Crear una experiencia de certificación de seguridad revolucionaria

Cómo una institución financiera de primer nivel creó una experiencia de certificación de seguridad revolucionaria

¿Podría un juego ser la clave para ganarse a los desarrolladores en materia de cumplimiento de seguridad?

Con millones de clientes, una sólida trayectoria como institución financiera global de confianza y un compromiso con la innovación y la transformación digital, este cliente bancario de primer nivel utilizó Secure Code Warrior como parte de una experiencia educativa verdaderamente única dentro de su organización.

Crearon una iniciativa de formación tecnológica interna, destinada a ayudar a miles de empleados a adquirir habilidades prácticas y de vanguardia en diversas disciplinas, como el aprendizaje automático y la ciberseguridad.

El sector de los servicios financieros atraviesa actualmente un periodo de transformación rápida y radical, en el que muchas empresas están cambiando su oferta de servicios para adaptarse al vertiginoso desarrollo de las tecnologías emergentes. En esencia, se están convirtiendo en empresas tecnológicas de pleno derecho con un enfoque financiero. El enfoque de nuestro cliente no solo les ha permitido seguir el ritmo de esta tendencia, sino también lograr resultados mejores (y más inteligentes) que la mayoría. Han invertido enormemente en su propio personal para mantenerse al día en campos tan vitales y emergentes, y como resultado, están a la vanguardia de la innovación y la experiencia en FinTech.

Para ejecutar este programa con éxito, nuestro cliente y el equipo en general vieron la necesidad de garantizar que sus desarrolladores estuvieran plenamente versados en codificación segura, con un alto nivel de concienciación sobre ciberseguridad. El responsable de concienciación sobre seguridad buscó involucrar al equipo de forma positiva, entusiasmándolos con la seguridad desde el principio.

El desafío

El responsable de concienciación sobre seguridad de nuestro cliente cuenta con una larga trayectoria en el sector, lo que le ha permitido observar en primera fila el crecimiento explosivo de la adopción de aplicaciones en línea por parte de empresas de todos los tamaños, así como el rápido aumento de los equipos centrados en lo digital. Ha visto de primera mano el inevitable aislamiento de la experiencia que puede seguir a una hiper-expansión de este tipo y, en última instancia, esto ha sido un problema para muchos equipos de seguridad y desarrollo: "En las primeras etapas de la adopción en línea, los desarrolladores pensaban en la seguridad y la aplicaban a sus compilaciones de software. Sin embargo, en un entorno cada vez más aislado, un equipo trabaja, por ejemplo, en un sistema operativo que luego se envía a un equipo de seguridad para su análisis, y a menudo vuelve con un montón de marcas rojas y notas sobre cómo arreglarlo. Inevitablemente se asegura, pero los hallazgos y el conocimiento desaparecen en un agujero negro, solo para que ocurra una y otra vez", afirmó.

Se refirió al "desafío humano" al hablar de los problemas de seguridad que ve con frecuencia en su puesto:

A los ingenieros de software se les paga por crear funciones, y la seguridad puede verse como un gran impedimento para el desarrollo ágil. Están ocupados con sus propias prioridades y a menudo ven el aspecto de la seguridad como el trabajo de otra persona. En el extremo más radical, algunos opinan: "Bueno, todavía no ha pasado nada. ¿Por qué nos preocupa tanto asegurar este software y por qué interrumpe mi ciclo de desarrollo?". En un mundo de creciente digitalización, esta actitud tiene que cambiar. En lugar de verla como una molestia, debemos inculcar la importancia de compartir la responsabilidad de la seguridad del software.

Con la creciente dependencia del desarrollo para impulsar nuestras vidas digitales, vio lo que se avecinaba: como sociedad, somos blancos fáciles para los hackers en un campo de juego cada vez más injusto para los buenos. Los desarrolladores necesitaban tomarse la seguridad en serio, desarrollar un gran interés y convertirse en la primera línea de defensa de su organización (y, de hecho, de cualquier empresa tecnológica seria).

Así que se propuso darle la vuelta a la formación tradicional.

La implementación

El responsable de concienciación sobre seguridad impulsó la filosofía general de nuestro cliente de establecer un nuevo estándar en la calidad del software. Concretamente, la idea de que el nivel de seguridad inherente a una pieza de software es un indicador de su calidad general y de la viabilidad del producto. Tal y como están las cosas hoy en día, la seguridad no está estrechamente ligada a las medidas de calidad en la mayoría de los casos, y ciertamente no de la misma manera que se consideran la interfaz de usuario, la velocidad y la facilidad de servicio al evaluar el software.

