Formación en ciberseguridad: estática frente a dinámica. Cumplimiento impulsivo, problemas futuros.

Parece que el "cumplimiento de la ciberseguridad" lleva años siendo tendencia, con un sinfín de artículos, iniciativas y comités debatiendo cuál es la mejor forma de abordar esa enorme bestia de múltiples amenazas que es el cibercrimen.

El problema es que no parece que hayamos avanzado tanto. A nivel mundial, el coste de las brechas de datos ha aumentado constantemente, un 12% en cinco años, situándose en aproximadamente 3,92 millones de dólares estadounidenses por brecha en 2019. A medida que nuestro uso de Internet se disparó en apenas un par de décadas, muchas empresas se quedaron sin protección mientras se conectaban rápidamente, abrían sus negocios y lidiaban con las consecuencias de un software inseguro, recursos limitados de seguridad de aplicaciones y, en algunos casos, el abuso de la confianza del cliente.

Hoy en día, somos indiscutiblemente más maduros. Entendemos y discutimos ampliamente el alcance de la amenaza, las empresas son muy conscientes del impacto que un ciberataque puede tener en la opinión de los clientes, su reputación y sus resultados financieros, y muchos lugares buscan activamente mejorar la seguridad del software mediante formación en cumplimiento, contratación de personal cualificado y, cada vez más, iniciativas de DevSecOps. A pesar de estos grandes avances, no estamos ganando la batalla; ni de lejos. Solo en 2019 se robaron al menos cuatro mil millones de registros en brechas de datos.

Un ingrediente que ha faltado ha sido una lenta filtración (a nivel gubernamental) de normas de ciberseguridad, expectativas y consecuencias de una brecha. La llegada del RGPD ha provocado que empiecen a rodar algunas cabezas, al menos en Europa, pero muchos organismos gubernamentales apenas están poniéndose al día, y la repentina necesidad de cumplir rápidamente con iniciativas de cumplimiento recién surgidas podría tener efectos no deseados en el futuro.

Los imprudentes se precipitan (a la formación equivocada)

Directrices sólidas como las del NIST, las nuevas normativas para el Estado de Nueva York y la creación del Consejo de Ciberseguridad del Reino Unido han sido logros monumentales para quienes luchan por mantener nuestros datos a salvo. Reconocen los problemas en el desarrollo de software actual y toman medidas para guiar a las organizaciones sobre las normas que deben cumplir para ser consideradas éticas y conformes, en términos de mejores prácticas de seguridad.

Desafortunadamente, en esta etapa, algunos de los elementos más importantes están demasiado abiertos a la interpretación. Por ejemplo, uno de los mandatos de la legislación del Consejo de Ciberseguridad del Reino Unido es:

"Crear una lista definida de certificaciones y un marco fácil de entender sobre cómo se vinculan todas ellas y qué capacidades transmiten, basándose en el trabajo de trayectoria profesional ya realizado".

Aunque sus iniciativas sin duda mejorarán y crecerán con el tiempo, si las organizaciones entran en pánico y se lanzan a implementar formación ahora, podrían encontrarse mal preparadas para el futuro.

Las demandas de ciberseguridad de una organización cambian rápidamente, y es poco probable que las soluciones de formación estáticas frenen el flujo de software inseguro al ritmo necesario. El panorama cambia más rápido de lo que un curso tradicional puede actualizarse, lo que puede llevar a algunos lugares a caer en la trampa del cumplimiento "marcar la casilla"; los desarrolladores, contratistas y otros profesionales de la seguridad no reciben la formación adecuada y volvemos a ser blancos fáciles.

La formación estática y las herramientas estáticas sufren los mismos problemas

Las herramientas de análisis estático son una parte integral del ciclo de vida de desarrollo de software (SDLC), cumpliendo su función como caballos de batalla de escaneo para los escasos y sobrecargados especialistas en seguridad de aplicaciones que se encuentran en la mayoría de las grandes organizaciones. Hacen un buen trabajo, pero hay un fallo: ninguna herramienta "única" puede escanear todas y cada una de las vulnerabilidades, soportando la enorme gama de marcos de programación existentes. También es un proceso lento, y basta con que un error de seguridad se cuele por las grietas para dejar una puerta abierta a un atacante.

