Perspectivas sobre el código seguro

The importance of developer security skills is highlighted in the 2022 Gartner Cool Vendors in Software Engineering. Read the full report here.

Secure Code Warrior has been recognized as one of four ‘Cool Vendors in Software Engineering: Enhancing Developer Productivity’, by Gartner. According to Gartner, the “definition of a Cool Vendor is a small company offering a technology or service that is innovative, impactful or intriguing." The three elements of a Cool Vendor include:

Innovative — Enables users to do things they could not do before.

Impactful — Has or will have a business impact, not just technology for its own sake.

Intriguing — Has caught Gartner’s interest during the past six months.

As outlined in the report, “Software engineers struggle to navigate complex code environments and to improve security of the systems they build while remaining productive. These Cool Vendors offer innovative solutions that help software engineering leaders boost developer productivity and mitigate security risks.”

As the only company listed that focuses on developer-driven security, this recognition is a testament to our strategy to enable developers with the right security skills and contextual tools so they can rapidly learn, build and apply their skills to deliver secure code at speed, for improved software security.

While the virtues of shifting left have been extolled for some time now, many organizations still struggle to ensure that security is considered at the start of the software development lifecycle. Our recent ‘State of developer-driven security survey’ highlighted that a lack of time is the biggest hurdle to be overcome when adopting secure coding practices, which is also reflected in this recent Gartner report. With a significant shortage of skilled engineers, combined with vast and complex code repo’s and over half of the runtime stack consisting of open-source software, developers barely have enough time to maintain existing code - never mind ensure its security.

At Secure Code Warrior, our solutions are driven by the need to improve productivity at the same time as ensuring software security. Despite citing a lack of time to adopt secure coding practices in the aforementioned survey, 76% of respondents agreed that good training in secure coding would actually improve productivity with fewer security tickets and rework to manage. When armed with the right security skills and tools, developer teams can easily mitigate risk and consistently ship secure, quality code at speed, with innovative features and functionality. 

So thank you Gartner for the recognition - not just for Secure Code Warrior but for highlighting the important role that security-skilled developers can play in cybersecurity.
‍

Access the Gartner Cool Vendors in Software Engineering: Enhancing Developer Productivity report now. 

‍

Esta semana celebramos oficialmente los ocho años de Secure Code Warrior. Por un lado, eso es 350 veces la duración de la misión del Apolo 11, lo que equivale a 45 000 partidos de fútbol o a jugar a Super Mario Odyssey 5696 veces hasta el final. Por otro lado, es solo una trigésima parte de la esperanza de vida de una tortuga gigante (250 años, si te lo estás preguntando). En el mundo de una empresa emergente de alto crecimiento, representa un viaje de muchos giros, lecciones y logros, muchos de los cuales eran inimaginables cuando estábamos elaborando nuestro plan de negocios por primera vez.

Entre la constante amenaza de recesión, el conflicto militar y algunas de las filtraciones de datos más perturbadoras que hemos experimentado hasta la fecha, 2022 no fue el año más positivo para muchos, incluido yo. No sería sincero por mi parte decir que no fue nada difícil llegar a la meta, pero sigo estando orgullosa de nuestra capacidad de recuperación ante los actuales desafíos globales. Contamos con un equipo excepcional y cada uno de nosotros está verdaderamente dedicado a impulsar el éxito de los programas de seguridad empresarial, situando a los desarrolladores en el centro de un enfoque transformador y defensivo ante los problemas que han existido durante mucho tiempo. Hemos forjado nuestro propio camino y nos hemos impuesto. Si bien es posible que no seamos la única opción de educación en ciberseguridad «gamificada» del planeta, una cosa es segura: nadie más tiene nuestra visión, persistencia o nuestro equipo fundador, y hemos pasado por muchas cosas juntos.
‍

Los hitos de nuestros cumpleaños se utilizan a menudo para reflexionar sobre los eventos clave del año pasado, pero esta vez quiero destacar lo especial que es que hayamos logrado tanto crecimiento y, al mismo tiempo, retener a las mismas seis personas que hacíamos en una pequeña oficina el primer día.

Hemos encontrado nuestro nicho y trabajamos juntos todos los días para ejecutar una visión que creemos que cambiará la forma en que los desarrolladores ven su papel en la seguridad. Es un gran trabajo, pero no hemos olvidado nuestras raíces ni la importancia de nuestro vínculo.

‍

Tenemos un largo camino por delante, pero con este núcleo y un equipo cada vez mayor de personas entusiastas, empáticas y dedicadas, creo sinceramente que podemos contribuir a cambiar el status quo de la seguridad en el desarrollo de software.

¿Y sabes por qué tengo tanta confianza? Desde el principio, pusimos énfasis en la diversidad y la consideramos un pilar de fortaleza del equipo. Las mejores organizaciones se construyen con las contribuciones de personas de diversos orígenes, culturas y estilos de vida. El año pasado incorporamos más de cien personas nuevas al equipo, y me enorgullece decir que somos un crisol de enfoques que culminan en un grupo formidable y talentoso de seres humanos que puede llevarnos a la proverbial estratosfera.

Si los últimos tres años nos han enseñado algo, es a esperar lo inesperado, pero lo constante en lo que puedo confiar es que nos apoyamos mutuamente y, de forma lenta pero segura, estamos ayudando a que el software sea más seguro. Y lo hacemos sin perder nuestro sentido de la aventura.

