Las nuevas directrices del NIST: por qué la formación personalizada es esencial para crear software seguro

El 11 de junio de 2019, el Instituto Nacional de Estándares y Tecnología (NIST) publicó un libro blanco actualizado que detalla varios planes de acción para reducir las vulnerabilidades de software y el riesgo cibernético. Bajo el título Mitigating the Risk of Software Vulnerabilities by Adopting a Secure Software Development Framework (SSDF), el NIST proporciona a las organizaciones directrices sólidas para evitar las desagradables —por no mencionar costosas— consecuencias de una brecha de seguridad.

Es importante señalar que el SSDF es deliberadamente genérico; no asume que todas las organizaciones tengan exactamente los mismos objetivos de seguridad de software, ni prescribe un mecanismo exacto para alcanzarlos. El objetivo principal es implementar las mejores prácticas de seguridad. Como afirma la autora, Donna Dodson: "Aunque el deseo es que cada productor de seguridad siga todas las prácticas aplicables, la expectativa es que el grado en que se implemente cada práctica variará según las suposiciones de seguridad del productor. Las prácticas brindan flexibilidad a quienes las implementan, pero también son claras para evitar dejar demasiado abierto a la interpretación".

De particular interés para mí, por supuesto, fueron las inclusiones específicas sobre la formación en seguridad de software para desarrolladores. Sabemos desde hace mucho tiempo que los desarrolladores necesitan una formación adecuada si quieren defender a una organización desde el principio del proceso de desarrollo de software... pero, ¿qué es adecuado, exactamente? Existen muchas opiniones diferentes al respecto. Sin embargo, creo que finalmente se está avanzando en una dirección que generará resultados positivos significativos.

Existe la formación en seguridad... y existe la formación en seguridad efectiva.

He hablado largo y tendido sobre la necesidad de que la formación en seguridad de software se implemente, se adopte y se adapte de manera más efectiva a las necesidades del desarrollador. Incluso ahora, en muchas organizaciones, es, en el mejor de los casos, un ejercicio de "cumplir con el trámite". Quizás haya unas pocas horas de formación en vídeo, o incluso un tiempo valioso dedicado a dejar las herramientas para realizar algún aprendizaje en el aula. El hecho de que haya brechas de seguridad a gran escala cada dos días, perpetradas por atacantes que explotan vulnerabilidades bien conocidas (y, por lo general, fáciles de solucionar), es prueba de que la formación en seguridad de software no es ni de lejos tan efectiva como debería ser. Y, quizás lo más importante, hay muy poco implementado para verificar si la formación fue efectiva en absoluto: ¿se solucionan las vulnerabilidades más rápido? ¿están disminuyendo las vulnerabilidades en el código? ¿La gente realmente ha completado la formación, o simplemente han hecho clic en "siguiente" para terminarla?

Los desarrolladores son personas ocupadas que trabajan duro para cumplir con plazos estrictos. La seguridad es un inconveniente la mayor parte del tiempo, y rara vez están equipados con el conocimiento durante su educación para mitigar con éxito el riesgo cibernético. La palabra "seguridad" suele aparecer cuando un miembro del equipo de AppSec señala fallos en su trabajo, lo que genera una relación bastante fría y disfuncional. Un escenario de "tu bebé es feo; ve a arreglarlo".

¿Qué nos dice esto? Es una señal de alerta de hace décadas de que no estamos haciendo lo suficiente para convencer a los desarrolladores sobre la seguridad; no están motivados para asumir la responsabilidad, ni para buscar las herramientas que necesitan para crear software que sea funcional, pero hecho teniendo en cuenta las mejores prácticas de seguridad.

Los desarrolladores son inteligentes, creativos y les encanta resolver problemas. Es muy poco probable que ver vídeos interminables sobre vulnerabilidades de seguridad los entusiasme o los ayude a mantenerse comprometidos. En mi tiempo como instructor de SANS, aprendí muy rápido que la mejor formación es la práctica, obligándolos a analizar y ser desafiados intelectualmente, utilizando ejemplos del mundo real que pongan a prueba su cerebro y se basen en aprendizajes previos. La gamificación y la competencia amistosa también son herramientas poderosas para que todos se familiaricen con nuevos conceptos, sin dejar de ser útiles y prácticos en su aplicación.

Las directrices del NIST especifican: "Proporcionar formación específica para el rol a todo el personal en puestos con responsabilidades que contribuyan al desarrollo seguro. Revisar periódicamente la formación específica para el rol y actualizarla según sea necesario". Y más adelante: "Definir roles y responsabilidades para el personal de ciberseguridad, los defensores de la seguridad, la alta dirección, los desarrolladores de software, los propietarios de productos y otros involucrados en el SDLC".

