El cambio que necesitamos en el terreno de AppSec: mis predicciones para 2019

2018 ha sido un año gigantesco para los profesionales de la ciberseguridad. A pesar de las advertencias para tomarse la seguridad más en serio, la presión constante en torno a fomentar más talento en el sector de la seguridad y los intentos generales de hacer que las organizaciones sean más conscientes de la ciberseguridad, nos quedamos mirando los cráteres humeantes que dejaron cientos de ciberataques, que representan brechas de datos a gran escala y la desconfianza de los consumidores en algunas marcas muy conocidas. Solo en la primera mitad de 2018, se vieron comprometidos 4500 millones de registros de datos en 945 incidentes distintos.

Lo he dicho antes, muchas veces: podemos hacerlo mejor. Sin embargo, la verdadera batalla a la que nos enfrentamos no es contra los aficionados a la informática, los peligrosos sindicatos del cibercrimen organizado o las misteriosas figuras con capucha que escriben en sus portátiles; la lucha consiste en lograr que a más personas les importe que estas brechas estén ocurriendo.

El cumplimiento del RGPD es un buen comienzo, pero no tendrá un gran efecto a corto plazo.

Las leyes del Reglamento General de Protección de Datos (RGPD) de la Unión Europea ya están en pleno vigor; una amenaza inminente para las organizaciones que no se toman en serio la protección de datos. Con enormes multas para quienes no cumplan, esto pretendía ser un toque de atención para que las empresas reforzaran sus prácticas de seguridad, trataran los datos de los clientes con más respeto y elaboraran una estrategia para mitigar los ciberataques.

Algunas organizaciones han sido advertidas de que se avecinan multas enormes, pero aún no hemos visto las verdaderas consecuencias del incumplimiento del RGPD. No hay sanciones que lleven a la quiebra, solo un montón de ventanas emergentes que los usuarios web debemos aceptar. Esto se debe en parte a que los procesos legales llevan mucho tiempo y ofrecen muchas oportunidades de apelación; es probable que las empresas que podrían haber servido de ejemplo estén inmersas en una batalla legal de meses o años. Para cerrar un año de pesadilla para Facebook, informaron recientemente de otra brecha de datos: un error en la API que expuso las fotos privadas de 6,8 millones de usuarios a 1500 aplicaciones no autorizadas. Se descubrió y corrigió en dos semanas, pero las agencias de protección de datos y el público solo fueron informados de la violación meses después. Las leyes del RGPD exigen notificar una brecha en un plazo de 72 horas, por lo que plantea muchas dudas sobre lo influyentes y eficaces que son realmente estas leyes en la actualidad.

Y, por supuesto, las brechas en otros lugares no han cesado: la brecha de Marriott de noviembre reveló que se vieron comprometidos la friolera de 500 millones de registros de datos y, lo que es aún más preocupante, que los atacantes habían accedido a sus sistemas durante cuatro años antes de ser descubiertos. Cabe señalar, sin embargo, que Marriott parece estar realizando ciertas labores de control de daños: han ofrecido a las víctimas una suscripción gratuita de 12 meses a WebWatcher, una herramienta de control de crédito... pero con 500 millones de registros para que los hackers los examinen, queda por ver si un año será tiempo suficiente para controlar algo significativo; después de todo, pueden pasar años antes de que sus datos sean utilizados para fines sin escrúpulos.

A largo plazo, normativas como el RGPD impulsarán un cambio positivo si se aplican. Cuando las empresas se vean afectadas por una sanción económica importante (o, de hecho, por demandas colectivas de clientes cuyos datos se han visto comprometidos) o por una caída de los beneficios a largo plazo, creo que veremos un enfoque frenético por parte de la mayoría de las empresas para fortalecer sus bases de datos en línea.

Las instituciones financieras seguirán liderando el camino hacia un cambio positivo a corto plazo.

Puede que no sea una gran sorpresa que las instituciones financieras, como guardianas del dinero ganado con tanto esfuerzo en todo el mundo, tengan algunas de las políticas de mejores prácticas de ciberseguridad más estrictas, así como procesos integrales para reducir sus riesgos.