Las organizaciones entienden que los principios de seguridad desde el diseño solo se implementan con éxito mediante una seguridad impulsada por los desarrolladores. Después de todo, los desarrolladores son quienes diseñan, crean y, en última instancia, escriben el código que impulsa el software de una organización. Garantizar que estos valiosos colaboradores tengan los conocimientos y las habilidades para implementar las mejores prácticas de código seguro es absolutamente fundamental. Sin embargo, el desafío de lograr este objetivo consiste en alinear los conocimientos y habilidades de programación segura de los desarrolladores con los lenguajes de programación que utilizan cuando crean software. No es una tarea fácil ni siquiera para las organizaciones más maduras.

Este desafío se complica aún más por el gran volumen y la combinación de lenguajes de programación que se utilizan en la base de código de una organización, a menudo sin que los equipos de seguridad lo sepan. Entonces, ¿cómo se aseguran los CISO, los líderes de AppSec e ingeniería de que el código que se produce y se comete está respaldado por los conocimientos y habilidades del desarrollador sobre código seguro en el lenguaje de programación específico de esa empresa?

Presentamos SCW Trust Agent

Secure Code Warrior lanzó SCW Trust Agent para responder a esta difícil pregunta. SCW Trust Agent brinda a los líderes de seguridad la visibilidad y el control necesarios para ampliar la seguridad impulsada por los desarrolladores, lo que permite a los desarrolladores y equipos entregar código más rápido y, al mismo tiempo, mantener y mejorar la seguridad de lo comprometido.

¿Cómo funciona SCW Trust Agent?

SCW Trust Agent descubre sus repositorios de código y se conecta a ellos para evaluar los metadatos presentes en cada confirmación de código. Inspecciona al desarrollador que realizó la confirmación, el lenguaje o marco utilizado y la fecha exacta en la que se confirmó el código. A continuación, combina este análisis con los datos y la información de la plataforma de aprendizaje de SCW, líder del sector, para determinar si el desarrollador tiene suficientes conocimientos de seguridad en ese lenguaje de programación específico. Basándose en esta información, obtiene una valoración del estado de esa confirmación, en función de la política establecida por la organización. Estas políticas se pueden personalizar y configurar, lo que permite a los equipos establecer directrices y requisitos específicos para las confirmaciones, lo que puede suponer un nivel de conocimiento del código seguro mayor o menor para los desarrolladores, en función del grado de confidencialidad general del proyecto o repositorio.

Gobernanza y control de siguiente nivel

Basándose en esta poderosa visibilidad, Trust Agent ofrece una gobernanza integrada a escala a través de sus capacidades flexibles de regulación de políticas. Esta innovadora función permite a las organizaciones y a los equipos aplicar y mantener de forma proactiva sus estándares de codificación segura directamente a nivel de compromiso. Si un desarrollador intenta escribir código en un lenguaje o marco en el que sus conocimientos de programación segura no cumplen los requisitos predefinidos de la organización, Trust Agent puede activar automáticamente una acción configurable: registrar el evento para revisarlo, emitir una advertencia directa o incluso bloquear por completo la solicitud de incorporación de cambios.

Estas puertas de políticas adaptables se pueden aplicar en cualquier repositorio basado en Git, lo que ofrece un punto de control vital, especialmente para las aplicaciones críticas para la empresa o aquellas con requisitos de cumplimiento estrictos, como el PCI-DSS 4.0, que prescribe una formación de seguridad específica para cada idioma según el requisito 6.2.2. Al definir con precisión los niveles de confianza de las empresas en función de la propensión al riesgo de la organización, Trust Agent garantiza que solo el código de desarrolladores con conocimientos validados de codificación segura entre en sus repositorios más importantes, lo que refuerza de manera fundamental la postura de seguridad.

Optimización del ciclo de vida del desarrollo

Este enfoque proactivo habilitado por SCW Trust Agent no solo mejora la postura de seguridad general de una organización, sino que también impulsa las optimizaciones en el ciclo de vida del desarrollo. Al garantizar que los desarrolladores cuenten con conocimientos de código seguro y habilidades en el idioma en el que se comprometen, se puede reducir considerablemente la cantidad de vulnerabilidades introducidas que, más adelante, deberán identificarse y corregirse. La corrección y la reelaboración suelen suponer una gran pérdida de tiempo para los desarrolladores, ya que interrumpen su flujo de trabajo y afectan a su velocidad. La reducción de las vulnerabilidades mediante un enfoque proactivo minimiza estos ciclos de corrección, lo que permite a los equipos de desarrollo centrarse en ofrecer funciones de alto valor.

Ampliación de la seguridad impulsada por los desarrolladores

SCW Trust Agent ofrece a las organizaciones las herramientas que necesitan para ampliar sus programas de seguridad impulsados por los desarrolladores. Los equipos de CISO y Appsec tienen la visibilidad y el control que necesitan para aplicar una gobernanza adecuada, cumplir e incluso superar los estándares de cumplimiento con información detallada sobre el diseño, la aplicación y el cumplimiento de las políticas. Además, los desarrolladores tienen la capacidad de entregar código seguro con mayor rapidez gracias a una formación sobre código seguro específica para los lenguajes que utilizan en el código que entregan.

SCW Trust Agent funciona con cualquier herramienta de administración de código fuente basada en Git y conectar su repositorio de código es fácil gracias a las múltiples opciones de conectividad que incluyen la carga manual, local y basada en la nube. Para obtener más información, visite www.scwtrustagent.com o póngase en contacto con nosotros, nos encantaría hablar sobre cómo podemos ayudar a su organización a reforzar su postura de seguridad y ampliar la seguridad impulsada por los desarrolladores.

