La pregunta del millón de dólares que todo desarrollador debería hacer a sus posibles empleadores

Hay una pregunta que todos los desarrolladores deben hacerse, ya sea un graduado o un veterano. Y la respuesta es importante. Se ha vuelto aún más importante en un mundo ágil, ya que tendrá un impacto directo en el éxito que tendrá en la ingeniería de software y en lo valioso que será para su próximo empleador.

Es la pregunta del millón de dólares. En realidad, ¡es la pregunta multimillonaria!

¿Te comprometes a ayudarme a programar de forma segura?

El coste medio de una violación de datos ahora es de 3,6 millones de dólares. Las probabilidades de que su empresa sea violada este año son de una de cada cuatro. Teniendo en cuenta estos datos, comparto la frustración de muchos por el hecho de que los desarrolladores no se están graduando de la universidad con las competencias en codificación segura y seguridad integradas en su ADN.

¿Por qué? La ingeniería de software es todavía una profesión relativamente joven. Se ha hecho hincapié en enseñar a las personas cómo crear código rápidamente, hacerlo elegante y funcional, pero con un enfoque muy limitado en hacer que el código sea seguro. El ritmo del cambio en las metodologías, las tecnologías, los lenguajes y las oportunidades solo agrava estas brechas de habilidades clave.

No vamos a cambiar el sistema académico rápidamente, por lo que tanto los desarrolladores como las empresas deben esperar que los desarrolladores necesiten aprender habilidades de codificación seguras en el trabajo. En algunas profesiones, puedes aprender cometiendo errores, pero para otras, no es una opción. Lo mismo ocurre con la ciberseguridad.

Los hechos muestran que tampoco nos ha ido muy bien con la formación en seguridad para desarrolladores en el puesto de trabajo. La mayoría de las principales brechas de seguridad del mundo se deben a errores de codificación que permiten a los piratas informáticos obtener privilegios en las redes informáticas, lo que les permite acceder a datos valiosos y recopilarlos. Informe de investigación de violación de datos de Verizon (DBIR) de 2017, muestra que el 30% de todas las infracciones se deben directamente a debilidades en la seguridad de las aplicaciones web y esta conclusión ha sido constante en el informe del DBIR desde 2013.

El Encuesta global de habilidades de DevSecOps de 2017 publicado en agosto de 2017, confirmó lo que ya sabíamos: si bien el 65 por ciento de los profesionales de DevOps cree que es muy importante tener conocimientos de DevSecOps al ingresar a TI, el 70 por ciento considera que no está recibiendo la formación necesaria a través de la educación formal para tener éxito en el mundo actual de DevSecOps.

Casi el 40 por ciento de los gerentes de contratación encuestados informaron que los empleados más difíciles de encontrar son los desarrolladores multiusos de alta gama con conocimientos suficientes sobre las pruebas de seguridad. El 70 por ciento de los encuestados dijo que la educación en seguridad que habían recibido no era adecuada para sus puestos actuales. De hecho, menos del 4% afirmó que se le ofrecía alguna oportunidad.

Lo vi de primera mano cuando pasé casi una década trabajando con varios equipos de hackers profesionales de sombrero blanco. Con trágica regularidad, irrumpimos en grandes empresas, empresas emergentes y departamentos gubernamentales, encontrando siempre las mismas debilidades.

Esta es la razón por la que los desarrolladores deben alzar la voz cuando te contratan. Si tu posible empleador no se está tomando en serio tu formación en seguridad para desarrolladores, deberías pensar en el tipo de empresa a la que te estás planteando unirte.

La segunda pregunta que debes hacerte es cómo planean entregarlo. ¿Será práctico e interactivo? Es poco probable que la formación de seguridad para desarrolladores sobre vulnerabilidades mediante el uso de slideware, vídeos, animaciones en las que se pueda hacer clic o debates abstractos le ayude directamente a programar. ¿Se asegurarán de que estés continuamente al día de las vulnerabilidades más recientes? ¿Hay algún gremio o comunidad de seguridad del que puedas aprender? ¿Hay expertos en seguridad a los que puedas recurrir si necesitas ayuda?

El compromiso con sus habilidades de codificación segura requiere un aprendizaje continuo a través de desafíos prácticos en marcos de codificación específicos y enfrentarse a diferentes vulnerabilidades en múltiples escenarios. Simplemente no puede aprender sobre las inyecciones de SQL con un solo ejemplo. Es necesario estar expuesto a varios ejemplos de diversos tipos para aprender a reconocer estos peligrosos patrones de codificación.

Uno de nuestros clientes exigió a sus desarrolladores que jugaran un solo desafío (5 minutos) todos los días durante dos meses. Probó sus habilidades antes y después del período de formación y observó un aumento del 60% en la capacidad de codificación segura en comparación con un grupo de cientos de desarrolladores. Esto significa gastar menos recursos en encontrar y corregir errores de seguridad más adelante en el ciclo de vida y un ahorro significativo a largo plazo. Esto significa que los piratas informáticos no usarán tu código para comprometer los datos de tu empresa.

Según una investigación de IDC, había 11 millones de desarrolladores profesionales en el mundo en 2014. En 2015, Burning Glass descubrió que había hasta 7 millones de ocupaciones que requerían conocimientos de programación y que los trabajos de programación crecían, de media, un 12% más rápido que el mercado.

Hay muchos trabajos de software por ahí. Por lo tanto, tome una posición y elija empleadores que se comprometan a cuidar su seguridad, la suya y la de sus clientes. Por extensión, elige empresas que inviertan en ti.

Hay una pregunta que todos los desarrolladores deben hacerse, ya sea un graduado o un veterano. Y la respuesta es importante. Se ha vuelto aún más importante en un mundo ágil, ya que tendrá un impacto directo en el éxito que tendrá en la ingeniería de software y en lo valioso que será para su próximo empleador.

Es la pregunta del millón de dólares. En realidad, ¡es la pregunta multimillonaria!

¿Te comprometes a ayudarme a programar de forma segura?