¿Quiere que sus desarrolladores programen con conciencia de seguridad? Lleve la formación directamente a ellos.

El ciclo de vida del desarrollo de software (SDLC) parece bastante inofensivo; es un proceso en el que todos los que nos dedicamos al software nos unimos para hacer magia y lanzar todas esas maravillas digitales sin las que la sociedad no puede vivir.

Excepto que... si alguna vez has formado parte de un proyecto de desarrollo de software, sabrás que suele ser una carrera de obstáculos, con muchas misiones que completar y dragones que matar. Es divertido durante un tiempo, pero el agotamiento es real y la demanda de software nos obliga a trabajar a la velocidad de la luz en el mejor de los casos, especialmente al equipo de desarrollo.

Ahora imagina que les añaden otra tarea obligatoria: la responsabilidad de la seguridad en los elementos del proyecto que tocan. En el peor de los casos, esto puede hacer que el castillo de naipes se derrumbe para algunas personas, pero el escenario más realista es que simplemente no se convierta en una prioridad y se dé preferencia a los problemas que se consideran más urgentes para cumplir los plazos. Y como la mayoría de los desarrolladores no están formados para programar de forma segura (especialmente si sus directivos tampoco priorizan la seguridad), no es de extrañar que veamos frecuentes filtraciones de datos, lanzamientos de aplicaciones con fallos y una gran rotación entre los profesionales de la seguridad que llegan al límite bajo una avalancha de código con errores.

Los desarrolladores necesitan un defensor de la seguridad de las aplicaciones (AppSec).

Al analizar el escenario anterior, se entiende por qué la seguridad se deja en el cajón de "demasiado difícil" durante el proceso de codificación y se deja en manos del equipo de seguridad. Demasiados plazos competitivos, poca formación y ninguna razón real para preocuparse por la seguridad con todo lo demás que ocurre. Sin embargo, la demanda de código es simplemente demasiado alta para que este statu quo continúe. Y ahí es donde los desarrolladores de élite pueden destacar sobre sus compañeros, aprender nuevas habilidades y, lo más importante, crear código más seguro.

Sin embargo, es importante recordar que no todo recae sobre los hombros de los desarrolladores gestionar la seguridad del software; eso sigue siendo dominio del equipo de AppSec (que, al trabajar con desarrolladores conscientes de la seguridad, tendrá más margen de maniobra en lugar de corregir errores comunes repetidamente).Un proceso DevSecOps funcional requiere que cada miembro del equipo cuente con el apoyo y las herramientas necesarias para compartir la responsabilidad de la seguridad, y el tipo de formación adecuado es fundamental. Equilibrar el conjunto correcto de herramientas y formación requiere la visión de profesionales de AppSec dispuestos a trabajar estrechamente con los desarrolladores para inspirarlos e impulsar un cambio positivo.

La formación disruptiva es más molesta que eficaz, y cualquier cosa que resulte repelente para los desarrolladores no funcionará. Una solución integrada en el IDE o en el gestor de incidencias centrada en conocimientos breves es una alternativa que pone la información correcta ante ellos, justo en el momento en que la necesitan.

Así es como funciona en la práctica:

Justo a tiempo, no "por si acaso".

El aprendizaje contextual y práctico es, con diferencia, la forma más eficaz de formarse, con píldoras de conocimiento entregadas justo cuando tienen más sentido. A esto se le llama a veces formación "Justo a tiempo" (JiT) y es muy potente para los desarrolladores que aprenden a programar de forma segura.

Con sus orígenes en los principios de fabricación ajustada de Toyota, la formación JiT está diseñada para activarse según la necesidad, en contexto y cuando más importa. ¿Un desarrollador acaba de escribir algo que parece tener permisos incorrectos? ¿Qué pasaría si se abriera una pequeña puerta trasera que permitiera a un atacante ejecutar código de forma remota? Será mucho más memorable si los desarrolladores pueden acceder al conocimiento justo cuando lo necesitan, en lugar de rebuscar en la documentación de Confluence o buscar en Google algo que se mencionó de pasada en una formación.

El aprendizaje "Justo a tiempo" es la antítesis del aprendizaje "por si acaso"; aunque este último es la forma más común de impartir conocimientos, simplemente no es eficiente. Debemos facilitar que los desarrolladores se involucren con las mejores prácticas de codificación segura y vean el beneficio de mejorar sus habilidades para su carrera profesional, manteniendo al mismo tiempo el enfoque en los objetivos clave en los que están trabajando en ese momento.

Deja de hacer que los desarrolladores tengan que perseguir la formación.

Ya sabemos que la carga de trabajo diaria es excesiva, así que ¿qué incentivo tienen los desarrolladores para desplazarse a un aula o cambiar de contexto para seguir cinco pasos y acceder a una formación teórica estática?

El consenso general es que lo que sea que estén haciendo la mayoría de las organizaciones no es muy eficaz, a juzgar por la cantidad de vulnerabilidades que provocan filtraciones de datos. El Informe de Investigaciones de Filtraciones de Datos de 2020 de Verizon especificó que el 43% de las filtraciones de datos podrían atribuirse a vulnerabilidades web. Los desarrolladores no están recibiendo una formación eficaz; ni en la educación superior, ni como parte de las medidas de mejora de las competencias en el lugar de trabajo. Si la recibieran, vulnerabilidades comunes como la inyección SQL y el path traversal de la vieja escuela no se explotarían para obtener grandes beneficios de datos, y la escasez de competencias en ciberseguridad no estaría fuera de control.

Entonces, sabiendo que este es el clima actual en el que los desarrolladores reciben formación y se familiarizan con la seguridad, ¿por qué nos sorprenden los malos resultados? Podría tener un efecto, y positivo, tanto para el desarrollador como para la organización, asegurar una experiencia de formación más fluida, integrada y menos discordante, accesible en los espacios en los que realmente trabajan, como Jira, GitHub y el IDE. La industria simplemente necesita avanzar y hacer que la concienciación sobre la seguridad sea mucho más fácil, en un entorno donde ya no sea un lujo.

¿Listo para asegurar el flujo de trabajo de desarrollo?

Los desarrolladores conscientes de la seguridad son valorados por sus habilidades y por la protección que ofrecen a las organizaciones desde la fase de creación del código. La seguridad ya no es opcional, especialmente con las multas del RGPD, las normativas de cumplimiento PCI-DSS, la gobernanza NIST... y la posibilidad de enfrentar demandas colectivas millonarias, al estilo de Equifax.

Un enfoque integrado podría ser el catalizador para convencer a los desarrolladores mediante un aprendizaje menos disruptivo, creando vías para cursos más profundos, formando expertos en seguridad e inspirando esa responsabilidad compartida necesaria para mantener los datos del mundo a salvo.

Descargue las herramientas de integración para Jira y GitHub ahora y cuéntenos qué le parecen.