Nota del editor: Esta publicación fue publicada originalmente por Kyle Riordan y publicado el 23 de julio de 2024. Ha sido actualizado con nueva información e investigaciones de Andrew Johnson, gerente sénior de marketing de productos en Secure Code Warrior.

Nos complace continuar la conversación sobre la última mejora de la plataforma SCW: SCW Trust Score. Esta innovadora función se lanzó oficialmente en mayo y representa un avance fundamental en nuestra misión de dotar a los desarrolladores y las organizaciones de las herramientas que necesitan para escribir código seguro.

En esencia, el SCW Trust Score ofrece información inestimable sobre la postura de seguridad de su organización y la eficacia de sus prácticas de codificación segura. Repasemos las principales ventajas y beneficios del SCW Trust Score.

• Visibilidad: Las diversas habilidades y competencias surgen en los equipos a través de los programas de aprendizaje y educación, que se basan en varios factores para el éxito. A pesar de que se someten a programas de código seguro idénticos, los equipos suelen contar con una amplia gama de conocimientos, que abarcan a los mejores profesionales, a los que obtienen un rendimiento medio y a aquellos que necesitan apoyo adicional. SCW Trust Score proporciona a las organizaciones una medición basada en datos de la eficacia de su programa de aprendizaje sobre seguridad, al agregar la postura de seguridad de los desarrolladores individuales a medida que utilizan Secure Code Warrior.
  
  
• Métricas de evaluación comparativa: Las organizaciones necesitan un punto de referencia para definir la posición de seguridad de sus desarrolladores e identificar las áreas que deben optimizarse para crear realmente un equipo de software productivo, de alto rendimiento y preparado para la seguridad. Con la puntuación de confianza de SCW, las organizaciones adquieren la capacidad de evaluar su postura de seguridad en relación con los puntos de referencia y las mejores prácticas del sector. Al aprovechar esta métrica integral, las partes interesadas pueden identificar las áreas de fortaleza y las oportunidades de mejora con una precisión sin igual.
  
  
• Alimentado por datos: SCW Trust Score aprovecha la potencia de 20 millones de puntos de datos de aprendizaje procedentes de más de 600 empresas y 250 000 desarrolladores. Al analizar todas las actividades de aprendizaje realizadas en nuestra plataforma, nuestro algoritmo genera una puntuación completa. Esta puntuación tiene en cuenta factores como la amplitud y profundidad de las actividades de aprendizaje, la comprensión de las actividades, la actualidad del aprendizaje, la descripción del puesto, el ciclo de incorporación y el número total de desarrolladores capacitados.
  
  

Estamos orgullosos de haber continuado nuestras conversaciones con clientes y posibles clientes recientemente en RSAC, donde ha despertado un interés considerable por parte de clientes, socios y líderes de la industria por igual.

Nos complace anunciar que organizaremos un webinar el 12 de junio, en la que nuestro director de tecnología y cofundador, Matias Madou, ofrecerá una visión general completa del SCW Trust Score y sus aplicaciones prácticas en escenarios del mundo real. Esperamos verle allí.

Por último, expresamos nuestro agradecimiento a todos los miembros de la comunidad de clientes y socios que han contribuido al desarrollo y perfeccionamiento del SCW Trust Score. Juntos, emprendemos un viaje hacia la comprensión de lo que significa una buena postura de seguridad en todas las organizaciones

Secure Code Warrior y Okta lanzan una nueva forma de proteger los flujos de trabajo de los desarrolladores

Se espera que los desarrolladores entreguen código de calidad más rápido que nunca, pero no hay duda de que los plazos poco realistas pueden provocar una mala calidad del software y un código vulnerable. No es de extrañar que el 67% de los desarrolladores piense que envían código con vulnerabilidades, en parte debido a los plazos ajustados (Estado de la seguridad impulsada por los desarrolladores en 2022). A medida que las amenazas y las brechas siguen aumentando, la seguridad ya no puede ser una idea de último momento, sino que debe integrarse en todo el ciclo de DevSecOps.

Nos complace anunciar el Secure Code Warrior Connector para Okta Workflows, que permite a las organizaciones y a los desarrolladores escribir código seguro desde el inicio del ciclo de vida del desarrollo del software. Esta nueva colaboración entre SCW y Okta, el principal proveedor independiente de identidad, permite comprobar el nivel de seguridad que permitirá a los administradores de AppSec tener la seguridad de que el equipo está utilizando código seguro para reducir las vulnerabilidades y, al mismo tiempo, alejar a los desarrolladores de su flujo de trabajo. Además, hemos agregado el inicio de sesión único para Secure Code Warrior y Okta para que sea aún más sencillo aprovechar esta nueva y fantástica solución.

Reduzca el riesgo de introducir vulnerabilidades

Tradicionalmente, los equipos de desarrollo se han basado en procesos lentos o reactivos que se encuentran más adelante en el ciclo de desarrollo, como complementos, herramientas de escaneo o revisiones de código, para localizar y corregir los problemas de seguridad. Si bien estos enfoques tienen muchos beneficios, simplemente crean demasiado riesgo de que el código sea vulnerable y se vuelva a trabajar en el futuro. Por el contrario, estamos aquí para ayudar a las organizaciones a orientar la seguridad hacia la izquierda y adoptar una postura de seguridad proactiva, no reactiva. El nuevo Secure Code Warrior Connector para los flujos de trabajo de Okta integra el enfoque de seguridad en todo el ciclo de desarrollo, garantizando que cada desarrollador individual haya adquirido las habilidades de codificación segura necesarias para poder acceder al repositorio para enviar código. Esta integración garantizará que los desarrolladores conozcan las prácticas de seguridad más recientes a través de la atractiva plataforma de SCW y reducirá parte de la carga que supone revisar manualmente el código, lo que permite dedicar más horas de ingeniería a ofrecer más funciones sin sacrificar la calidad.

