Beneficios de evaluar las habilidades de seguridad de los desarrolladores

Ante la creciente prevalencia y sofisticación de las ciberamenazas, el foco de la ciberseguridad se centra en la importancia del código seguro. La Estrategia Nacional de Ciberseguridad de la Casa Blanca y la iniciativa Secure-by-Design de la Agencia de Ciberseguridad y de Infraestructura (CISA), junto con otras iniciativas y legislaciones internacionales, sitúan la responsabilidad de la seguridad directamente sobre los productores de software. Adoptar un enfoque de "shift left" —o, más precisamente, empezar desde el principio— para garantizar la seguridad en las primeras etapas del ciclo de vida de desarrollo de software (SDLC), algo que antes se consideraba opcional, es ahora esencial para que las organizaciones protejan sus datos y sistemas y eviten las consecuencias regulatorias tras una brecha de seguridad.

La clave para garantizar prácticas de codificación segura reside en la formación de los desarrolladores. Los ingenieros de software suelen recibir poca o ninguna formación en ciberseguridad. Su trabajo, especialmente en el acelerado entorno DevOps actual, ha consistido en lanzar nuevas aplicaciones, actualizaciones y servicios lo más rápido posible —cada vez más con la ayuda de modelos de IA generativa de ritmo rápido— y dejar que los equipos de seguridad aborden los problemas de ciberseguridad en una etapa posterior del SDLC. Esta es una forma ineficiente de abordar la plétora de fallos que surgen con tanto código creado, lo que a menudo resulta en la liberación de vulnerabilidades de software en el ecosistema.

Los desarrolladores deben recibir formación para escribir código seguro desde el principio y ser capaces de detectar código inseguro generado por IA o presente en software de código abierto y de terceros que utilicen. Para muchos equipos de desarrollo y organizaciones, este es un territorio inexplorado. ¿Cómo saben si los desarrolladores están recibiendo la formación que necesitan? ¿Y se está aplicando esa formación de forma regular?

Algunas empresas que apuestan por la formación de desarrolladores han encontrado beneficioso establecer una base de habilidades que los desarrolladores deben adquirir y medir su progreso frente a puntos de referencia claramente definidos. Para ayudar en este esfuerzo, Secure Code Warrior ha lanzado un benchmark diseñado para medir con precisión el progreso de los desarrolladores en la formación en seguridad. El SCW Trust Score permite a las organizaciones medir qué tan bien se está aplicando la formación en el trabajo y permite que los equipos de seguridad, desarrollo e ingeniería colaboren.

Es una forma de obtener pruebas de que la formación en código seguro está dando resultados, al tiempo que se identifican áreas de mejora.

El argumento a favor del diseño seguro

Los productores de software tienen todas las razones para integrar la seguridad en el SDLC desde el inicio del proceso. La creciente demanda de aplicaciones y servicios, junto con la velocidad que la IA aporta al proceso de desarrollo, ha demostrado ser útil para los desarrolladores, quienes adoptaron rápidamente la IA generativa, pero también resulta inevitablemente en la liberación de software con errores en el flujo de trabajo. Cuanto más código se genera, más fallos aparecen, y investigaciones recientes han descubierto que casi tres cuartas partes de las aplicaciones (independientemente de cómo se hayan creado) contienen al menos un fallo de seguridad, y casi el 20% de ellos se consideran críticos.

Ponerse al día con las vulnerabilidades más adelante en el SDLC se está volviendo prohibitivamente costoso y lento. El Instituto Nacional de Estándares y Tecnología (NIST) ha descubierto que corregir defectos durante las pruebas lleva 15 veces más tiempo que asegurar el software al inicio del SDLC, y corregirlos durante la etapa de despliegue/mantenimiento puede llevar de 30 a 100 veces más tiempo.

Todo esto subraya la importancia de aplicar la seguridad al principio del ciclo de desarrollo, lo que ha demostrado ser no solo la forma más eficaz de reducir el riesgo, sino también la más rentable. Los desarrolladores —trabajando junto a los equipos de seguridad en lugar de que estos funcionen como entidades separadas— están en la mejor posición para integrar la seguridad desde el inicio del SDLC. Y los desarrolladores formados en las mejores prácticas de seguridad han sido eficaces en la reducción de vulnerabilidades. El problema es que muy pocos han recibido esa formación.

La utilidad de los benchmarks

El camino básico para las empresas implica establecer una base de habilidades de seguridad, proporcionar formación y verificar —tanto ante las organizaciones como ante los reguladores— que los desarrolladores han adquirido las competencias necesarias. Esto ha resultado ser un desafío para muchas organizaciones en todos los sectores económicos, pero no tiene por qué serlo.

Uno de los desafíos que identifican los líderes de seguridad es la dificultad de escalar un programa de formación en toda la empresa. Pero la investigación de SCW muestra que las organizaciones, especialmente aquellas con grandes grupos de desarrolladores, pueden implementar con éxito un enfoque de diseño seguro. Los resultados de las organizaciones más pequeñas tienden a mostrar una gran varianza en qué tan bien aplican los principios de diseño seguro. Aun así, ellas también pueden beneficiarse de un enfoque que incluya Trust Scores y probablemente mostrarán mejoras más rápidamente.

Trust Score utiliza métricas de referencia para medir el progreso de los alumnos individuales, agrega sus puntuaciones para evaluar el rendimiento del equipo en general y compara el progreso de la organización con los estándares y mejores prácticas de la industria. No solo realiza un seguimiento de la formación, sino que muestra qué tan bien están aplicando los desarrolladores sus nuevas habilidades en el día a día. También destaca las áreas que necesitan mejorar, permitiendo a la organización optimizar sus programas de formación y capacitación.

En los sectores de infraestructura crítica de CISA para los cuales había datos disponibles, la mayoría de las organizaciones se encuentran aproximadamente al mismo nivel en la implementación de principios de diseño seguro. Los Trust Scores para sectores que van desde servicios financieros y la base industrial de defensa hasta la atención médica, TI y manufactura crítica cayeron en el mismo rango: poco más de 300 en una escala de 1,000 puntos. Ninguna industria supera a las demás, a pesar de la creencia convencional de que los servicios financieros, al ser la industria más regulada, estarían muy por delante.

Los sectores de infraestructura crítica no incluidos en el ranking de Trust Score —como las operaciones químicas, energéticas y nucleares— generalmente no crean su propio software, sino que dependen de otros sectores, particularmente de TI. Sin embargo, la importancia de mantener sistemas seguros dentro de esos sectores (nadie quiere ver una planta de energía nuclear comprometida) solo demuestra lo esencial que es asegurar el software que utilizan en primer lugar.

Conclusión

La mayor presión regulatoria y las realidades del panorama de ciberamenazas han hecho que un enfoque de diseño seguro sea imperativo para las organizaciones que desean proteger sus datos, sistemas, operaciones comerciales y reputación. En gran medida, la creación de software seguro está en manos de los desarrolladores, pero necesitan asistencia en forma de un programa integral de capacitación y formación que proporcione la educación necesaria y demuestre cómo se está aplicando.

Un programa que incluya evaluaciones comparativas, respaldado por una herramienta como Trust Score, puede ofrecer una visión clara del progreso crítico de un equipo de desarrollo. Es un enfoque nuevo y vital que tanto los desarrolladores como las empresas para las que trabajan necesitan para garantizar una mejora constante en sus habilidades de desarrollo de software seguro, al tiempo que cumplen con los nuevos requisitos de diseño seguro (Secure-by-Design).

‍