Cómo Thales implementó la seguridad impulsada por el desarrollador

Antecedentes

Thales Group es una multinacional francesa que diseña, desarrolla y fabrica sistemas eléctricos, así como dispositivos y equipos para los sectores aeroespacial, de defensa, transporte y seguridad. Viswanath S. Chirravuri es el Director Técnico de Seguridad de Software en Thales. Viswanath, o Vis, comenzó su carrera en seguridad como programador. Actualmente es un líder sénior de seguridad en Thales, con más de 18 años de experiencia en el sector y más de 30 certificaciones, incluidas CISSP, PMP y GSE. Ha formado a más de 3000 profesionales del software en más de 18 países. Además, Vis ha ganado más de 10 monedas de desafío SANS en torneos internacionales de ciberseguridad (como Netwars) y es miembro activo del Consejo Asesor de GIAC. Hablamos con Vis para conocer cómo alineó a las personas, los procesos y la tecnología para desarrollar un programa exitoso de aprendizaje de código seguro en Thales.

Situación

Cuando Vis comenzó en Thales, asesoró a las unidades de negocio para que analizaran el origen de las vulnerabilidades descubiertas mediante pruebas de penetración como una posible solución para reducir la acumulación de deuda técnica. El equipo de seguridad de aplicaciones utilizaba 7 proveedores diferentes para consolidar su postura de seguridad, desde herramientas IAST/DAST hasta herramientas de pruebas de penetración. Vis quería comprender las tendencias del mercado y gestionar las amenazas de forma escalable para desarrollar estrategias de mitigación mediante una sólida integración entre procesos y tecnología. Esto significaba pasar de un enfoque basado puramente en herramientas a una estrategia con un fuerte componente de aprendizaje. Observó que muchos desarrolladores no tenían formación ni habilidades en seguridad. Su enfoque inicial fue ofrecer formación presencial sobre temas como el OWASP Top 10, pero pronto se dio cuenta de que esto no sería escalable debido a los viajes necesarios y a la necesidad de llegar a miles de desarrolladores en todo el mundo. Vis señaló lo siguiente:

«Siempre habrá un desequilibrio en la proporción entre seguridad y desarrollo. Incluso si tuviera una proporción de 1:1, no podría mantenerlos comprometidos todo el tiempo. Mantener a nuestros desarrolladores al día sobre nuevos vectores de ataque, mejores prácticas, nuevos lenguajes y vulnerabilidades recién descubiertas significaba que debíamos promover el autoaprendizaje para que pudieran avanzar a su propio ritmo. Si necesitaban ayuda, yo podía ofrecérsela, pero me di cuenta de que no podía ser la persona que les enseñara a solucionar cada vulnerabilidad que encontraran».

Al principio, hubo resistencia por parte de los gerentes de desarrollo sobre el tiempo que los desarrolladores tendrían que dedicar al aprendizaje de código seguro, reconociendo que muchos empezaban desde cero. Vis necesitaba gestionar la percepción de que el compromiso con el aprendizaje de código seguro podría interrumpir los ciclos de lanzamiento de software o ralentizar los sprints críticos. Necesitaba encontrar una forma de motivar a la organización para dedicar tiempo al aprendizaje ágil de código seguro. Vis adoptó una actitud centrada en las personas para abordar las vulnerabilidades desde su origen: «La gente suele decir que la seguridad resta tiempo al desarrollo. Para mí, si desarrollas algo y no es seguro, fue una pérdida de tiempo desde el principio. Siempre se debe desarrollar software de forma segura para ahorrarse el tiempo de corregir vulnerabilidades que podrían haberse evitado fácilmente. Todos deberíamos tener el objetivo común de entregar código fiable».