Los líderes de ingeniería y AppSec aprovechan la amplia plataforma de aprendizaje de SCW para crear evaluaciones y rutas personalizadas a fin de garantizar que los desarrolladores se centren en sus necesidades de codificación segura más prioritarias y en adquirir la experiencia adecuada para estar seguros de que pueden registrar el código. Gracias a la amplitud y profundidad del contenido, a los más de 6500 desafíos de codificación interactiva, a los más de 56 lenguajes: marcos y a las más de 150 categorías de vulnerabilidad, puede estar seguro de que su organización podrá satisfacer prácticamente todas las necesidades.

Una vez que haya creado la estrategia de aprendizaje adecuada para su equipo, las puntuaciones de las evaluaciones, así como el estado de finalización del curso, se pueden utilizar para determinar si los desarrolladores tienen las habilidades adecuadas para crear software con un enfoque que priorice la seguridad. Gracias a la nueva integración con Okta, ahora puedes automatizar los permisos de cada desarrollador en función de sus puntuaciones de evaluación, a fin de escalar fácilmente el grado de aprobación de cada desarrollador a la hora de programar o identificar oportunidades para mejorar sus habilidades.

Gracias a la experiencia de aprendizaje flexible e interactiva de la plataforma SCW, los desarrolladores disfrutan constantemente mientras aprenden y pueden ver un cambio en su enfoque del aprendizaje, pasando de una casilla de verificación de cumplimiento a ser convincente y rentable.

Cómo funciona

El conector Secure Code Warrior para flujos de trabajo de Okta es fácil de crear con Okta Workflows, sin configuración de orquestación y automatización de identidades de código, utilizando la lógica if-then. El conector utiliza un conjunto de acciones que le ayudan a realizar las tareas del flujo de trabajo sin preocuparse por las complejidades subyacentes de las llamadas a la API y la configuración.

Un diseño simple para proteger tu flujo de trabajo de desarrollador tiene este aspecto:

Esta es una descripción general del diseño completo del flujo de trabajo:

‍

Repasemos los pasos:

1. Configure el ID de evaluación utilizado para determinar el nivel de seguridad de un desarrollador. Además, agrega detalles de GitHub, como la organización y el repositorio, como parte de la configuración.

2. Mediante la acción denominada Comprobar la finalización de la evaluación para el usuario, el flujo de trabajo comprueba si un desarrollador ha superado correctamente una evaluación en particular.

‍

3. Si se ha completado el curso/evaluación deseado o se ha obtenido una puntuación concreta, utiliza el GitHub Connector para conceder acceso al repositorio. Si no se cumple el requisito, se puede generar una notificación o se puede activar otro flujo de trabajo de Okta para tomar las medidas adecuadas.

‍

Lo anterior se puede diseñar para que se ejecute como una comprobación única, periódica o continua, de modo que siga admitiendo solo a los desarrolladores que cumplan los requisitos en el flujo de trabajo seguro.

Algunas de las otras posibles acciones del conector SCW son:

• Listar intentos de evaluación para el usuario: muestra todos los intentos que un usuario tiene para una evaluación en particular
• Verificar la finalización del curso para el usuario: determina si un usuario ha completado un curso específico
• Listar inscripciones en cursos para usuarios: enumera todas las inscripciones que un usuario tiene para un ID de curso en particular
• Acción de API personalizada: para ejecutar cualquier llamada de API que no sea posible a través de las acciones disponibles

Publica código seguro de alta calidad más rápido y con confianza

SCW Connector ayuda a reducir el riesgo de introducir vulnerabilidades al inicio del ciclo de vida del desarrollo del software. Al igual que las herramientas de análisis y revisión de código, cumple la función de control de calidad para garantizar que los desarrolladores escriban código seguro desde el principio. Como resultado, se dedica menos tiempo a revisar el código y a solucionar los problemas que se podrían evitar, y la atención se centra en distribuir código de calidad con mayor rapidez. Además, el conector también ayuda a promover una cultura que prioriza la seguridad al alentar a los desarrolladores a interactuar de forma proactiva con la plataforma de aprendizaje de SCW para mantener sus conocimientos de seguridad. A medida que los desarrolladores siguen aprendiendo y mejorando su madurez en materia de seguridad, las vulnerabilidades siguen disminuyendo en el código nuevo. Esto alivia la carga que supone el soporte de reparación por parte del equipo de AppSec, lo que les permite centrarse más en reforzar la postura general de seguridad de las organizaciones.

El conector Secure Code Warrior para flujos de trabajo de Okta, junto con nuestro plataforma de aprendizaje, puede ayudar a las organizaciones a lograr su objetivo de desplazar la seguridad a la izquierda con mayor rapidez, al aumentar la competencia en materia de seguridad de los equipos de desarrollo.

Comuníquese con programar una demostración o echa un vistazo a la documentación para obtener más información sobre la instalación y la configuración.

