Hacia el oro: elevando los estándares de seguridad en el código de Paysafe

Paysafe ayuda a convertir las transacciones financieras en experiencias basadas en la confianza, y saben que ofrecer una plataforma segura y fluida que procesa más de 152 000 millones de dólares en volumen de transacciones anualizadas requiere mucho más que cumplir con los estándares básicos de cumplimiento. Durante los últimos cuatro años, Paysafe ha seguido impulsando un enfoque integral para la gestión de riesgos de los desarrolladores a través de su asociación con Secure Code Warrior, logrando que su programa de seguridad de aplicaciones demuestre un impacto positivo en las necesidades generales del negocio, incluyendo:

‍
El desafío: elevar los estándares de código seguro en toda la organización de Paysafe

Como proveedor multinacional de pagos en línea, Paysafe siempre ha considerado la codificación segura como una prioridad estratégica que va más allá del simple cumplimiento de los requisitos de PCI DSS. Aunque las sesiones de formación formal dirigidas por expertos y las evaluaciones de habilidades formaron parte de sus esfuerzos iniciales, el objetivo de Paysafe siempre ha sido ampliar continuamente el alcance y la escala de su iniciativa de codificación segura, garantizando un enfoque de primer nivel en la seguridad de las aplicaciones y asegurando que los ingenieros escriban código seguro desde el principio.

«Para nosotros, nunca se ha tratado solo de marcar una casilla para indicar que hemos proporcionado formación. Nuestro objetivo es mantener a nuestro personal al tanto de los avances continuos. Siempre nos esforzamos por ser mejores y hacer más. Queremos que los equipos de ingeniería y los de seguridad colaboren. Los equipos que pueden desarrollarse por sí mismos están mejor informados y diseñan un código superior», afirmó Boyan Hristov, socio de desarrollo de personas en Paysafe.

La visión de Paysafe era desplazar la seguridad hacia las etapas iniciales del desarrollo (shift left), formando ingenieros conscientes de la seguridad que integren prácticas de codificación segura en cada fase del ciclo de vida del desarrollo de software. Para respaldar esto, necesitaban un programa escalable, atractivo y continuo que no solo proporcionara evidencia de auditoría para fines de cumplimiento de PCI, sino que también impulsara un cambio cultural profundo y duradero. Esto incluyó experiencias de aprendizaje gamificadas, torneos regulares y formación continua para ayudar a involucrar a los desarrolladores y motivarlos a mantenerse a la vanguardia de las tendencias de seguridad de la industria.

La solución: un enfoque de vanguardia con Secure Code Warrior

Paysafe adoptó la plataforma de gestión de riesgos de desarrolladores de Secure Code Warrior para ayudar a escalar las prácticas de codificación segura, involucrar a los ingenieros e integrar la seguridad desde las primeras etapas del ciclo de vida de desarrollo. Su programa de "Campeones de Seguridad" ha crecido con el tiempo, y Secure Code Warrior desempeña un papel fundamental en la consecución de los objetivos de prevención de riesgos cibernéticos.

Paysafe permitió a los desarrolladores interactuar orgánicamente con la plataforma, fomentando actividades gamificadas como torneos con premios atractivos para lograr que se involucraran y se entusiasmaran. Cuando el programa se lanzó inicialmente, hicieron que algunas evaluaciones fueran obligatorias para ayudar a cumplir con los requisitos de cumplimiento de PCI y ofrecieron otros contenidos y actividades como opción.

A medida que el programa ganaba fuerza, el liderazgo proporcionó apoyo adicional, alineando aún más los objetivos de los equipos de desarrollo y seguridad de la información. Esto permitió al equipo de Paysafe llevar el programa al siguiente nivel e introducir programas de certificación más formales con indicadores clave de desempeño (KPI) e incentivos de éxito designados.

La siguiente fase del programa se centró en los temas del OWASP Top 10, estándar en la industria, con etapas de certificación que permiten a los desarrolladores avanzar a través de varios niveles de logro. Ahora, el programa ha alcanzado un nuevo nivel de escala y madurez, elevando los estándares básicos para todos los desarrolladores, desde empleados a tiempo completo hasta trabajadores temporales.

