Cambiar el enfoque de lo reactivo a lo proactivo, con una programación segura centrada en las personas

Las mismas 10 vulnerabilidades de software han causado más brechas de seguridad en los últimos 20 años que cualquier otra. Sin embargo, muchas empresas siguen optando por la remediación posterior al incidente, lidiando con las consecuencias humanas y comerciales. Pero un nuevo estudio apunta a una dirección distinta, centrada en las personas.

‍A continuación, se analizan las conclusiones de un estudio realizado por Secure Code Warrior y Evans Data Corp titulado "Shifting from reaction to prevention: The changing face of application security" (2021), que explora la actitud de los desarrolladores hacia la programación segura, las prácticas de código seguro y las operaciones de seguridad. Descargue el informe técnico aquí.

‍‍En el estudio, que se publicará próximamente, se preguntó a los desarrolladores y a los responsables de desarrollo sobre las actividades que asocian con la programación segura. Las tres respuestas principales fueron:

• Utilizar herramientas de escaneo en aplicaciones desplegadas.
• Revisar manualmente el código en busca de vulnerabilidades.
• La práctica activa y continua de escribir software protegido contra vulnerabilidades.
  ‍

¿Qué nos dice esto? Dos de las tres respuestas principales siguen centradas en enfoques reactivos: la primera depende de herramientas (escáneres) y la segunda del desarrollador (es decir, el factor humano) realizando comprobaciones manuales; en ambos casos después de escribir el código. Las vulnerabilidades detectadas mediante estos métodos deben devolverse al equipo de desarrollo para su corrección, lo que repercute en los plazos y costes del proyecto.

Al mismo tiempo, dos de las tres actividades mencionadas dependen del factor humano, lo que indica una creciente percepción de la seguridad como un problema humano. Pero de todas las actividades, la más reveladora es la n.º 3, que identifica el factor humano al escribir software protegido contra vulnerabilidades desde el principio. Esto destaca un cambio hacia la prevención: un enfoque proactivo que integra la seguridad en el software desde el inicio del ciclo de vida de desarrollo.

Lo reactivo puede ser CARO

Según un estudio de IBM*, es treinta veces más caro corregir vulnerabilidades en el código tras su lanzamiento que si se detectan y solucionan al principio. Es un incentivo poderoso para un nuevo enfoque proactivo y más humano de la seguridad del software, que capacite a los desarrolladores para programar de forma más segura desde el primer momento.

Esto es lo que podríamos llamar una defensa centrada en las personas. Pero para que los desarrolladores se preocupen por la seguridad, debe formar parte de su forma de pensar y programar cada día. Esto exige nuevos enfoques de formación que sean sumamente relevantes para el trabajo diario de los desarrolladores y que les inspiren a aprender, algo que no puede decirse de los modelos actuales.

Para crear una cultura de seguridad proactiva, se necesita una nueva formación que:

• haga de la programación segura una experiencia positiva y atractiva para los desarrolladores mientras mejoran sus habilidades
• anime a los desarrolladores a ver sus tareas diarias con una mentalidad de seguridad
• integre la programación segura en su flujo de trabajo diario
  

Cuando estos elementos se combinan, se evita que las vulnerabilidades aparezcan, lo que permite a los equipos entregar código de calidad más rápido y con confianza. La buena noticia es que ya existe una plataforma de aprendizaje que "empieza desde el principio" en el proceso de desarrollo, dotando a los desarrolladores de las habilidades y herramientas necesarias para crear código de calidad desde el inicio.
‍‍

‍

‍

‍

*IBM Software Group; Minimizing Code Defects to Improve Software Quality and Lower Development Costs
https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html