‍

El cifrado del dispositivo es el proceso de cifrar todos los datos del dispositivo Android. Una vez que se habilita para un dispositivo Android, todos los datos creados por el usuario se cifran inmediatamente antes de escribirse en el almacenamiento. Esto protege los datos de modo que, incluso si una persona no autorizada intenta acceder a los datos, no podrá leerlos. Esta es una característica especialmente buena para los teléfonos inteligentes, ya que son transportados por el usuario y son más propensos a la pérdida o el robo que otros dispositivos informáticos. Cualquier buscador o ladrón curioso no puede acceder a los datos a menos que pueda desbloquear el teléfono.

Android tiene dos tipos del cifrado de dispositivos: cifrado de disco completo y cifrado basado en archivos.

Cifrado de disco completo

El cifrado de disco completo se introdujo en el nivel 19 de API (Android 4.4 KitKat), pero las nuevas funciones del nivel 21 de API (Android 5.0 Lollipop) realmente impulsaron su uso. El cifrado de disco completo utiliza una sola clave para proteger toda la partición de datos de usuario del dispositivo. La clave se protege con las credenciales del usuario y se deben proporcionar al arrancar para poder acceder a cualquier parte del disco.

Esto es excelente para la seguridad, pero también significa que la mayoría de las funciones del dispositivo no están disponibles hasta que el usuario introduzca sus credenciales. Esto significa que cuando el dispositivo se reinicia pero no se desbloquea, algunas funciones, como las alarmas, no funcionan, los servicios no están disponibles y los teléfonos no pueden recibir llamadas. Por este motivo, se creó el segundo modo de cifrado.

Cifrado basado en archivos

El cifrado basado en archivos, el segundo modo de cifrado de dispositivos, está disponible desde el nivel 24 de API (Android 7.0 Nougat). En este modo, los diferentes archivos se cifran con diferentes claves que se pueden desbloquear de forma independiente. Con este modo de cifrado llegó el Arranque directo modo, que permite que los dispositivos cifrados se inicien directamente en la pantalla de bloqueo, habilitando las funciones que antes faltaban antes de desbloquear el dispositivo.

El arranque directo permite que las aplicaciones funcionen en un contexto limitado antes de desbloquear el dispositivo. De esta forma, pueden seguir funcionando como se espera sin comprometer la información del usuario. Para proporcionar esta funcionalidad, el dispositivo Android necesita dos ubicaciones de almacenamiento:

1. Almacenamiento cifrado de credenciales. Ubicación de almacenamiento predeterminada, solo disponible después de que el usuario haya desbloqueado el dispositivo.
2. Almacenamiento cifrado del dispositivo. Disponible en el modo de arranque directo y después de que el usuario haya desbloqueado el dispositivo.

Si tu aplicación necesita acceder a los datos mientras se ejecuta en modo de arranque directo, debe usar el almacenamiento cifrado del dispositivo. ¡Pero ten en cuenta las implicaciones de seguridad! ¡El almacenamiento cifrado del dispositivo no debe usarse para almacenar datos confidenciales! El almacenamiento cifrado del dispositivo se cifra con una clave que está disponible tan pronto como el dispositivo se inicie correctamente. Todos los datos a los que solo pueda acceder el usuario deben guardarse en la ubicación predeterminada, el almacenamiento cifrado con credenciales.

Si quieres obtener más información sobre qué es el cifrado o por qué es importante, consulta el vídeo en el portal Secure Code Warrior. O puede intentar poner a prueba sus conocimientos sobre el cifrado jugando a algunos desafíos.

¿Necesitas una guía paso a paso para tu dispositivo? Échale un vistazo este artículo de Bill Hess de Pixel Privacy.

Espero que hayas aprendido algo nuevo. ¡Nos vemos la semana que viene!

Almacenamiento cifrado de credenciales, que es la ubicación de almacenamiento predeterminada y solo está disponible después de que el usuario haya desbloqueado el dispositivo.

https://developer.android.com/training/articles/direct-boot.html

Una nueva investigación explora los beneficios de una formación en seguridad de calidad.

¿Cuáles son los posibles impactos de una formación de código seguro de calidad para su organización? ¿Podría ser una inversión que valga la pena? Para encontrar algunas respuestas, analicemos algunas ideas de un estudio reciente sobre las actitudes de los desarrolladores hacia la codificación segura, las prácticas de código seguro y las operaciones de seguridad, realizado por Secure Code Warrior con Evans Data Corp*.
‍

Cuando se les preguntó a los desarrolladores y a sus gerentes cómo la formación había cambiado la forma en que codifican, cada cohorte respondió de forma ligeramente diferente. Estas diferencias estaban en línea con la forma en que enfocaban su trabajo y su función dentro del ciclo de vida del desarrollo de software. Sin embargo, en general, el tema subyacente es que el impacto de una formación de código seguro y de calidad es abrumadoramente positivo.

El 55% de los desarrolladores reveló que una buena formación ha aumentado su confianza en sus técnicas de codificación, mientras que el 53% afirmó que una buena formación les ha permitido tener más cuidado a la hora de depurar y probar su propio código.

Y lo que es más importante, el 53% cree que se ha preocupado más por la seguridad al escribir su código, lo que se traduce en menos vulnerabilidades y menos reelaboración.

Los gerentes logran lanzamientos de software más rápidos

Si bien el 43% de los gerentes está de acuerdo en que la capacitación en código seguro ha ayudado a sus organizaciones a ser más cuidadosas al depurar y probar su código, los dos cambios principales reflejan las responsabilidades de la gerencia. El 47% reveló que una buena capacitación les ha permitido ser más selectivos con las opciones de herramientas que brindan más seguridad. Mientras que el 44% indicó que la formación y las técnicas de código seguro han ayudado a ahorrar tiempo y a acelerar los lanzamientos de software.

