Algunos CISO están convirtiendo la escasez de competencias en seguridad en una oportunidad.

Esta semana viajo a San Francisco para asistir a la RSA y me preparo para muchas conversaciones con CISO. Quizás le sorprenda, pero las conversaciones con muchos de ellos hoy en día no son precisamente alegres.

Saben que los riesgos de seguridad aumentan, pero muchos no ven la oportunidad de mejorar, y creen que sus organizaciones son más vulnerables que nunca a sufrir una brecha de datos o un ciberataque.

Uno de los temas más comunes en mis conversaciones habituales con CISO es su preocupación por la problemática escasez de competencias en ciberseguridad.

"Nuestro equipo de seguridad no es lo suficientemente grande para el tamaño de nuestro equipo de ingeniería o de nuestra empresa".

"Empresas extranjeras siguen captando a nuestro personal de seguridad ofreciendo salarios extraordinarios y la oportunidad de trabajar y explorar otros continentes".

"Nuestros expertos en seguridad están demasiado ocupados apagando fuegos como para seguir desarrollando sus habilidades".

Este tema está respaldado por varios informes de investigación, incluida una encuesta del Ponemon Institute de 2017, donde la "falta de personal interno competente" encabezó todas las preocupaciones de los CISO sobre ciberseguridad para 2018.

Es poco probable que esta brecha crítica de competencias en seguridad desaparezca pronto, especialmente en mercados como Australia, donde el talento más brillante suele marcharse al extranjero y las leyes de inmigración dificultan cada vez más la contratación de expertos extranjeros.

Un aspecto interesante de la escasez de competencias en Australia es que la incapacidad para contratar expertos ha fomentado un enfoque positivo en el desarrollo de capacidades nacionales. Como decía Benjamin Franklin: "De la adversidad nace la oportunidad". Gobiernos, instituciones educativas, empresas y start-ups australianas trabajan en programas para desarrollar competencias de seguridad a nivel local.

Un área donde la adversidad en las competencias de seguridad ha generado oportunidades es el desarrollo de habilidades de codificación segura en equipos internos y externos. Dado que la mayoría de las brechas de seguridad mundiales se deben a errores de código y el coste medio de una brecha es de 3,6 millones de dólares, la seguridad del software es una parte importante del desafío. Uno de los mayores gastos en presupuestos de seguridad de aplicaciones es la identificación y remediación reactiva, repitiendo los mismos errores año tras año.

Capacitar a los desarrolladores para escribir código seguro desde el principio es una oportunidad para que los CISO tomen el control proactivo de la situación de seguridad, logrando mejoras rápidas, sencillas y medibles para los equipos de seguridad y desarrollo.  

No se trata de sustituir a los expertos en seguridad por desarrolladores, sino de involucrarlos en los problemas de seguridad, integrando la seguridad en su mentalidad diaria y enseñándoles a programar de forma segura, divertida y eficiente. El resultado será que la escasa experiencia en seguridad podrá dedicarse mejor a encontrar y corregir errores complejos, en lugar de lidiar con las mismas vulnerabilidades de siempre.

Para algunos CISO, esto puede sonar demasiado bien para ser verdad o demasiado difícil de implementar, pero la realidad es que no es ninguna de las dos cosas. En Secure Code Warrior, hemos visto cómo cada vez más CISO aprovechan esta oportunidad, transformando la vida laboral de sus equipos de seguridad y desarrollo.

Un grupo de CISO que ha liderado a nivel mundial el desarrollo de una mentalidad y habilidades de seguridad sólidas entre sus desarrolladores de software son los bancos australianos. Fueron los primeros en adoptar este enfoque en 2016 y 2017. Los seis principales bancos del país fomentan activamente que sus equipos de desarrollo adquieran habilidades de codificación segura a través de nuestro entorno de aprendizaje gamificado, online y a su propio ritmo. Además, revisan métricas en tiempo real para verificar las fortalezas y debilidades de sus equipos.

Este enfoque está dando resultados tangibles y positivos, como la reducción de vulnerabilidades comunes, una mayor concienciación sobre seguridad y una mejor relación entre los equipos de seguridad y desarrollo. Las empresas que invierten en enseñar a sus desarrolladores a programar de forma segura reducirán la presión sobre su talento actual y disminuirán su exposición a las inseguridades del software.

Si usted es CISO (o conoce a uno) y se siente desanimado por la situación de seguridad en su organización, le animo a pensar en una forma sencilla de lograr mejoras tangibles. Capacite a sus desarrolladores para aprender a programar de forma segura, relevante y divertida. Sus equipos se lo agradecerán y, además, reducirá costes y retrasos en la innovación y el desarrollo de productos. Apuesto a que esto abrirá el camino a muchas conversaciones positivas sobre seguridad.

Capacitar a los desarrolladores para escribir código seguro desde el principio es una oportunidad para que los CISO tomen el control proactivo de la situación de seguridad, logrando mejoras rápidas, sencillas y medibles para los equipos de seguridad y desarrollo.