Acción

Vis tenía dos objetivos principales: asegurar el software y aumentar la concienciación sobre seguridad en los equipos de desarrollo de Thales. Era fundamental implementar un programa que permitiera a los desarrolladores ser independientes y formarse a su propio ritmo. La estrategia de Vis fue construir una comunidad de seguridad con el tiempo, vinculando la codificación segura con las políticas corporativas y desarrollando un mandato para el aprendizaje de código seguro en la organización. Al fomentar una cultura de comunidad que conectara a desarrolladores, evaluadores, arquitectos e ingenieros, observó un efecto multiplicador de motivación. Surgieron defensores de la seguridad apasionados por su trabajo que ayudaron a difundir las prácticas de codificación segura por toda la organización. Vis evaluó más de una docena de proveedores de formación en seguridad y se convirtió en cliente de SCW en 2019. Para Thales, fue una gran ventaja contar con un proveedor que cubriera todos los lenguajes y marcos de trabajo de su entorno en lugar de una solución fragmentada. Vis se apoyó en el gran volumen de contenido de Secure Code Warrior para crear formación y aprendizaje a ritmo propio para los desarrolladores:

«El OWASP Top 10 no son solo diez cosas que debes saber. La profundidad y diversidad de las vulnerabilidades cubiertas por OWASP, combinadas con la gran cantidad de lenguajes de programación, pueden ser abrumadoras; la amplia gama de desafíos y la cobertura que tenemos fueron factores clave para elegir SCW. Siempre añaden cosas nuevas. La profundidad, la diversidad de temas, el contenido actualizado y el enfoque en los principios de diseño de código seguro realmente distinguen a SCW. Con ellos, no es una formación de una sola vez, sino que obtuvimos la oportunidad de construir un programa continuo».

Vis y su equipo estructuraron cuatro niveles para el despliegue del programa de aprendizaje de código seguro, con diferentes hitos para cada rol de ingeniería:

Es importante destacar que SCW se convirtió en la fuente de verdad para las correcciones de vulnerabilidades. En lugar de depender de búsquedas en Google que podrían llevar a errores, Vis publicó directrices tanto del equipo de AppSec como de la biblioteca de contenidos de SCW, para que los desarrolladores pudieran consultar una fuente fiable y auténtica para corregir vulnerabilidades en el código. Según Vis:

«Los desarrolladores no deberían decidir libremente cómo corregir una vulnerabilidad y, potencialmente, introducir una nueva en el proceso. Integramos los vídeos de SCW en nuestro LMS mediante la integración SCORM de SCW para asegurarnos de que los desarrolladores aprendieran a corregir la vulnerabilidad de la manera correcta. Esto también nos permitió reconocer a los desarrolladores que entregaban software seguro. Les pedimos que alcancen cierto nivel de codificación segura y podemos realizar un seguimiento a través de las vulnerabilidades que resuelven y no vuelven a introducir. De esa manera, su arduo trabajo es reconocido y valorado en la empresa».

Resultados

Vis y su equipo publican un boletín mensual de código seguro donde reconocen al mejor estudiante de la empresa. Utilizan SCW para analizar las puntuaciones de evaluación, la participación en torneos y los desafíos realizados para amplificar ese logro. Esto motiva a otros desarrolladores a aprender también. Los KPI que estableció inicialmente se centraron en reducir el número total de vulnerabilidades durante 2 años. Tras implementar SCW, observó una tendencia a la baja. Estas vulnerabilidades no se vuelven a introducir a nivel de código fuente. Vis lo expresa así:

«Los KPI que presentamos a nuestra dirección reflejan la acertada elección que hicimos. Estamos orgullosos de contar con una formación en código seguro que aporta confianza empresarial a nuestros clientes. Somos reconocidos por nuestro programa integral de formación en código seguro y respetados por nuestros clientes y colegas. Aporta mucho valor a la empresa tener un programa como este».

Conclusiones clave

Vis reconoció que las personas, los procesos y la tecnología tienen un papel que desempeñar en cualquier iniciativa de seguridad. Al centrarse en la seguridad del software, el conocimiento de los desarrolladores y el cumplimiento normativo, es posible crear un programa de aprendizaje ágil de código seguro que reduzca las vulnerabilidades en el código fuente con el tiempo. Vis ofrece estas recomendaciones a los profesionales de su campo que buscan desarrollar habilidades de seguridad en sus equipos de desarrollo.