Con la formación estática, existe un problema similar. Si los desarrolladores reciben formación en seguridad como un curso rígido y de "una sola vez", es muy poco probable que se haya mantenido al ritmo de los problemas de seguridad más frecuentes en ese periodo de tiempo. Sirve como una instantánea del momento en que se escribió, rara vez se revisa lo suficiente, no se imparte en el lenguaje y marco preferidos del estudiante, ni es contextual a las vulnerabilidades a las que probablemente se enfrentarán en su trabajo diario. Imagínese intentar recordar un dato relevante de un vídeo que vio hace meses, mientras intenta cumplir con los plazos de entrega y lanzar código... es poco probable que suceda.

Los métodos educativos tradicionales se están reevaluando en muchos sectores, pero cuando se trata de formación en seguridad para desarrolladores, solo hay que fijarse en el gran volumen de brechas de datos que seguimos experimentando (especialmente aquellas que pueden atribuirse a vulnerabilidades que sabemos cómo evitar en la codificación desde hace décadas, como la inyección SQL) para darse cuenta de que debemos probar un camino diferente.

Necesitamos una formación que vaya más allá de los límites de un curso único y lineal, que pueda ser flexible y adaptarse a las necesidades siempre cambiantes de las mejores prácticas de ciberseguridad.

Formación dinámica: el estándar de oro

Al ofrecer a los desarrolladores una solución de formación dinámica, que pueda adaptarse rápidamente al negocio, al nivel de habilidad individual y a los movimientos generales del sector, les está proporcionando la mejor base para programar de forma segura, manteniendo la seguridad como prioridad y actuando con una mentalidad consciente de la seguridad.

La formación estandarizada, que nunca se revisa y que de entrada no resulta atractiva, es una pérdida de tiempo total. Por desgracia, esto puede llevarle a comprar por impulso un programa ineficaz solo por cumplir con la normativa. Podría quedar obsoleto antes incluso de implementarlo o no tener apenas relación con las necesidades de su trabajo diario.

La formación dinámica es una herramienta viva y en constante evolución, adaptada a las necesidades cotidianas, que estimula el pensamiento crítico de los usuarios y realmente les permite adquirir habilidades y resolver problemas.

Entonces, ¿cómo es un programa de formación dinámica en el ámbito de la seguridad?

Sus características son:

• En píldoras: Los desarrolladores aprenden habilidades en fragmentos manejables, mucho más fáciles de recordar (y, lo que es más importante, de aplicar) que las largas presentaciones y vídeos.
• Relevante: ¿De qué sirve una formación genérica en seguridad con ejemplos en C# si el desarrollador programa principalmente en Java? La formación debe aplicarse directamente a su puesto, permitiéndoles identificar y corregir errores (o, idealmente, evitarlos) mientras programan.
• Actual: Parece obvio, pero a menudo no lo es. El panorama de la ciberseguridad cambia constantemente y, a mayor cantidad de código, mayor responsabilidad. Para que los desarrolladores sean su primera línea de defensa, necesitan una formación al día con las mejores prácticas de seguridad.
• Atractiva: No es ningún secreto que los desarrolladores pueden ver la "seguridad" como una tarea tediosa, especialmente si interrumpe su flujo creativo. La formación adecuada les mostrará el poder que tienen para resolver problemas de seguridad cotidianos que pueden convertirse en riesgos graves, fomentando una cultura de responsabilidad y concienciación.
• Divertida: La formación dinámica rara vez es aburrida; está diseñada para ser estimulante. Piense en lo que les gusta a los desarrolladores: resolver problemas, competir con sus compañeros y, como a muchos, recibir reconocimiento. Aproveche sus puntos fuertes y céntrese en obtener los mejores resultados.

Es un momento emocionante para ser ingeniero de software; desempeñan un papel fundamental en la innovación digital, ayudan a crear empresas increíbles e incluso revolucionan el mundo con sus creaciones. Sin embargo, dado que los organismos gubernamentales y las grandes empresas están asumiendo su papel en el establecimiento de estándares de seguridad, es vital apoyarles con soluciones de formación dinámicas y eficaces que fomenten el interés por la programación segura, en lugar de ser un mero trámite burocrático.