¿Qué es lo que mantiene despiertos a los equipos de desarrollo por la noche en lo que respecta a la codificación segura?

El código inseguro cuesta millones a las empresas, entonces, ¿qué impide la adopción de prácticas de codificación seguras?

En un mundo que depende del software para casi todo, garantizar que el código sea seguro es fundamental. La reputación de la marca y la viabilidad financiera dependen de ello. Dicho esto, existen muchas preocupaciones en torno a la codificación segura y muchos obstáculos para su adopción plena y efectiva. Ahora más que nunca, se requiere una nueva forma de trabajar. Por eso, en 2020, Secure Code Warrior contrató a Evans Data Corp. para llevar a cabo una investigación primaria* sobre las actitudes de los desarrolladores y sus directivos hacia la codificación segura, las prácticas de código seguro y las operaciones de seguridad (descargue el documento técnico) aquí).

‍En este momento, a las organizaciones les resulta difícil implementar prácticas de código seguro. Tanto a los desarrolladores como a los administradores les preocupa especialmente lidiar con las vulnerabilidades y ser responsables del código.

Claramente, se necesita una mejor capacitación y un programa que respalde las prácticas de código seguro. Esta necesidad se hace evidente cuando preguntamos a los desarrolladores y a sus gerentes acerca de sus preocupaciones en torno a la codificación segura. Nuestra investigación* mostró que ambos grupos comparten el mismo conjunto básico de preocupaciones. Sin embargo, debido a sus diferentes funciones, difieren en cuanto a cuál de estas preocupaciones es más apremiante.

La principal preocupación de los desarrolladores es «incluir código que reproduzca las vulnerabilidades anteriores». Como los desarrolladores son juzgados por la calidad de su código, no es de extrañar. Ningún desarrollador quiere ser la fuente de código inseguro o de código que requiere modificaciones y ralentiza a su equipo.

La segunda preocupación más importante para los desarrolladores es lidiar con los errores introducidos por los compañeros de trabajo. El cumplimiento de los plazos y la responsabilidad por el código también ocupan un lugar destacado en la lista, al igual que el hecho de que aprender a usar código seguro sea todo un desafío, lo que demuestra una vez más la necesidad de un nuevo enfoque para la formación en código seguro.

Los gerentes, por otro lado, tienen una visión más vertical.

Como directores y líderes de equipos, su principal preocupación es ser responsables del código. Si un equipo produce un código pésimo, la responsabilidad recae en su gerente.

El código que replica las vulnerabilidades anteriores ocupa el segundo lugar. El hecho de que el proceso de aprendizaje sea desafiante ocupa el tercer lugar. Como actual entrenamiento de código seguro los enfoques no dan resultado, los gerentes se dan cuenta de que se necesita un nuevo enfoque. ‍

Obstáculos para adoptar prácticas de codificación seguras

Cuando preguntamos a los gerentes sobre las barreras para adoptar prácticas de codificación seguras en sus organizaciones, dos cosas destacaron alto y claro: la comunicación y la capacitación.

El 45% identificó la falta de comunicación entre las partes interesadas y la dirección como un obstáculo importante. El 42% lamenta la falta de habilidades de codificación seguras entre los nuevos empleados. Al mismo tiempo, el 40% señaló que el tiempo y los recursos de capacitación eran inadecuados.

Existen barreras relacionadas con los procesos y los recursos humanos para adoptar con éxito prácticas de código seguro en todas las organizaciones.

Sin embargo, aún puede progresar a pesar de estos problemas tan difíciles de resolver. La falta de habilidades de programación seguras entre los nuevos empleados y la capacitación y los recursos inadecuados son más fáciles de abordar.

Los desarrolladores están en primera línea de batalla cuando se trata de detener las vulnerabilidades. Pero, ¿están recibiendo el apoyo, las herramientas y la formación para cumplir su parte del acuerdo de seguridad?

En función de sus preocupaciones, la respuesta corta es «no».

La verdad es que la formación adecuada no debería parecerse a una conferencia.

Como defensores del cambio en la codificación segura, Secure Code Warrior adopta un enfoque dirigido por personas que involucra activamente a los desarrolladores para que aprendan y desarrollen sus habilidades de codificación segura. Nuestra probada plataforma de aprendizaje proporciona a los equipos de desarrollo y seguridad un aprendizaje contextual e hiperrelevante dentro de su flujo de trabajo preferido. Les permite no solo encontrar vulnerabilidades, sino también evitar que se produzcan en primer lugar.

Este tipo de formación práctica es una oportunidad de mejora de las habilidades, un cambio profesional que solo tiene aspectos positivos para los desarrolladores que se toman en serio la tarea de detener las vulnerabilidades y trabajar con el resto del equipo para producir un código de mayor calidad.

Si quieres obtener más información y ver el posible impacto en la capacidad de tus equipos para «empezar por la izquierda» y enviar código seguro más rápido sin comprometer la seguridad, reserve una demostración ahora.

‍*Pasar de la reacción a la prevención: la cara cambiante de la seguridad de las aplicaciones. Secure Code Warrior y Evans Data Corp. 2020