Por qué nunca debemos pasar por alto el factor humano en la ciberseguridad

Nos ha entusiasmado ver la publicación del primer artículo en el Forbes Technology Council de nuestro presidente y CEO, Pieter Danhieux. El artículo detalla cómo la capacitación de los desarrolladores para crear código más seguro es clave para prevenir ciberataques y brechas de datos. No solo eso, reveló cómo estos mismos desarrolladores conscientes de la seguridad pueden ayudar a entregar un código mejor y más seguro, más rápido de lo que muchos departamentos de TI imaginan. La necesidad de este enfoque es ciertamente convincente. Un estudio reciente reveló que se produce un ciberataque cada 39 segundos, y todos hemos visto la interrupción causada por un solo ataque de ransomware exitoso en el Colonial Pipeline, que en el gran esquema de las cosas no fue tan destructivo como el hackeo de SolarWinds.

‍

Muchas vulnerabilidades comunes siguen existiendo porque nadie se tomó la molestia de mostrar a los desarrolladores cómo reemplazar patrones de codificación deficientes por una forma mejor de realizar las mismas funciones, de manera más segura. Además, el impacto de corregir el software al final de su desarrollo es extremadamente costoso, tanto en horas de trabajo como en retrasos en la implementación. Corregir el código después de su despliegue, especialmente tras un ataque que explota una vulnerabilidad desconocida, puede costar millones de dólares. Y eso sin contar el daño a la reputación de la empresa tras una brecha importante.

Los desarrolladores formados en seguridad se convierten, naturalmente, en mejores programadores. Ciertamente, los CISO no deberían abandonar sus herramientas de seguridad, pero al liderar un enfoque de seguridad preventivo e inclusivo desde la dirección, pueden aprovechar el mayor recurso de su empresa: el factor humano, especialmente cuando se trata de codificación segura desde el inicio del ciclo de vida del desarrollo de software.

Para lograrlo, aquí presentamos las tres estrategias principales a tener en cuenta.

1. Sea proactivo, no reactivo

Las empresas suelen caer en la trampa de ser reactivas; por ejemplo, respondiendo a lo que hace la competencia en lugar de desarrollar y perseguir una visión única. Muchas también adoptan este enfoque por defecto ante las vulnerabilidades de seguridad en el código, tomando la ciberseguridad en serio solo cuando se ven obligadas tras una brecha exitosa. Desafortunadamente, para entonces el daño ya está hecho, con multas, costos de recuperación, pérdida de clientes y restauración de la marca afectando los resultados financieros. Otra forma de reacción en lugar de acción es depender del escaneo automático o manual de código para encontrar vulnerabilidades en lugar de centrarse en crear código seguro desde el principio. Lamentablemente, el escaneo de código no es una solución perfecta, lo que significa que cuantas más vulnerabilidades haya en el código, mayor será la probabilidad de que algunas pasen desapercibidas.

Solo adoptando un enfoque proactivo y trabajando con los desarrolladores para ayudarles a crear código seguro desde el principio, podrá establecer un ciclo de vida de desarrollo de software que reduzca significativamente la posibilidad de que las vulnerabilidades de codificación lleguen a los usuarios.

2. Capacite, no sature

Una vez que decida proporcionar a los desarrolladores el conocimiento necesario para crear código seguro, elija su enfoque con prudencia. Los talleres de formación internos que detienen la programación frustran tanto a los desarrolladores como a los gerentes. Los cursos externos que requieren asistencia por las noches o fines de semana son aún menos populares. El mejor enfoque es desarrollar las habilidades de codificación de forma incremental, proporcionando información relevante paso a paso durante el proceso de programación – esencialmente capacitando sin distraer significativamente a los desarrolladores ni ralentizar el proceso de desarrollo.

3. Incentive, no asuma

Los desarrolladores no deben ver la capacitación en seguridad como un castigo o una tarea tediosa. Los gerentes deben inspirar a los desarrolladores comunicando el papel fundamental que desempeña el código seguro en el éxito de la empresa. También es importante transmitir que los programadores que escriben código seguro son más valiosos para la empresa y disfrutarán de mayores oportunidades profesionales en el futuro.

La bienvenida Orden Ejecutiva de la Administración Biden ha intensificado el enfoque en la ciberseguridad y la necesidad de "incluir criterios para evaluar las prácticas de seguridad de los propios desarrolladores y proveedores, e identificar herramientas o métodos innovadores para demostrar la conformidad con prácticas seguras". Pero aunque las herramientas son esenciales, no son suficientes. Ninguna herramienta eliminará por completo la capacidad de un individuo para ignorar, malinterpretar, abusar o eludir los sistemas y herramientas implementados. Para maximizar la seguridad, los CISO deben aprovechar el factor humano y alentar a los desarrolladores a convertirse en defensores y practicantes de la seguridad.