La pregunta del millón que todo desarrollador debería hacer a sus posibles empleadores

Hay una pregunta que todo desarrollador debe hacerse, ya sea recién graduado o veterano. Y la respuesta es importante. Se ha vuelto aún más crucial en un mundo ágil, ya que afectará directamente a tu éxito en la ingeniería de software y al valor que tendrás para tu próximo empleador.

Es la pregunta del millón. En realidad, ¡es la pregunta de muchos millones!

¿Están comprometidos a ayudarme a programar de forma segura?

El coste medio de una brecha de datos se sitúa actualmente en 3,6 millones de dólares. Las probabilidades de que tu empresa sufra una brecha este año son de una entre cuatro. Ante estos hechos, comparto la frustración de muchos al ver que los desarrolladores no salen de la universidad con competencias en programación segura ni con la seguridad integrada en su ADN.

¿Por qué? La ingeniería de software sigue siendo una profesión relativamente joven. El énfasis se ha puesto en enseñar a crear código rápidamente, que sea elegante y funcional, pero con un enfoque muy limitado en hacerlo seguro. El ritmo de cambio en metodologías, tecnologías, lenguajes y oportunidades solo agrava estas carencias clave de habilidades.

No vamos a cambiar el sistema académico rápidamente, por lo que tanto los desarrolladores como las empresas deben asumir que las habilidades de programación segura se aprenden en el trabajo. En algunas profesiones se puede aprender cometiendo errores, pero en otras no es una opción. Lo mismo ocurre con la ciberseguridad.

Los hechos demuestran que tampoco hemos tenido mucho éxito con la formación en seguridad para desarrolladores en el puesto de trabajo. La mayoría de las grandes brechas de seguridad del mundo se deben a errores de programación que permiten a los hackers obtener privilegios en las redes informáticas, facilitándoles el acceso y la obtención de datos valiosos.El Informe de Investigaciones de Brechas de Datos (DBIR) de Verizon de 2017 muestra que el 30% de todas las brechas son causadas directamente por debilidades en la seguridad de las aplicaciones web, una conclusión que se ha mantenido constante en el informe DBIR desde 2013.

La Encuesta Global de Habilidades DevSecOps 2017 publicada en agosto de 2017 confirmó lo que ya sabíamos: aunque el 65 por ciento de los profesionales de DevOps cree que es muy importante tener conocimientos de DevSecOps al entrar en el sector de TI, el 70 por ciento siente que no recibe la formación necesaria a través de la educación formal para tener éxito en el mundo actual de DevSecOps.

Casi el 40 por ciento de los responsables de contratación encuestados informaron que los empleados más difíciles de encontrar son los desarrolladores polivalentes de alto nivel con conocimientos suficientes sobre pruebas de seguridad. El 70 por ciento de los encuestados afirmó que la formación en seguridad que recibieron no es adecuada para sus puestos actuales. De hecho, menos del 4% dijo tener la oportunidad de recibirla.

Fui testigo de esto de primera mano cuando pasé casi una década trabajando con múltiples equipos de hackers éticos profesionales. Con trágica regularidad, irrumpíamos en grandes empresas, startups y departamentos gubernamentales, encontrando siempre las mismas debilidades.

Por eso los desarrolladores deben alzar la voz cuando los contratan. Si tu posible empleador no se toma en serio tu formación en seguridad, deberías pensar qué tipo de empresa estás considerando.

La segunda pregunta que deberías hacer es cómo planean impartirla. ¿Será práctica e interactiva? La formación en seguridad para desarrolladores sobre vulnerabilidades mediante diapositivas, vídeos, animaciones clicables o debates abstractos difícilmente te ayudará en tu programación diaria. ¿Se asegurarán de mantenerte al día con las últimas vulnerabilidades? ¿Existe un gremio o comunidad de seguridad donde puedas aprender? ¿Hay expertos en seguridad a los que puedas recurrir si necesitas ayuda?

El compromiso con tus habilidades de programación segura requiere un aprendizaje continuo mediante desafíos prácticos en marcos de trabajo específicos y enfrentándote a diferentes vulnerabilidades en múltiples escenarios. Simplemente no puedes aprender sobre inyecciones SQL con un solo ejemplo. Necesitas exposición a múltiples ejemplos de diversos tipos para aprender a reconocer estos patrones de programación peligrosos.

Uno de nuestros clientes requirió que sus desarrolladores completaran un desafío diario (5 minutos) durante dos meses. Evaluaron sus habilidades antes y después del periodo de formación y observaron un aumento del 60% en la capacidad de programación segura en un grupo de cientos de desarrolladores. Esto significa menos recursos dedicados a encontrar y corregir errores de seguridad más adelante en el ciclo de vida y un ahorro significativo a largo plazo. Significa que los hackers no usarán tu código para comprometer los datos de tu empresa.

Había 11 millones de desarrolladores profesionales en el mundo en 2014, según una investigación de IDC. En 2015, Burning Glass descubrió que había hasta 7 millones de puestos de trabajo que requerían habilidades de programación y que los empleos de programación crecían de media un 12% más rápido que el mercado.

Hay muchos empleos de software ahí fuera. Así que toma una postura y elige empleadores que estén comprometidos con cuidar su seguridad, la tuya y la de sus clientes. Por extensión, elige empresas que inviertan en ti.

Hay una pregunta que todo desarrollador debe hacerse, ya sea recién graduado o veterano. Y la respuesta es importante. Se ha vuelto aún más crucial en un mundo ágil, ya que afectará directamente a tu éxito en la ingeniería de software y al valor que tendrás para tu próximo empleador.

Es la pregunta del millón. En realidad, ¡es la pregunta de muchos millones!

¿Están comprometidos a ayudarme a programar de forma segura?