La puntuación de confianza revela el valor de las iniciativas de capacitación en seguridad desde el diseño

Una forma segura de mejorar la postura de seguridad de su organización es mediante la capacitación de los desarrolladores en las mejores prácticas de codificación segura, impartida dentro de un marco que incluya líneas base y puntos de referencia diseñados para ofrecer a los desarrolladores las rutas de aprendizaje específicas que necesitan. Sin embargo, la codificación segura no es una solución única; debe convertirse en una forma de vida, codificada en el ADN de la organización. Los desarrolladores no solo tienen que adoptar el enfoque "shift left" o empezar desde el principio, sino que deben mantenerse en esa dirección.

Simplemente proporcionar formación no es suficiente. Las organizaciones deben confirmar que los desarrolladores han asimilado completamente su formación y que siguen las mejores prácticas al principio del ciclo de vida de desarrollo de software (SDLC) como parte de sus rutinas diarias. Es necesario realizar un seguimiento del rendimiento de los desarrolladores y medir su progreso frente a las normas internas y los puntos de referencia del sector, midiendo así eficazmente el retorno de la inversión (ROI) en formación.

Trust Score de Secure Code Warrior proporciona visibilidad sobre el rendimiento de cada desarrollador y agrega los datos para ofrecer una evaluación del rendimiento general de su organización. Muestra la eficacia de los programas de capacitación a la vez que identifica las áreas que necesitan mejoras. Además, ayuda a garantizar el cumplimiento de la diversa normativa vigente, ya sea el Reglamento General de Protección de Datos (RGPD), el Estándar de Seguridad de Datos para la Industria de Tarjeta de Pago (PCI DSS), la Ley de Privacidad del Consumidor de California (CCPA) u otras.

Nuestra investigación ha demostrado que la formación en código seguro funciona. Trust Score, mediante un algoritmo que utiliza más de 20 millones de puntos de datos de aprendizaje obtenidos del trabajo de más de 250 000 desarrolladores en más de 600 organizaciones, revela su eficacia para reducir las vulnerabilidades y cómo hacer que esta iniciativa sea aún más efectiva.

La formación mejora la seguridad, si los desarrolladores la comprenden

Durante años, aplicar las mejores prácticas de seguridad al inicio del SDLC parecía ser algo más aspiracional que real en la industria del software: algo ideal para el futuro, pero no una prioridad para el presente. Sin embargo, la velocidad cada vez mayor del desarrollo de software, junto con el ritmo acelerado de las amenazas cibernéticas sofisticadas y destructivas —a menudo basadas en la explotación de vulnerabilidades de software—, han hecho que la codificación segura sea esencial. La Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA) sitúa el código seguro en el centro de su iniciativa Secure-by-Design, que se está convirtiendo en un movimiento internacional.

Nuestra investigación ha demostrado este punto: la correlación entre un enfoque de diseño seguro (Secure-by-Design) y la reducción de las vulnerabilidades de software es clara. Analizamos los datos de reducción de vulnerabilidades del 26% de la base de clientes de SCW y descubrimos que la formación de los desarrolladores resultó en reducciones de vulnerabilidades de software que oscilaron entre el 22% y el 84%. Ese rango fue resultado de variables como el tamaño de las empresas involucradas (las empresas más pequeñas con relativamente pocos desarrolladores produjeron un rango de resultados más drástico) y si un grupo de aprendizaje se centraba en un problema específico, en cuyo caso eliminaban un mayor porcentaje de fallos.

Los resultados en las grandes empresas fueron bastante consistentes. Las empresas con 7000 o más desarrolladores pueden esperar ver una reducción de las vulnerabilidades de entre el 47% y el 53% como resultado de la capacitación en seguridad de los desarrolladores. Por ejemplo, una empresa estadísticamente promedio con más de 10 000 desarrolladores —que no destaca por ser la mejor de la plataforma ni por tener el punto de referencia más alto— vio una reducción del 53% en las vulnerabilidades.

Por supuesto, la formación más eficaz no adopta un enfoque general y único para todos. Debe adaptarse a los entornos de trabajo de los desarrolladores y a los tipos de desarrollo que realizan.

