Por qué el aprendizaje andamiado crea desarrolladores expertos en seguridad

Tras unos minutos leyendo noticias tecnológicas, queda claro lo peligroso que se está volviendo el panorama de amenazas. Cada día parece traer consigo un informe sobre una brecha importante, una nueva vulnerabilidad o una amenaza inminente de explotación activa por parte de ciberdelincuentes. Casi todas las métricas e informes del sector muestran un número peligrosamente creciente de ciberamenazas, y la mayoría de los expertos prevé que esta tendencia continuará durante años.    

Frente a estas nuevas amenazas se encuentra una primera línea de trabajadores de seguridad informática agotada y con falta de personal. A pesar de sus altos salarios y de ser casi indispensables para cualquier empresa, nunca hay suficientes profesionales de seguridad. En una encuesta reciente realizada por el Centro de Estudios Estratégicos e Internacionales, el 82% de los responsables de TI afirmó que sus organizaciones sufrían escasez de competencias en ciberseguridad, y el 71% señaló que esta carencia había causado daños directos y cuantificables. Solo en Estados Unidos, el informe indicaba que había más de 520.000 puestos de ciberseguridad sin cubrir en un sector que emplea a unas 940.000 personas.

A nivel mundial, hay actualmente unos 3,5 millones de puestos de ciberseguridad sin cubrir, lo que significa que incluso las organizaciones dispuestas a pagar grandes sumas para contratar y retener a profesionales de alto nivel tienen dificultades para encontrar candidatos adecuados. De media, se tarda un 21% más en cubrir un puesto de ciberseguridad que cualquier otro, si es que llegan a cubrirse.

La capacitación de los desarrolladores ha sido ignorada durante demasiado tiempo

Hemos señalado en muchos blogs anteriores que se puede recurrir a los desarrolladores para cubrir algunas de esas brechas críticas en las defensas de ciberseguridad. El problema es que, tradicionalmente, nunca se formó a los desarrolladores en ciberseguridad. Su desempeño laboral se basaba casi exclusivamente en la velocidad y los tiempos de despliegue. La seguridad era responsabilidad de los equipos de AppSec en etapas posteriores.

Desafortunadamente, no basta con cambiar el enfoque y pedir a los desarrolladores que empiecen a integrar la seguridad en sus aplicaciones y programas de repente. Incluso si están dispuestos a hacer esos cambios —y las encuestas demuestran que muchos lo están—, necesitan formación para lograrlo. También requieren el apoyo y el estímulo de la dirección, pero contar con un aprendizaje significativo es el primer obstáculo, y a menudo el más grande.

Hay una razón por la que millones de puestos de seguridad informática bien remunerados y seguros siguen vacantes en todo el mundo. Si fuera un trabajo fácil, todo el mundo se lanzaría a ese campo. Aprender a combatir amenazas y eliminar vulnerabilidades en el código es difícil, y el panorama de amenazas cambia constantemente. Intentar enseñar ciberseguridad, incluso a desarrolladores con conocimientos técnicos, no puede hacerse eficazmente mediante una formación estática que queda obsoleta rápidamente, no es memorable y tiene un impacto mínimo, especialmente si esos requisitos se añaden a sus agendas ya sobrecargadas.

Construir un andamio para alcanzar mayores alturas

Enseñar ciberseguridad con métodos tradicionales es como intentar construir un rascacielos sin despegar los pies del suelo. No es posible porque los estudiantes carecen de la base necesaria para dominar los conceptos complejos de un campo como la ciberseguridad. Para compensarlo, se puede emplear el concepto de aprendizaje andamiado.

Al utilizar un enfoque de mejora de competencias andamiado o "por capas", los temas complejos se dividen en conceptos o experiencias de aprendizaje discretas. Esto garantiza que los estudiantes dominen cada concepto mediante ejercicios e instrucciones adecuados, proporcionando todo el apoyo necesario para cada componente. Los conceptos más nuevos y avanzados se superponen a los ya dominados, tal como se construye un andamio físico a medida que un edificio crece. De este modo, los estudiantes alcanzan niveles de comprensión y adquisición de habilidades superiores a los que lograrían sin ayuda.

Y al igual que un andamio físico, ese apoyo se retira gradualmente cuando ya no es necesario, otorgando más responsabilidad a los estudiantes a medida que adquieren mayor competencia.

El aprendizaje andamiado se utiliza principalmente para reducir las emociones negativas y la autopercepción que experimentan los estudiantes cuando se sienten frustrados, intimidados o desanimados al intentar una tarea difícil sin ayuda. Pero también es muy valioso al abordar un concepto extremadamente difícil como la ciberseguridad moderna. Lejos de tratar a los desarrolladores como niños, es inmensamente útil cuando su experiencia con el equipo de seguridad puede resultar frustrante y desalentadora, especialmente cuando su arduo trabajo es devuelto con correcciones de errores y una dosis de críticas.

Cuando los desarrolladores reciben herramientas para comprender los fundamentos de la codificación segura (normalmente empezando por el OWASP Top 10), pueden ver por sí mismos cómo ocurren los errores de seguridad, por qué son peligrosos y cómo remediarlos antes de que lleguen a producción. A partir de ahí, pueden ampliar sus conocimientos abordando vulnerabilidades más complejas y obteniendo experiencia práctica en la aplicación de soluciones. Las capas crecen poco a poco, y cuando se trata de problemas de seguridad avanzados, como una arquitectura de software insegura o el modelado de amenazas, estos saltos no parecen tan intimidantes y pueden abordarse con precisión.

Como industria, nunca debemos esperar que los desarrolladores se conviertan en expertos en seguridad, pero las organizaciones pueden adoptar nuevos estándares para capacitar a sus desarrolladores y así producir software de mayor calidad. Como ventaja adicional para las organizaciones con equipos de ingeniería que están mejorando sus competencias, cada paso del camino, o cada nivel de andamiaje, se traducirá directamente en una mejor ciberseguridad a medida que aprenden. No hay necesidad de esperar al final de un curso para ver resultados.

Aprender sobre ciberseguridad es difícil, y dominarla es casi imposible sin la ayuda y la instrucción adecuadas. Adoptar un programa de seguridad con aprendizaje andamiado ayuda a aprovechar al máximo el proceso, con beneficios que se hacen evidentes casi de inmediato. Las mejoras comenzarán casi al instante y seguirán aumentando con el tiempo.

Empiece a formar desarrolladores expertos en seguridad con nosotros; consulte:

Cursos
Misiones
Formación para desarrolladores

... ¡y más!