La influencia de la codificación segura en la productividad

Cuando se trata de aumentar la productividad, las prácticas de codificación seguras pueden tener un efecto poderoso. Cuando se les preguntó cómo la codificación segura podía ayudar a mejorar la productividad, más del 63% de los desarrolladores revelaron que escribir código seguro y de calidad reduce la repetición del trabajo al evitar que se repitan las vulnerabilidades. El 70% de los desarrolladores afirma que una formación de calidad podría eliminar los errores que, posteriormente, provocan modificaciones o parches.

El impacto de la codificación segura en el ciclo de vida del desarrollo

A medida que los desarrolladores y sus administradores integran prácticas de codificación seguras en sus ciclos de vida de desarrollo, se pueden medir los impactos de su formación en el mundo real.

Parece que las mejoras fluyen de forma generalizada, lo que mejora la productividad desde el principio del SDLC. Más de la mitad de los desarrolladores encuestados afirman que una buena formación ha mejorado la productividad en el diseño, la codificación y la depuración y las pruebas de las aplicaciones.

La fase de depuración y prueba es la más afectada, ya que el 56% de los desarrolladores afirman que se han vuelto más productivos con estas actividades. Si bien es posible que la mejora de las herramientas de análisis y prueba haya acortado esta fase de desarrollo, las prácticas de codificación segura promueven el uso y la reutilización del código revisado que ha demostrado no presentar vulnerabilidades de código, así como un enfoque centrado en la seguridad en el diseño de aplicaciones. Los desarrolladores pueden ahorrar tiempo durante la fase de depuración si comienzan «a la izquierda» del ciclo de vida del desarrollo con su enfoque en materia de seguridad.

La implementación, que se lleva a cabo más adelante, se ve menos afectada, aunque el 44% de los desarrolladores revela que se ha vuelto más productivo incluso durante la implementación. Esto es el resultado del aumento de la velocidad de lanzamiento asociado a las prácticas de codificación seguras.

Un camino comprobado para una mejor formación

No hay duda de que la formación de código seguro de calidad ofrece muchos beneficios. La pregunta es: ¿cómo valoras la calidad de la formación sobre código seguro?

Para encontrar la respuesta, preguntamos a los desarrolladores qué querían. El 75% de los desarrolladores prefería una formación práctica estructurada. Prefieren el método de aprender haciendo a la monotonía del aprendizaje estático basado en la teoría. Los desarrolladores están en primera línea de batalla cuando se trata de detener las vulnerabilidades. Como resultado, quieren que la formación se centre en las aplicaciones prácticas, algo de lo que carecen en gran medida la mayoría de los programas de formación actuales.

Como defensores del cambio en la codificación segura, Secure Code Warrior adopta un enfoque dirigido por humanos para ayudarlo a crear una defensa dirigida por humanos. Nuestra plataforma de aprendizaje comprobada ofrece contenido de formación práctico y contextual en todos los ámbitos Más de 50 idiomas: marcos, con desafíos que imitan los que enfrentan los desarrolladores en el mundo real. Todo lo cual reduce el costo y el tiempo de publicación al prevenir las vulnerabilidades antes de que se conviertan en noticias del mañana.

Si quieres ver el posible impacto en tus equipos y en su capacidad para entregar código seguro con mayor rapidez, reserva una demostración ahora.

Conozca a los desarrolladores allí donde estén

Las organizaciones que buscan versiones más rápidas y seguras de DevSecOps conocen la importancia de optimizar la productividad de los desarrolladores con una pila de tecnología integrada. Las integraciones de software de Secure Code Warrior permiten a sus desarrolladores disponer de recursos de desarrollo seguros integrados en las herramientas que utilizan todos los días, como GitHub, Jira y más.

Secure Code Warrior garantiza que su programa de código seguro esté integrado directamente en sus productos preferidos y en los flujos de trabajo de los desarrolladores para permitir la corrección justo a tiempo y obtener resultados de aprendizaje más estrictos.

Reduzca las vulnerabilidades con una remediación más rápida

Encontrar y corregir una vulnerabilidad puede ser como resolver un gran rompecabezas sin algunas de las piezas y sin la útil portada, lo que a veces puede tardar días, semanas o incluso meses en completarse con una solución sólida. Esto puede resultar especialmente difícil para los desarrolladores cuando no saben cómo solucionar el problema, ya sea porque nunca lo han encontrado antes o porque dudan en implementar una solución que no haya sido probada o verificada.

El tiempo medio medio de reparación (MTTR) de una vulnerabilidad localizada en una pila completa, según el informe estadístico de vulnerabilidades de EdgeScan de 2022, fue 57,5 días (Informe de estadísticas de vulnerabilidad de EdgeScan de 2022).

Este es un período crítico en el que los datos valiosos podrían verse comprometidos, se pierde la confianza y se desperdicia la valiosa productividad de los desarrolladores, lo que reduce la velocidad de publicación del código y, en última instancia, acumula más deuda tecnológica con soluciones rápidas o un mosaico descuidado debido a la falta de conocimiento o confianza en las soluciones implementadas.

Las integraciones de Secure Code Warrior ofrecen consejos de corrección confiables, lo que permite a los desarrolladores resolver los errores de seguridad con confianza sin perder el ritmo. Al permitir que los desarrolladores se encarguen de la solución desde el origen, AppSec puede centrarse en la supervisión de los riesgos y en reforzar la postura de seguridad de la organización.