‍«Valoramos enormemente la asociación que hemos construido con SCW durante los últimos cuatro años. Juntos hemos podido ofrecer formación específica en seguridad de aplicaciones y fomentar relaciones más sólidas entre nuestros equipos de seguridad e ingeniería, basadas en un compromiso compartido de desarrollar código seguro desde el primer momento y lo antes posible en el ciclo de vida de desarrollo de software (SDLC)», afirma Alan Osborne, director de seguridad de la información (CISO) de Paysafe.

Con el apoyo continuo y la alineación del CISO, el CTO y los líderes ejecutivos de ingeniería, Paysafe se ha asociado con Secure Code Warrior para hacer evolucionar su programa constantemente. Hoy en día, el programa está estrechamente alineado con las necesidades del negocio, proporciona resultados tangibles y sigue siendo relevante y atractivo para los equipos internos.

Resultados: un nuevo estándar para el código seguro en toda la organización

Las iniciativas de seguridad de aplicaciones de Paysafe han mejorado desde el inicio de su trayectoria hace cuatro años. A través de la asociación con Secure Code Warrior, Paysafe ha demostrado el tremendo impacto que un enfoque integral de la gestión de riesgos de los desarrolladores puede tener en toda la organización.

El análisis de Paysafe sobre los datos de escaneo SAST mostró que las aplicaciones desarrolladas por equipos formados con Secure Code Warrior presentaron una reducción notable en las vulnerabilidades detectadas durante los escaneos en las primeras etapas de desarrollo. El número de vulnerabilidades encontradas en el primer escaneo disminuyó aún más en los equipos donde los desarrolladores estaban más activamente involucrados con la plataforma SCW.

El equipo con el mayor nivel de actividad y compromiso en Secure Code Warrior experimentó una reducción significativa, año tras año, en las vulnerabilidades encontradas durante las fases iniciales de desarrollo, lo que destaca el valor añadido de la formación continua basada en habilidades para reforzar los hábitos de codificación segura. Crear código seguro desde el principio ahorró a su equipo y a otros equipos a lo largo del SDLC una cantidad significativa de tiempo. Se ahorraron miles de horas de desarrollo al eliminar la necesidad de identificar, registrar y corregir vulnerabilidades de código, previniéndolas durante el desarrollo inicial. Esto resultó en una mejora del 45% en la productividad de los desarrolladores, ayudando a demostrar los beneficios de la capacitación en código seguro y mejorando el proceso de desarrollo diario. Un beneficio mutuo tanto para los equipos de ingeniería como para los de seguridad de aplicaciones.

La dedicación de Paysafe al código seguro le ha permitido destacar y alcanzar el cuarto puesto en la puntuación SCW Trust Score^®  dentro del índice de referencia de Banca y Servicios Financieros. Aunque es un logro del que se sienten orgullosos, el compromiso de Paysafe con las iniciativas de código seguro no termina ahí. Animados por los resultados obtenidos a través de su colaboración con Secure Code Warrior, Paysafe busca elevar aún más el programa. 

«Secure Code Warrior nos ha ayudado a aumentar la productividad de los desarrolladores, acelerar nuestra capacidad para lanzar productos y mejoras al mercado, y reducir significativamente los costes y riesgos a largo plazo», afirma Alan Osborne, director de seguridad de la información de Paysafe. «Hemos demostrado que la programación segura, impulsada por una formación mejorada para los desarrolladores, no es solo algo "deseable", sino una inversión probada que genera un ROI real al tiempo que refuerza las habilidades, la experiencia y las capacidades de nuestros desarrolladores».

A continuación, Paysafe pretende seguir operativizando sus estándares de seguridad incorporando medidas adicionales de gobernanza y gestión de riesgos en sus procesos, con SCW Trust Agent profundizando en su larga colaboración con Secure Code Warrior y demostrando su compromiso con la excelencia en ciberseguridad.