Esta declaración, aunque no es específica sobre el tipo de formación, sigue ayudando a desplazar a las organizaciones hacia la izquierda y a mantener las mejores prácticas de seguridad en primer plano. Está trasladando la responsabilidad de encontrar soluciones de formación efectivas y más específicas de vuelta a la empresa, y esto, con suerte, resultará en que los desarrolladores estén armados con las herramientas y el conocimiento adecuados para tener éxito.

Cultura: el eslabón perdido.

Incluso si una organización dedica tiempo y recursos a formar a los desarrolladores y a otro personal clave, poniendo énfasis en su papel en la prevención de vulnerabilidades y la reducción del riesgo de seguridad, el esfuerzo a menudo puede desperdiciarse si la cultura de seguridad de una organización sigue estando fundamentalmente rota.

Cuando las personas reciben una formación efectiva, con objetivos establecidos y expectativas claras, les resulta mucho más fácil comprender su lugar en el panorama de la seguridad y asumir la responsabilidad cuando sea apropiado. En el caso de los desarrolladores especialmente, se les dan las herramientas y el conocimiento para escribir código seguro desde el principio. Sin embargo, esto se orquesta mejor en un entorno de seguridad positivo, donde hay menos duplicidad de tareas, señalamientos y trabajo en silos.

La seguridad debe ser una prioridad para toda la organización, con un compromiso de apoyo y colaboración para ofrecer un software excelente y seguro. Esto significará que los presupuestos sean adecuados para implementar una formación divertida y atractiva que utilice vulnerabilidades de código del mundo real, y contar con el respaldo de toda la organización para mantener el impulso. En este panorama digital en constante evolución, la formación debe ser tan continua como la entrega. Si le han dicho en el pasado que la formación de cumplimiento "única" o "configurar y olvidar" es adecuada o efectiva, esto es una falacia.

Si bien este nuevo marco del NIST no articula específicamente el requisito de fomentar una cultura de seguridad positiva, cumplir con éxito sus directrices sin duda requerirá una. Sin embargo, señalan que las organizaciones deben: "Definir políticas que especifiquen los requisitos de seguridad que debe cumplir el software de la organización, incluidas las prácticas de codificación segura que deben seguir los desarrolladores".

Lo anterior es vital para escalar y perfeccionar las habilidades de seguridad dentro de los equipos, y puede ser útil considerar lo siguiente al evaluar sus propias políticas y el clima actual de AppSec:

• ¿Están claramente definidas las directrices y expectativas de seguridad del software?
• ¿Tiene todo el mundo claro el papel que desempeña para alcanzarlas?
• ¿La formación es frecuente y se evalúa?
• ¿Son sus desarrolladores conscientes del enorme papel que pueden desempeñar en la eliminación de errores de seguridad comunes antes de que ocurran?

Ahora, esa última parte es, como he dicho, responsabilidad en gran medida de la organización y de la formación que elijan. Debe ser relevante, debe ser frecuente, debe ser atractiva. Encuentre una solución que pueda aplicarse a su trabajo diario y desarrolle su conocimiento de manera contextual.

¿Y ahora qué?

Profundizar en estas nuevas directrices puede resultar bastante abrumador; realmente hace falta todo un equipo para crear, verificar e implementar el software seguro y robusto que la mayoría de las empresas necesita, de la forma más segura posible. Y no se trata solo de formación. Hay directrices que considerar al utilizar software de terceros (el uso de componentes con vulnerabilidades conocidas sigue estando en el OWASP Top 10, después de todo), sugerencias sobre verificación, pruebas de penetración y revisión de código, así como directrices para el registro de seguridad, cadenas de herramientas adecuadas y todo lo demás. Puede encontrar información práctica sobre el panorama completo en el modelo BSIMM del Dr. Gary McGraw, al que se hace referencia en todo el documento del NIST.

Sin embargo, la victoria más rápida se consigue si sus desarrolladores cuentan con las herramientas y los conocimientos adecuados para lograr crear software seguro desde el principio. Es más barato para la empresa (y más rápido en general) evitar que las vulnerabilidades comunes aparezcan una y otra vez en las etapas posteriores del ciclo de vida de desarrollo de software (SDLC). Aproveche sus puntos fuertes y ofrézcales un incentivo para que se involucren en el aspecto de seguridad de la organización. Realmente puede ser divertido, y ellos pueden convertirse en los héroes que necesita para mantener a raya a los atacantes y proteger nuestros datos.

Referencias:

1. MITIGATING THE RISK OF SOFTWARE VULNERABILITIES BY ADOPTING AN SSDF (11 DE JUNIO DE 2019), Página 2.
2. MITIGATING THE RISK OF SOFTWARE VULNERABILITIES BY ADOPTING AN SSDF (11 DE JUNIO DE 2019), Página 5.
3. MITIGATING THE RISK OF SOFTWARE VULNERABILITIES BY ADOPTING AN SSDF (11 DE JUNIO DE 2019), Página 4.