El ROI de la seguridad impulsada por los desarrolladores

El coste de un código deficiente

Los avances tecnológicos permiten a los desarrolladores publicar código más rápido que nunca. Esto puede ser emocionante para la innovación, pero resulta desalentador a la hora de escalar la calidad y la seguridad del software. Justificar los costes de herramientas adicionales, programas de formación e inversión en la capacitación de los desarrolladores puede parecer algo "deseable" frente a una función empresarial crítica si se mantiene la velocidad de publicación del código.

Publicar código más rápido puede ser más fácil, pero lamentablemente publicar código seguro no lo es, lo que deja a las organizaciones más vulnerables que nunca. El coste de la ciberdelincuencia es asombroso en todo el mundo y aumenta rápidamente. De hecho, en 2020, el coste de la ciberdelincuencia fue de aproximadamente 1 billón de dólares. El coste medio de una brecha de datos es de 4,35 millones de dólares, lo que abarca la pérdida de negocio de clientes actuales y potenciales, así como los recursos dedicados a la detección, escalada y corrección.

A pesar de estos costes astronómicos, más de la mitad de las organizaciones no exigen a sus desarrolladores una formación anual formal en código seguro.

Los profesionales de la seguridad saben que encontrar y corregir vulnerabilidades puede parecer un juego de nunca acabar. Incluso si ya cuenta con un programa de seguridad con una estrategia de remediación, siempre hay margen de mejora. La mayoría de las organizaciones descubren que, cuando se pone a prueba su capacidad de recuperación ante desastres o de copia de seguridad, su enfoque de la seguridad no es tan sólido como pensaban. Si fortalecer la resiliencia de su organización frente a los ciberataques es una de sus principales prioridades, desplazar la perspectiva hacia sus desarrolladores debería formar parte de sus planes para seguir mejorando su postura de seguridad. Un equipo de desarrollo cualificado y capacitado, que cree código seguro desde el principio y tenga los conocimientos necesarios para localizar y corregir vulnerabilidades rápidamente, es su medio más rentable para mitigar el riesgo.

Una idea errónea sobre la formación de los desarrolladores es que se trata simplemente de un coste para la empresa o incluso de una póliza de seguro. Según Klaus Klinger, evangelista de concienciación DevSec en Allianz: "Todo tiene que empezar en la mente de la dirección. Invertir en la formación de los desarrolladores no es una inversión perdida, sino una inversión en calidad, productividad y reputación de la empresa".

A menudo es difícil cuantificar el ROI en este ámbito, pero, en última instancia, lo que las organizaciones deben considerar es cómo su postura de seguridad les ayuda a reducir riesgos, optimizar su enfoque y ahorrar tiempo y productividad a sus equipos de desarrollo.

¿Cómo se puede cuantificar el ROI en los costes de ciberseguridad?

En lo que respecta al ROI, es importante analizarlo desde dos perspectivas: el ahorro de costes al mitigar riesgos frente al impacto de su formación en seguridad.

Consideremos este ejemplo tan común: una vulnerabilidad o brecha obliga a un sitio de comercio electrónico a permanecer fuera de servicio durante varios días mientras sus equipos buscan el problema y cómo solucionarlo. El coste de no haberlo remediado puede cuantificarse en la pérdida de ingresos durante la interrupción, el impacto del robo de credenciales, la pérdida de confianza de los clientes (que se traduce en una reducción de las ventas a largo plazo) y la productividad general perdida mientras se soluciona el problema.

En última instancia, se trata de un análisis de coste-beneficio. Las áreas clave que deberá evaluar son el nivel de madurez de seguridad de su empresa, los niveles de aceptación de riesgos y las áreas de su código que necesitan mantenimiento o mejora.

A menudo, la gente se centra en las métricas equivocadas para determinar el éxito y el valor. Quizás deberíamos preocuparnos menos por el retorno de la inversión inicial del programa y, en su lugar, medir el impacto del programa en sí.

Medir para demostrar el impacto

Para establecer el ROI, debe crear objetivos medibles. Esto comienza con la evaluación de los conocimientos de codificación segura de sus desarrolladores y la comprensión de dónde necesitan mejorar sus habilidades.

