Golpea primero, golpea fuerte: por qué los cursos de codificación segura personalizados no dan tregua a las ciberamenazas

Existe una verdad incómoda que gobiernos, grandes corporaciones e incluso algunos líderes del sector suelen pasar por alto: como sociedad, estamos en una batalla constante contra las ciberamenazas y, actualmente, vamos perdiendo. ¿Cómo lo sabemos? Estas estadísticas cuentan una historia aleccionadora:

• Se estima que el cibercrimen tendrá un coste global de 6 billones de dólares para 2021
• Se produce un ciberataque cada 39 segundos
• El 24% de las brechas de datos son causadas por error humano
• Un alarmante 77% de las organizaciones no tiene un plan de respuesta ante incidentes de ciberseguridad que sea escalable en toda la empresa y se aplique de forma coherente entre departamentos.

En lo que respecta a los especialistas en ciberseguridad, tenemos una escasez crítica de personal; es poco probable que se cubra la brecha de habilidades y no hay ningún ejército secreto de AppSec que venga a rescatarnos. Lo sabemos desde hace años y tenemos que cambiar nuestro enfoque. En nuestro caso, la mejor defensa es un buen ataque, y podemos adelantarnos con un buen plan.

Todo esto suena un poco deprimente, pero no es tan malo como algunos quieren hacernos creer. Tenemos un as bajo la manga y el clima de ciberseguridad nos presenta una oportunidad de oro. No hace falta buscar más allá de sus equipos de desarrollo internos para encontrar al personal que rescatará a la organización, pero su programa de seguridad debe apoyar su trayectoria para convertirse en ingenieros conscientes de la seguridad, preparados para compartir la responsabilidad de programar de forma segura.

Cualquier formación antigua no servirá -ciertamente lo hemos dicho suficientes veces-, pero incluso la formación adecuada que motiva, construye conocimiento contextual y ayuda a los desarrolladores a amar la seguridad podría ser mucho más efectiva si estuviera más adaptada a las necesidades del negocio, las amenazas a las que se enfrentan y los requisitos de cumplimiento que ayudan a las empresas a mantener todos nuestros datos a salvo.

Y ahí es donde entran en juego nuestras nuevas funciones, Cursos. Por cierto, si entendiste la referencia del título, eres oficialmente mayor (o simplemente aprecias un clásico).

Aprendizaje específico para la organización: construir defensa, reforzar las habilidades de los desarrolladores

Tenemos todo tipo de opiniones sobre por qué algunos tipos de formación para desarrolladores son mejores que otros (es decir, no los aburras hasta la muerte con horas de sermones en vídeo genéricos y áridos, y luego esperes que florezca la pasión por la programación segura). Pero incluso con un aprendizaje competitivo diseñado para atraer a una mentalidad de desarrollador, el contenido puede seguir siendo un poco más amplio de lo necesario para requisitos particulares dentro de una organización.

Un curso seleccionado que contenga los módulos exactos en los que sus desarrolladores necesitan demostrar competencia tendrá un impacto potente y les permitirá empezar a trabajar con eficacia en lo que respecta a las mejores prácticas de seguridad en su día a día. Adapte los programas a los equipos de frontend, ingenieros de la nube y más, con la capacidad de profundizar en las vulnerabilidades que más importan, en los lenguajes y marcos de trabajo que son relevantes para ellos. Los desarrolladores ampliarán sus habilidades con contexto, puntos de contacto y experiencia continuos, mientras que la empresa se beneficiará de una concienciación precisa sobre los problemas que suponen el mayor riesgo.

Personalice un curso para el cumplimiento normativo

Se están imponiendo normativas de ciberseguridad más estrictas en todo el mundo, y el cumplimiento de la seguridad del software es una base excelente sobre la que construir una cultura de seguridad positiva y eficaz. No debería ser aburrido, y un buen programa de seguridad despierta un sentido de orgullo y responsabilidad en los desarrolladores, en lugar de un suspiro y una palmada en la frente.