"La seguridad debe convertirse en un requisito innegociable para una alta calidad del software", afirmó. "Se correlaciona con la fiabilidad, que es una gran preocupación para la mayoría de las empresas, especialmente aquellas con un modelo de negocio en rápida transformación y digitalización".

Dado que los costes de corregir vulnerabilidades en el código comprometido son hasta treinta veces más caros que si se hubiera escrito de forma segura desde el principio, se ha convertido en un objetivo clave "integrar" una cultura de seguridad viable en sus equipos de desarrollo. Al fin y al cabo, hay ciertas vulnerabilidades que las herramientas de escaneo no detectan, y la solución más eficaz para combatirlas es un equipo de desarrollo consciente de la seguridad.

El responsable de concienciación sobre seguridad detalló su experiencia con otras formas de formación, muchas de las cuales todavía se utilizan habitualmente para "convencer" y preparar a los desarrolladores para abordar las crecientes preocupaciones de seguridad: "Cuando se deja que los desarrolladores aprendan sobre seguridad a través de un montón de trabajo basado en la teoría, o peor aún: formación de cumplimiento poco frecuente de 'marcar la casilla y seguir adelante', simplemente no hay suficiente aprendizaje práctico o tiempo dedicado a generar un impacto duradero. Estaba decidido a cambiar esto aplicando una solución más eficaz", dijo.

Los beneficios de un alto compromiso

Siguiendo el consejo de un experto responsable de concienciación sobre seguridad y su equipo, nuestro cliente implementó un programa de certificación a medida, del cual la plataforma Secure Code Warrior es una parte integral.

Su investigación sobre una solución de formación para desarrolladores más eficaz y atractiva les llevó a convertirse en uno de los primeros en adoptar la gamificación, maximizando su potencia y potencial con su propio plan de estudios estructurado y a gran escala.

«Era vital que convirtiéramos la formación de alta participación en parte de nuestra cultura y que lográramos que los estudiantes volvieran para seguir aprendiendo. El sistema es un enfoque deliberado para desarrollar conocimientos, habilidades y un sentido de valor hacia la seguridad, lo que finalmente resulta en que trabajen con código fuente real que utilizan a diario», afirmó.

Al garantizar que la solución fuera integral, cubriendo tanto las mejores prácticas de seguridad estándar de la industria como las directrices internas, nuestro cliente pudo movilizar la formación rápidamente, impactando positivamente en la seguridad del software dentro de la organización.

El resultado

El programa de certificación de nuestro cliente es un formato de formación exitoso y en constante evolución, perfecto para iniciativas vanguardistas como sus centros internos de educación tecnológica. El curso exhaustivo, implementado de una manera tan divertida, interactiva e incentivada, asegura que todos los estudiantes tengan la mejor oportunidad de retener el conocimiento, además del apoyo para desarrollar verdaderamente una cultura y mentalidad centradas en la seguridad. Si bien la gamificación hace que el aprendizaje sea más ameno, la practicidad fundamental del programa se mantuvo: dotar a los desarrolladores de las habilidades necesarias para identificar y frustrar vulnerabilidades de alto riesgo en sus aplicaciones.

Es importante señalar que la formación no era obligatoria, sino que requería un elemento de motivación por parte del desarrollador. Aunque esto fue indudablemente apoyado mediante la oferta de incentivos y recompensas, la adopción del programa por parte del equipo en general fue el resultado de un creciente apoyo y aprobación del proceso por parte del equipo.

Además de seguir desarrollando competencias vitales, el programa también ayuda a cerrar las brechas en la relación entre los equipos de desarrollo y AppSec, logrando que estén en sintonía, hablen el mismo idioma y formen un interés mutuo.

Lejos de ser un simple trámite de cumplimiento, este programa se ha convertido en un pilar fundamental para el apoyo continuo al valioso personal y su carrera, proporcionando una mejora de habilidades medible en una de las industrias de mayor crecimiento del planeta: la ciberseguridad. Son programas de formación como este los que se convertirán en el punto de referencia para mejorar la seguridad del software desde el principio.

Datos rápidos

• Ha habido una respuesta sin precedentes por parte de los estudiantes que han completado la certificación y han expresado su interés en convertirse en instructores. Este evangelismo desde la base es un factor poderoso para difundir el apoyo boca a boca, la adopción y la concienciación general sobre la seguridad.
• Nuestro cliente está en proceso de implementar el programa para más de 2500 desarrolladores dentro de su organización, con más del 90% ya activos en el sistema.
• Utilizan esta formación para ayudar al personal en su desarrollo profesional general, asegurándose de que estén equipados con el conocimiento necesario para utilizar sus habilidades en un espacio tecnológico en constante cambio.