Un punto de partida sería medir el compromiso para ayudarle a tomar decisiones estratégicas sobre cómo crear programas de formación más completos. Y lo más importante: mida el impacto. Empiece por observar el número de debilidades que se detectan en el ciclo de vida del desarrollo de software mediante análisis de código, programas de recompensas por errores o pruebas de vulnerabilidad clásicas antes de iniciar el programa en cada equipo. Una de las formas más sencillas de saber si su programa de formación está dando los resultados deseados es medir la disminución de las vulnerabilidades introducidas en su código base en general.

‍

Preguntas clave para evaluar el ROI:‍

1. ¿Estamos optimizando nuestro enfoque?

‍¿Está intentando resolver el problema añadiendo más herramientas o atacando la causa raíz? Incorporar más herramientas a su stack tecnológico crea un enfoque fragmentado para detectar y corregir vulnerabilidades. Además, aumentan los costes operativos sin apenas impacto en el origen de muchas vulnerabilidades: el código. Aunque las herramientas de escaneo y pentesting deben formar parte de su arsenal, no deberían ser su última línea de defensa.‍

2. ¿Estamos mejorando la eficiencia y la productividad?

El tiempo dedicado a revisiones de código exhaustivas y a rehacer el trabajo devuelto por AppSec puede provocar una pérdida importante de productividad. Reducir las urgencias constantes capacitando a los equipos de desarrollo con formación en código seguro debería ser un buen punto de referencia para evaluar el impacto positivo de su programa de seguridad.‍

3. ¿Estamos reduciendo los riesgos?

Detectar y corregir una vulnerabilidad puede ser como resolver un rompecabezas complejo que, a veces, requiere días, semanas o incluso meses para encontrar una solución sólida. Permitir que los desarrolladores se encarguen de la corrección en el origen permite que AppSec se centre en la supervisión de riesgos y en fortalecer la postura de seguridad de la organización.

4. ¿Estamos aumentando la velocidad (sin sacrificar la calidad)?

Lanzar código rápidamente no siempre es positivo. Tomar atajos e introducir vulnerabilidades puede generar muchos problemas en el futuro y acumular deuda técnica. El pensamiento a corto plazo no es la solución. Se puede mitigar el riesgo asegurando el código desde el principio, evitando que el problema se agrave con el tiempo.
‍

Métricas recomendadas para realizar un seguimiento:

• Compromiso: ¿cuánto tiempo dedica a la formación y cómo participan los desarrolladores? ¿Completan cursos, evaluaciones y participan en torneos?
• Habilidades: ¿cuáles son sus puntos fuertes? ¿Qué áreas ha identificado como mejorables?
• Reducción de vulnerabilidades: ¿ha notado una disminución medible de vulnerabilidades durante la revisión de código? ¿Ve menos trabajo de corrección devuelto por AppSec?
• Productividad: ¿cuánto tiempo lleva corregir un problema? ¿Ha notado un aumento en la productividad o velocidad con la reducción de vulnerabilidades?

Cree valor mediante el "Shift Left"

Las brechas y vulnerabilidades aumentan rápidamente cada año. Es fundamental empezar a construir un enfoque de seguridad integral de forma proactiva, empezando por su código. Esto ayudará a:

• Reducir la complejidad invirtiendo en sus recursos más valiosos: su personal, en lugar de gastar dinero en herramientas que solo resuelven parte del problema
• Mejorar la eficiencia y la eficacia general limitando el trabajo de corrección que normalmente identificaría AppSec después de desplegar el código
• Mitigar riesgos y lograr el cumplimiento normativo, evitando multas costosas, la pérdida de confianza del cliente o, peor aún, el coste de una brecha de datos

Evite el pensamiento a corto plazo y las soluciones rápidas. Solo generan deuda técnica y más costes a largo plazo. Planifique a futuro aprovechando la capacitación de sus desarrolladores para que sean su mejor línea de defensa contra vulnerabilidades y ciberdelincuencia, y compruebe usted mismo el impacto y el ahorro de costes.

‍