Un motor importante de este cumplimiento proviene del PCI Security Standards Council, que sigue comprometido a ayudar a las organizaciones financieras a implementar políticas de seguridad viables y a mantener las directrices en todas las áreas. Han sido una fuerza positiva para ayudar a este sector a alcanzar uno de los estándares de seguridad más altos en software de pago.

Entonces, ¿qué están haciendo las instituciones financieras de forma diferente a las demás? Según mi experiencia, por lo general son más conscientes de la seguridad y dedican recursos a programas de formación integral no solo para los profesionales de AppSec y los probadores de penetración, sino también para sus equipos de desarrollo (normalmente muy grandes y dispersos por todo el mundo). Se aseguran de que los responsables de la toma de decisiones entiendan que los procesos de seguridad no son medidas de "configurar y olvidar"; deben evolucionar tan rápidamente como la tecnología que se utiliza y adaptarse a los riesgos variables.

Más organizaciones transformarán su canal de seguridad.

En comparación con otras ramas de la informática, AppSec es relativamente joven. Es difícil ser el nuevo: es fácil que te malinterpreten y puede que aún no hayas formado las relaciones clave que necesitas. Sin embargo, creo que con cada año que pasa, es más fácil para AppSec encontrar su lugar incluso en las organizaciones más anticuadas y resistentes al cambio.

Se ha hecho más evidente que las empresas no pueden hacer que el cumplimiento de la seguridad sea un paso final de última hora en sus procesos de software. Debe haber controles y medidas de principio a fin, con mayor concentración en la agregación de datos y en proporcionar más visibilidad a los niveles ejecutivos de la empresa. Sin esto, la seguridad seguirá estando fuera de la vista y de la mente de la mayoría. Y en ese escenario, es prácticamente imposible reunir los recursos necesarios para planificar los riesgos.

La buena noticia es que más organizaciones que nunca están detectando sus propios ciberataques y trabajando para solucionarlos. ¿La mala noticia? Que ese proceso tarda una media de ochenta y cinco días.

Las herramientas de pruebas de penetración y la revisión manual de código son arduas, costosas y lentas en una época en la que la innovación rápida y la producción de funciones son imprescindibles en el ámbito tecnológico. La concienciación sobre la seguridad debe estar presente desde el principio: desde el momento en que un desarrollador escribe el código por primera vez.

Nuestro sector reconocerá el problema principal: necesitamos que a la gente le importe más.

La realidad es esta: podría contar sin esfuerzo a veinte personas de mi red que se han alojado en un hotel Marriott en los últimos cuatro años. Con 500 millones de registros robados en ese periodo, es muy probable que sus datos formaran parte del robo. Desde información de contacto actual hasta números de tarjeta de crédito vigentes y datos de pasaporte, todo podría estar a la venta ahora mismo en la web oscura. Sin embargo, su nivel de preocupación fue prácticamente nulo.

Y, bueno, es fácil caer en la autocomplacencia cuando, en un robo de datos a gran escala, eres básicamente una aguja en un pajar.

¿El verdadero problema? Las empresas que no han logrado proteger los datos de sus clientes apenas enfrentan repercusiones. ¿Su valor en bolsa cae inmediatamente después del incidente? Por supuesto que sí. Target, Equifax y ahora Marriott pueden dar fe de ello. Sin embargo, una visión general de doce meses muestra que la recuperación es bastante rápida. Un par de años después, financieramente, todo está perdonado.

Hasta que no existan consecuencias graves —multas enormes, regulaciones más estrictas y una pérdida significativa de negocio—, la seguridad de las aplicaciones (AppSec) seguirá siendo un sector que debe luchar constantemente para transmitir la gravedad de los crecientes riesgos cibernéticos a los que se expone una empresa.

Me temo que la situación empeorará antes de mejorar, por lo que es fundamental trabajar para formar desarrolladores conscientes de la seguridad y fomentar culturas de seguridad sólidas en la primera línea de los equipos técnicos. Manténganlo presente y sigan esforzándose por alcanzar un estándar más alto de seguridad de software.