolladores, trátalos bien y conviértelo en un evento especial. La formación gamificada activa los centros de recompensa del cerebro, y ofrecer un incentivo para seguir aprendiendo, ampliar los límites del conocimiento y, sencillamente, construir un estándar de software más alto, es una situación en la que todos ganan.

Chequeo de salud de la cultura de seguridad: ¿está la tuya en soporte vital?

Crear software seguro en un entorno con una cultura de seguridad deficiente es como intentar ganar un maratón con una roca encadenada al tobillo: prácticamente imposible e innecesariamente difícil.

La formación gamificada, los torneos competitivos y el compromiso de ayudar a los desarrolladores a mejorar su seguridad son fundamentales para fomentar una cultura de seguridad positiva, permitiendo que los equipos de AppSec y desarrollo comprendan mejor el trabajo diario de los demás. Esto fortalece las relaciones y evita que el presupuesto de seguridad, a menudo limitado, se malgaste en corregir una y otra vez los mismos errores triviales.

Existe otro beneficio importante: descubrir a esos campeones de seguridad que no sabías que tenías. Una formación adecuada que involucre a todos y permita una evaluación exhaustiva puede revelar a quienes no solo tienen aptitud para la seguridad, sino también una verdadera pasión por ella. Estos campeones son vitales para mantener el impulso, actuar como enlace entre equipos, supervisar a sus compañeros y promover las mejores prácticas. Implementar un programa sólido, con reconocimiento y apoyo ejecutivo, es un gran logro para la organización, además de ser un punto destacado en el CV del profesional y un impulso para su carrera.

Al apostar por una cultura de seguridad positiva, la responsabilidad se comparte y se alcanza un mayor nivel de excelencia en el software. En última instancia, todos los involucrados en el ciclo de vida de desarrollo deben seguir una máxima sencilla: si el software no es seguro, no es un buen software.

Corre la voz.