Con la guía contextual de codificación segura integrada en los elementos de trabajo, los desarrolladores reciben ayuda inmediata para obtener más información sobre las vulnerabilidades detectadas y cómo solucionarlas, lo que reduce el MTTR y, además, ofrece resultados de aprendizaje valiosos y persistentes que reducen de forma proactiva las vulnerabilidades en el código fuente.

Amplíe el aprendizaje en todos sus equipos

Integración con SCORM LMS

SCORM significa Modelo de referencia de objetos de contenido compartible y es un estándar internacional para los cursos electrónicos. Si su curso se publica en formato SCORM, puede estar seguro de que casi cualquier sistema de gestión del aprendizaje (LMS) lo reconocerá. Con SCORM, puede administrar fácilmente un entrenamiento de código seguro programa junto con tus otras plataformas de formación en un solo lugar.

Compruebe el nivel de competencia antes del código de envío

Conector Secure Code Warrior para flujos de trabajo de Okta ayuda a evitar que se introduzca código inseguro en su base de código con la potencia de una comprobación del nivel de seguridad que se puede integrar en su flujo. Cuando trabajas en bases de código, como en un repositorio de GitHub, puedes establecer las lecciones y evaluaciones necesarias como requisitos para programar en la base. Esto permite a tus líderes asegurarse de que cada desarrollador esté preparado para trabajar en la base de código correspondiente, lo que ayuda a mejorar la postura de seguridad de toda la organización.

Introduzca la seguridad en todo el ciclo de vida del desarrollo de software asegurándose de que cada desarrollador individual haya adquirido las habilidades de codificación segura necesarias para que se le conceda acceso al repositorio para confirmar el código. Esta integración garantizará que los desarrolladores conozcan las prácticas de seguridad más recientes a través de la atractiva plataforma de SCW y reducirá parte de la carga que supone la revisión manual del código, lo que permitirá a los ingenieros disponer de más funciones sin sacrificar la calidad.

Más información sobre Okta + SCW o consulta el Demostración aquí.

Soporte justo a tiempo al enviar código

SCW para GitHub permite el entrenamiento contextual dentro de los flujos de trabajo de GitHub ya sea en los archivos SARIF o directamente en los problemas y solicitudes de extracción en los que están trabajando. Esto permite a los desarrolladores acceder al conocimiento cuando más lo necesitan para poder publicar código de calidad con mayor rapidez. Esta integración no solo habilita un parche que a menudo se aplica sin comprender nada. Refuerza continuamente los patrones de codificación buenos y seguros para permitir un reconocimiento rápido del código vulnerable.

Más información sobre SCW+GitHub o consulta el Demostración

Guía de codificación segura y práctica integrada en GitLab incorpora enlaces de formación de gran relevancia para Secure Code Warrior en la sección de detalles de vulnerabilidad de los informes de vulnerabilidad. En última instancia, esto ayuda a reducir el intervalo de tiempo entre el aprendizaje y la aplicación de los conocimientos para garantizar su uso futuro al permitir esta integración. Por ejemplo, si los analizadores de vulnerabilidades detectaran una falsificación de solicitudes entre sitios (CSRF) en el código de la aplicación, los detalles de la vulnerabilidad se actualizarían con el enlace de formación correspondiente.

«Al ofrecer el amplio aprendizaje contextual de Secure Code Warrior sobre codificación segura en nuestra plataforma, permitiremos a los desarrolladores adoptar la seguridad como prioridad desde el principio y no solo ahorrarles tiempo, sino que también les ayudaremos a desarrollar nuevas habilidades». - Nima Badiey, vicepresidenta de GitLab

Obtenga más información acerca de SCW + GitLab

Integración de Synopsys Seeker incorpora recursos, vídeos y enlaces de formación de Secure Code Warrior a los hallazgos de vulnerabilidades en Seeker. Esto garantiza el cumplimiento de las normas y normativas del sector mediante un microaprendizaje que identifica y resuelve las vulnerabilidades mediante una guía de formación de fácil acceso en Seeker.

Más información sobre Synopsys + SCW

Ayuda para crear un ticket cuando lo necesites ahora

Deje de buscar fallas de seguridad y obtenga ayuda para solucionarlas con Secure Code Warrior para Jira. Los desarrolladores reciben formación contextual directamente desde su Jira Issue Tracker, lo que les permite acceder a los conocimientos cuando más los necesitan para poder publicar código de calidad con mayor rapidez. Secure Code Warrior para Jira detecta los detalles de estos problemas y brinda a los desarrolladores la oportunidad de aprender a solucionarlos accediendo a vídeos de formación específicos del entorno con el que estén familiarizados. Mediante el microaprendizaje contextual, los equipos de desarrollo pueden reducir las vulnerabilidades en toda la base de código y mantenerse al tanto de ellas mediante el seguimiento y la presentación de informes a través de Jira.

Obtenga más información acerca de SCW + Jira

Escriba código seguro a gran velocidad

Las integraciones tecnológicas de Secure Code Warrior permiten el microaprendizaje y una solución más rápida con orientación y soluciones confiables del sector para las vulnerabilidades comunes.

• Los enlaces de formación se adjuntan como comentarios en las publicaciones y solicitudes de cambios para que la guía sea fácilmente accesible cuando sea necesaria.

• El contenido es muy relevante y se obtiene en función de las referencias de la enumeración de debilidades comunes (CWE) o del Proyecto abierto de seguridad de aplicaciones web (OWASP).

• La amplia cobertura significa que los recursos de aprendizaje provienen de la colección líder mundial de formación en codificación segura.

