¿Qué lugar ocupa el código seguro en la lista de prioridades de los equipos de desarrollo?

El creciente número de ciberataques, así como su mayor sofisticación, ha impulsado cambios en todos los sectores e industrias del mundo. Todo el mundo intenta "desplazarse a la izquierda" (shift left), integrando la seguridad en todos sus procesos y procedimientos lo antes posible. La situación incluso ha fomentado movimientos totalmente nuevos destinados a mejorar las ciberdefensas como DevSecOps, donde la seguridad se integra en la propia estructura de creación de nuevo software y aplicaciones.

Muchos de estos cambios recaen sobre la comunidad de desarrolladores. Dado que son ellos quienes crean, escriben y programan nuevo software y aplicaciones, pedirles que adopten prácticas de codificación más seguras parece una gran idea. Al fin y al cabo, no se puede "desplazar a la izquierda" más allá del momento en que se crean las nuevas aplicaciones.

Pero, ¿qué opina la comunidad de desarrolladores sobre esa responsabilidad? Tras haber sido evaluados tradicionalmente casi exclusivamente en función de la rapidez con la que podían programar, ¿qué piensan ahora los desarrolladores sobre su nuevo papel como defensores de la seguridad? ¿Y sienten que la dirección de sus empresas apoya esos esfuerzos con formación de calidad, mejores recompensas y el reconocimiento que merecen por asumir esta nueva y crítica responsabilidad?

Por segundo año consecutivo, nos hemos asociado con Evans Data Corp. para realizar una encuesta exhaustiva a la comunidad global de desarrolladores sobre sus habilidades, percepciones y comportamientos en relación con las prácticas de codificación segura, así como su impacto y relevancia percibidos en el ciclo de vida del desarrollo de software (SDLC). Los resultados fueron bastante sorprendentes en muchos aspectos.

Estado de la encuesta sobre seguridad impulsada por desarrolladores 2022

La encuesta sobre el estado de la seguridad impulsada por desarrolladores de Secure Code Warrior fue realizada por Evans Data Corp en diciembre de 2021. Se realizaron preguntas sobre programación de software, concienciación sobre seguridad, formación, apoyo, motivaciones y otros temas a 1.200 desarrolladores de software activos que trabajan en la región de Asia-Pacífico, Europa y Norteamérica. La encuesta se realizó en inglés y se tradujo cuando fue necesario para obtener una perspectiva global precisa. Entre los encuestados se incluyeron tanto desarrolladores que crean nuevas aplicaciones como directivos de la comunidad de desarrollo.

Algunos hallazgos sorprendentes

El lunes 11 de abril se publicará un libro blanco detallado (Los retos (y oportunidades) para mejorar la seguridad del software) y un informe (El estado de la seguridad impulsada por los desarrolladores, 2022) que profundiza en todos los aspectos de la encuesta. El libro blanco incluye nuestro análisis de los hallazgos y las preocupaciones planteadas por la comunidad en relación con las prácticas de codificación segura, con recomendaciones para que las organizaciones capaciten a los equipos de desarrollo para mejorar la seguridad del software.

Es probable que algunos de esos retos planteen preguntas tanto a quienes trabajan con desarrolladores en sus organizaciones como a quienes forman parte de la propia comunidad de desarrollo; a nosotros, desde luego, nos las plantearon.

Por ejemplo, solo el 14% de los encuestados señaló la seguridad de las aplicaciones como una prioridad máxima hoy en día. En su lugar, métricas más tradicionales como el rendimiento de las aplicaciones y la priorización de características y funcionalidades siguieron siendo su foco principal.

La seguridad tenía una prioridad tan baja que el 67% de los desarrolladores encuestados admitió que dejaba habitualmente vulnerabilidades y exploits conocidos en su código. Lo hacían debido a plazos ajustados, a la priorización de la funcionalidad sobre la seguridad o simplemente porque no tenían la formación o los conocimientos necesarios sobre cómo solucionar los problemas de seguridad.

En muchos casos, los desarrolladores afirmaron que sus organizaciones no definían qué constituía un código seguro y no proporcionaban la formación o el apoyo adecuados para cambiar esa situación.

Sin embargo, a pesar de algunos de los resultados negativos, también quedó claro que las actitudes están cambiando. Una gran mayoría de los desarrolladores (66%) espera que la seguridad se convierta en una mayor prioridad en los próximos 12 a 18 meses, mientras que el 82% de los responsables de contratación que participaron en la encuesta expresaron su interés en contratar a desarrolladores que supieran de seguridad frente a los que no.

Aunque de los resultados de la encuesta se desprende claramente que la comunidad de desarrolladores y las organizaciones con las que trabajan se enfrentan a una enorme cantidad de cambios, afortunadamente los planes para el futuro próximo y a largo plazo también están tomando forma rápidamente.

Esté atento al libro blanco y al informe que detallan los resultados completos de la encuesta, así como a los comentarios de expertos sobre los retos en torno a las prácticas actuales de codificación segura y las oportunidades que las organizaciones pueden aprovechar para mejorar las habilidades de seguridad de los desarrolladores y, en última instancia, la seguridad del software.

Consulte las páginas del blog de Secure Code Warrior para obtener más información sobre ciberseguridad, el panorama de amenazas cada vez más peligroso y para aprender cómo puede emplear tecnología innovadora y formación para proteger mejor a su organización y a sus clientes.

‍