Las empresas deben comenzar estableciendo las habilidades básicas que los desarrolladores deben tener para que escribir código seguro sea tan natural para ellos como escribir código. Los programas de capacitación deben consistir en formación práctica y ágil en escenarios del mundo real que coincidan con el tipo de trabajo que realizan y los lenguajes que utilizan. Además, debe ser lo suficientemente flexible como para integrar las sesiones de formación en sus horarios de trabajo.

Para los desarrolladores, el conjunto de habilidades implica algo más que escribir código. Deben ser capaces de verificar el software creado por asistentes de inteligencia artificial y terceros, como los repositorios de código abierto. Los desarrolladores han hecho un uso ávido de los modelos de IA generativa y, por lo general, han elogiado sus beneficios para ayudarles a crear más código con mayor rapidez. Sin embargo, aunque el 76% de los encuestados en una encuesta de Snyk afirmó que el código generado por IA era más seguro que el producido por humanos, el 56,4% seguía diciendo que la IA introduce errores a veces o con frecuencia. Y la misma encuesta reveló que el 80% de los desarrolladores no aplica las políticas de seguridad de código de IA, lo que sugiere que los problemas en el código de IA no se están abordando.

En un enfoque de diseño seguro (Secure-by-Design), los desarrolladores, trabajando junto a los equipos de seguridad en lugar de por separado, abordarán esos problemas al principio del SDLC, identificando y remediando los fallos antes de que el código pase a producción.

Trust Score mide el rendimiento individual y empresarial

También es fundamental que la formación sea continua. Las empresas deben adoptar una cultura de seguridad primero que se aplique en todas partes, desde los niveles más altos de la empresa hasta todos los rangos. Debe centrarse en la mejora continua y en la aplicación de las mejores prácticas de seguridad a lo largo de todo el SDLC. La tecnología y los ciberdelincuentes no dejan de evolucionar; la ciberseguridad tampoco debería hacerlo. Para las organizaciones que producen software, los desarrolladores formados en seguridad son la base.

Es por eso que demostrar que la formación ha calado eficazmente es tan importante como la formación en sí. Trust Score no solo ofrece visibilidad sobre el rendimiento de los desarrolladores individualmente y de la organización en general, sino que permite a las organizaciones profundizar en los datos de rendimiento para centrarse en lenguajes, equipos de desarrollo o categorías de software específicos. Los datos de los resultados de rendimiento individuales y agregados también ayudan a identificar áreas donde la formación necesita mejorar; por ejemplo, si no está teniendo el efecto deseado en el rendimiento diario de los desarrolladores.

Trust Score ha permitido a las organizaciones evaluar el rendimiento de los desarrolladores y confirmar si han adquirido —y están utilizando— las habilidades de seguridad necesarias, asegurándose de que han obtenido su licencia para programar. Permite a las organizaciones conceder con confianza a los desarrolladores cualificados acceso a sus datos más confidenciales y a sus proyectos de software críticos, mientras deniega ese acceso a aquellos que aún no están preparados.

Prueba de un cambio en la cultura de seguridad

La ciberseguridad ya no es solo un problema de seguridad. Es un asunto empresarial que afecta a la integridad del activo más valioso de muchas organizaciones: sus datos. Una brecha grave repercute en las operaciones, la reputación y, potencialmente, en la viabilidad de una organización. La importancia de la ciberseguridad no ha pasado desapercibida para los organismos reguladores, que han implementado normativas cada vez más estrictas y han mostrado disposición a emprender acciones legales contra los CISO y, potencialmente, otros miembros de la alta dirección, llegando incluso a presentar cargos penales, como en los casos de Uber y SolarWinds. 

Adoptar una cultura de seguridad en toda la empresa es esencial en el entorno actual. Y dado que gran parte del valor de una compañía reside en sus datos, aplicaciones y servicios, la programación segura es un elemento central de esa cultura. La formación específica y la mejora de las competencias como parte de una mentalidad cultural, junto con la prueba de que la formación ha ayudado a cambiar la cultura, pueden encaminar a las organizaciones hacia el fortalecimiento de sus posturas de seguridad. 

Los programas de seguridad impulsados por los desarrolladores tienen valor. La prueba está en el Trust Score.