Las vulnerabilidades comunes, muchas de las cuales se conocen desde hace décadas, siguen persistiendo en el SDLC debido a las medidas reactivas. Las herramientas de escaneo y las pruebas previas solo detectan el problema y, a menudo, cuando la aplicación ya está en producción. Son notoriamente lentas (sacan a la luz múltiples falsos positivos y negativos que requieren una revisión manual) y rara vez abordan la causa del problema o su origen.

Capacitar y capacitar a los desarrolladores con consejos de microaprendizaje y corrección dentro de sus flujos de trabajo les ayuda a detectar las debilidades de seguridad en las primeras etapas del proceso de desarrollo antes de que se vuelvan costosas o, lo que es peor, dejen vulnerabilidades que puedan explotarse más adelante. Las integraciones de Secure Code Warrior se adaptan a sus desarrolladores dondequiera que trabajen y no solo les ayudan a encontrar y corregir las vulnerabilidades con mayor rapidez, sino que también les ayudan a aprender con recursos confiables y a pequeñas instrucciones para mejorar sus habilidades y reforzar la seguridad como un componente fundamental del ciclo de vida del desarrollo de software.

¿Quiere obtener más información?

• Vea nuestros seminarios web sobre Product Talk para obtener información sobre todas nuestras interesantes integraciones en SCW
• Echa un vistazo a la demo de Okta
• Vea la demostración de GitHub
• Pruebe Secure Code Warrior de forma gratuita

Una serie de vídeos gratuitos de 12 semanas para ayudar a los desarrolladores a programar de forma segura con IA

Los asistentes de codificación de IA y los grandes modelos lingüísticos (LLM) están transformando la forma en que se crea el software. Prometen velocidad, flexibilidad e innovación, pero también introducen nuevos riesgos de seguridad que los desarrolladores no pueden darse el lujo de ignorar.

Por eso, Secure Code Warrior lanza una serie de vídeos introductorios sobre la seguridad de la AI/LLM de 12 semanas de duración gratuita en YouTube. Cada episodio breve se centra en la presentación de un riesgo o concepto clave de seguridad de la IA y la LLM que los desarrolladores deben conocer para adoptar de forma segura el desarrollo asistido por IA y evitar introducir vulnerabilidades en sus aplicaciones.

Mira el primer episodio ahora: Riesgos de la codificación de IA: peligros del uso de LLM

No te pierdas ningún episodio. Suscríbete en YouTube.

‍
Únase a nuestra comunidad de desarrolladores y líderes de seguridad: regístrate aquí para recibir los últimos vídeos, recursos y actualizaciones directamente en tu bandeja de entrada.

Por qué creamos esta serie

La codificación asistida por IA está reescribiendo las reglas del desarrollo de software. Herramientas como GitHub Copilot, Cursor y otras permiten a los desarrolladores publicar código más rápido que nunca, pero sin un conocimiento profundo de la seguridad de la IA, los equipos corren el riesgo de introducir vulnerabilidades ocultas y comportamientos inconsistentes que las pruebas tradicionales tal vez no detecten.

El desarrollo seguro en la era de la IA requiere primero tomar conciencia. Esta serie está diseñada para reducir el ruido y ofrecer a los desarrolladores una base básica sobre los conceptos de seguridad de IA y LLM para que puedan innovar con confianza sin comprometer la seguridad.

Qué esperar

Durante 12 semanas, exploraremos las oportunidades y los riesgos del desarrollo asistido por IA, que incluyen:

• Los beneficios y los peligros del uso de la IA y los LLM en la codificación
• La inyección rápida y cómo las entradas maliciosas manipulan las salidas de la IA
• Divulgación de información confidencial y protección de secretos en flujos de trabajo impulsados por IA
• Riesgos en la cadena de suministro al confiar en modelos y API de terceros
• Fugas rápidas del sistema, debilidades vectoriales y vulnerabilidades de recuperación
• Desafíos emergentes como la desinformación, la agencia excesiva y el consumo ilimitado
• ¡Y mucho más!

¿Quieres un lugar para darte un atracón o ponerte al día? Marque nuestro Hub de vídeo — lo actualizaremos con los últimos episodios y resúmenes.

Ve al Hub: Serie de vídeos de seguridad de AI/LLM: todos los episodios, actualizados semanalmente.

Cómo seguirlo

• Suscríbete en YouTube para ver todos los episodios a medida que se lanzan
• Únase a nuestra comunidad de desarrolladores y líderes de seguridad: regístrate aquí para recibir los últimos vídeos, recursos y actualizaciones directamente en tu bandeja de entrada.
• Marque el Blog de Video Hub para acceder rápidamente a todos los episodios
• Si desea profundizar más allá de estas lecciones introductorias, explore la colección completa de AI/LLM en la plataforma Secure Code Warrior o solicitar una demostración si aún no eres cliente.

Estableciendo el estándar para un desarrollo seguro asistido por IA

La IA está cambiando rápidamente la forma en que creamos software. Sin embargo, la innovación sin seguridad no es sostenible. Los desarrolladores necesitan una orientación práctica que dé prioridad a los desarrolladores para comprender los riesgos que conlleva la IA e implementar hábitos de codificación seguros y escalables.

Esta serie de vídeos gratuitos forma parte del compromiso de Secure Code Warrior de ayudar a la comunidad de desarrolladores a prosperar en esta nueva era. De nuestra página disponible al público Reglas de seguridad de la IA en GitHub a nuestra creciente colección de aprendizaje de AI/LLM, estamos equipando a los equipos con las herramientas y los conocimientos que necesitan para innovar de forma segura.