El auge de DevSecOps y lo que realmente significa "desplazarse a la izquierda" para su organización.

¿Qué le parece esta estadística tan aleccionadora? El 60% de las pequeñas y medianas empresas cierran en los seis meses posteriores a un ciberataque exitoso*. Las grandes corporaciones pierden millones (¡o miles de millones!) mientras su reputación se desangra. A medida que las organizaciones adoptan prácticas de codificación segura, se está produciendo un "cambio hacia la izquierda". Con el auge de DevSecOps, el código seguro se está convirtiendo en el foco desde el inicio mismo del ciclo de vida de desarrollo de software. Para investigar el impacto real de esta tendencia, Secure Code Warrior, junto con Evans Data Corp***, encargó un estudio reciente sobre la actitud de los desarrolladores hacia la codificación segura, las prácticas de código seguro y las operaciones de seguridad.

Cambio hacia la izquierda: una transformación en muchos niveles

Dado que las empresas se han dado cuenta de que corregir vulnerabilidades a posteriori cuesta 30 veces más, las medidas preventivas se han convertido en el nuevo estándar de oro*. Pero para que estas medidas sean efectivas, todos los integrantes del ciclo de vida de desarrollo deben ser conscientes de la seguridad, especialmente los desarrolladores.

‍Primer cambio: ¿quién es el responsable ahora?

Con el auge de DevSecOps, las organizaciones están adoptando prácticas de codificación segura. Como resultado, uno de los primeros cambios que destacó nuestra investigación es el desplazamiento de la responsabilidad de la seguridad del código hacia los niveles operativos.

Cuando preguntamos a los desarrolladores y a los jefes de desarrollo quién debería tener la responsabilidad final de la seguridad del código, el 46% señaló al jefe de proyecto o de equipo, casi el doble que los que opinaron que la responsabilidad debería recaer en el equipo de seguridad de aplicaciones.

Esto es una clara señal de que la responsabilidad de la seguridad se está desplazando de los equipos tradicionales de seguridad de aplicaciones hacia los jefes de los equipos de desarrollo.

Segundo cambio: el nuevo rol de los directivos

La presión para implementar formación en codificación segura llega a los directivos desde varios frentes.

El 41% revela que la necesidad organizativa de formación en código seguro proviene de la alta dirección. Las crecientes exigencias de cumplimiento normativo también son un factor determinante.

Los directivos desempeñan un papel fundamental en la transición del desarrollo tradicional a DevSecOps y se están convirtiendo en los principales responsables de la toma de decisiones sobre formación y adquisición de herramientas.

‍Tercer cambio: los desarrolladores dan un paso al frente

Sin embargo, también observamos que la presión por el cambio surge desde abajo; el 24% de los directivos revela que implementan prácticas de codificación segura debido a las sugerencias y recomendaciones de sus desarrolladores. Este punto subraya el papel cada vez más importante de los desarrolladores como colaboradores en los programas de seguridad de sus empresas. El cambio a DevSecOps, con su nuevo énfasis en las prácticas preventivas de codificación segura, convierte a los desarrolladores en la "primera línea de defensa".

Cuarto cambio: mejora de la dinámica de equipo

Aunque la implementación de prácticas de código seguro tiene un impacto tangible en la calidad del software, también mejora la forma en que trabajan los equipos. El 60% de los desarrolladores encuestados cree que el uso de prácticas de código seguro ha mejorado su comunicación con otros desarrolladores, pero los beneficios no terminan ahí.

La mitad de los desarrolladores y directivos encuestados coincidieron en que las prácticas de codificación segura fomentaron una mayor cooperación entre los desarrolladores y sus líderes. El 46% afirmó que hubo una mayor colaboración entre los desarrolladores y las partes interesadas. Al mismo tiempo, el 41% señaló una mayor cooperación entre los líderes y las partes interesadas.

DevSecOps une a equipos, líderes y partes interesadas de nuevas formas, mejorando la cooperación entre los diferentes roles y etapas del ciclo de vida de desarrollo de software.

El 62 % de los gerentes encuestados afirma que las prácticas de código seguro ayudan a aumentar la velocidad de las versiones de código. Este hecho, sumado a todos estos otros cambios, destaca los claros beneficios de adoptar un enfoque DevOps. Pero, como se mencionó anteriormente en este artículo, para que tales medidas sean efectivas, todos los integrantes del ciclo de vida de desarrollo de software (SDLC) deben ser conscientes de la seguridad. Esta perspectiva tiene implicaciones críticas en la forma en que las organizaciones capacitan a sus desarrolladores. Los equipos deben aprender sobre las vulnerabilidades identificadas recientemente y hacerlo en los lenguajes y marcos específicos con los que trabajan. En resumen, necesitan entender cómo localizar, identificar y corregir vulnerabilidades conocidas en el código dentro del contexto en el que operan a diario. Esta formación convierte a sus equipos de ser su primera línea de riesgo a ser su primera línea de defensa.  

Como defensores del cambio en la codificación segura, Secure Code Warrior adopta un enfoque centrado en las personas para ayudar a su organización a "desplazarse a la izquierda" (shift left) y transformar su estrategia de seguridad general de reactiva a proactiva.

Si desea obtener más información sobre una formación en código seguro práctica, altamente atractiva y probada, que alinea las necesidades de gerentes, desarrolladores y la organización para lograr un futuro DevSecOps, reserve una demostración ahora.

‍

*El 60 por ciento de las pequeñas empresas cierran dentro de los 6 meses posteriores a ser hackeadas.
‍https://cybersecurityventures.com/60-percent-of-small-companies-close-within-6-months-of-being-hacked/

**IBM Software Group; Minimizing Code Defects to Improve Software Quality and Lower Development Costs.
‍https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html

***Pasar de la reacción a la prevención: la cara cambiante de la seguridad de las aplicaciones 2021. Secure Code Warrior y Evans Data Corp.
https://scw.buzz/3169uzS