Como punto de partida, es una muy buena idea poner a todo el mundo al día con el OWASP Top 10, pero para alcanzar nuevas cotas en el cumplimiento normativo relevante para el sector, puede diseñar un curso personalizado en torno a los requisitos de normativas específicas. Por ejemplo, una organización financiera podría adaptar un curso para satisfacer los requisitos de cumplimiento de su software, de acuerdo con las directrices PCI-DSS que rigen las aplicaciones de procesamiento de pagos y tarjetas. Hay mucho en juego cuando se está a cargo del procesamiento y almacenamiento de información sensible como los números de tarjetas de crédito, y ser ultraespecífico con el aprendizaje de los desarrolladores elimina el ruido, ofrece la educación adecuada en el momento adecuado y hace que la aptitud del equipo sea mucho más fácil de supervisar.

Así es como General Electric (GE) utiliza los Cursos dentro de sus equipos:

"Los cursos son una gran solución para nuestros ingenieros. Con la nueva función, que agrupa la ruta de aprendizaje, los vídeos y los puntos de control en un módulo personalizable, tenemos la capacidad de dar forma al contenido en función de lo que necesitamos en cada momento. Las capacidades de cumplimiento y la flexibilidad ofrecen una oportunidad aún mejor para garantizar un proceso más ágil y flexible. Esta capacidad ha ayudado a General Electric a adaptar la formación relevante a cada ingeniero de forma más rápida y sencilla que nunca".

Y recuerde, puede que sea una formación de cumplimiento seleccionada, pero sigue ofreciéndose como la experiencia de aprendizaje breve, contextual y atractiva que resulta mucho más atractiva para los desarrolladores.

Una cultura de seguridad positiva basada en el respeto y la relevancia

La educación es un proceso continuo, pero en el frenético mundo de DevSecOps, hay muchos frentes abiertos. El tiempo reservado para la formación debe utilizarse con sabiduría, con una ruta de aprendizaje viable que siga motivando y aportando valor.

Al crear un curso personalizado y altamente relevante, respetas el tiempo y el flujo de trabajo de los desarrolladores, al mismo tiempo que trabajas para reducir de forma medible las vulnerabilidades y los riesgos de ciberseguridad de tu empresa.

La relación entre los especialistas en AppSec y los ingenieros suele estar marcada por malentendidos y tensiones, pero el aprendizaje estructurado con Courses permite que ambas partes se alineen en torno a las mejores prácticas de seguridad. Los desarrolladores valorarán sin duda un apoyo del equipo de AppSec centrado en soluciones, que minimice su carga de trabajo y les ayude a crear código de mayor calidad.

Elimina debilidades, escala la higiene de seguridad a nivel empresarial

Todos somos humanos y, por desgracia, cometemos errores. Esos errores pueden ser extremadamente costosos en el mundo digital y, sin embargo, son sorprendentemente comunes. El Informe de Amenazas a la Seguridad en Internet 2019 de Symantec confirmó que se robaron más de 70 millones de registros debido a buckets de S3 mal configurados. Las configuraciones de seguridad incorrectas son una de las principales causas de las brechas de datos, y el error humano es responsable de alrededor de una cuarta parte de ellas.

Estos problemas ocurren por diversas razones, pero la falta de concienciación y formación en seguridad es un factor clave que deja ventanas de oportunidad abiertas para los atacantes. Para lograr una higiene de seguridad escalable y efectiva, debes apostar por un curso hecho a medida para tu negocio. No des tregua a tus enemigos y cierra cualquier oportunidad que les permita causarte el mayor dolor de cabeza que puedas imaginar.

Ya estamos viendo un impacto increíble en nuestros clientes, incluido este proveedor líder de software de contabilidad en la nube:

"La ruta de aprendizaje personalizada de Courses ha marcado un antes y un después. La especificidad en cuanto a lenguajes de programación y vulnerabilidades ofrece más control y flexibilidad para crear la experiencia de aprendizaje adecuada para cada desarrollador, según sus necesidades y las de la empresa. Usar Courses junto con la plataforma de codificación segura de Secure Code Warrior ha transformado el compromiso de nuestros desarrolladores, quienes ahora están más interesados en mejorar sus habilidades para escribir código mejor y más seguro."

Prepárate para DevSec. Descubre más sobre la nueva función Courses de Secure Code Warrior aquí.