Kamer van Koophandel: Seguridad a escala impulsada por los desarrolladores

Puntos clave

La Cámara de Comercio de los Países Bajos (KVK) ha creado un programa de seguridad moderno y centrado en el desarrollador que destaca como modelo para el sector. En colaboración con Secure Code Warrior, KVK ha integrado prácticas de codificación segura en los flujos de trabajo de desarrollo diario, ha establecido un programa de certificación estructurado adoptado en toda la organización y ha logrado una reducción de riesgos medible que demuestra el poder de un enfoque de seguridad proactivo e impulsado por los desarrolladores. Los aspectos más destacados incluyen:

"Ya contábamos con una base de seguridad sólida, pero queríamos ir más allá y hacer que la seguridad fuera algo natural para cada desarrollador. Por eso nos asociamos con Secure Code Warrior y convertimos la formación en la piedra angular de nuestra estrategia, dotando a nuestros equipos de las herramientas necesarias para crear software seguro con confianza desde el principio".

– Sebastiaan Rijnbout, Product Owner de Servicios de Desarrollo

‍El desafío

Crear una mentalidad de seguridad centrada en el desarrollador

KVK, la Cámara de Comercio de los Países Bajos, desempeña un papel fundamental en el apoyo a los emprendedores de todo el país. Como organismo oficial responsable del registro de empresas, entidades legales y organizaciones que realizan actividades económicas, KVK fomenta la transparencia y refuerza la integridad del ecosistema empresarial. Más allá del registro, KVK ofrece información y asesoramiento valiosos sobre temas empresariales clave, desde orientación legal y normativa hasta perspectivas sobre financiación, novedades actuales y ciberseguridad. Al ofrecer datos fiables y colaborar con las partes interesadas económicas tanto nacionales como regionales, KVK ayuda a crear un entorno seguro y bien informado para que los emprendedores prosperen. Cuando KVK inició su camino para mejorar aún más la seguridad de las aplicaciones, ya contaba con medidas de seguridad fundamentales, incluidas las pruebas de penetración. Aunque estas medidas proporcionaron información valiosa, KVK vio la oportunidad de escalar la seguridad en etapas más tempranas del ciclo de vida del desarrollo y capacitar a los desarrolladores para que asumieran la responsabilidad de la reducción de riesgos.

En 2022, KVK seleccionó a Secure Code Warrior y lanzó su primera iniciativa de formación en codificación segura con un enfoque centrado en el desarrollador. Lo que comenzó como un esfuerzo de base para involucrar a los desarrolladores evolucionó rápidamente hacia un programa interfuncional respaldado por la dirección y la oficina del CISO, transformando el desarrollo seguro de una aspiración en un estándar organizativo.

La solución

Construir una cultura, no solo un programa

Con el patrocinio del CISO, el equipo del Ciclo de Vida de Desarrollo de Software Seguro de KVK se asoció con Secure Code Warrior para definir una estrategia a nivel de toda la organización y crear un programa de certificación obligatorio basado en roles que:

KVK aprovechó la flexibilidad de la plataforma de Secure Code Warrior para crear un programa de certificación adaptado a sus necesidades organizativas únicas. Al asignar programas de formación a roles específicos, los nuevos empleados comienzan con una formación de concienciación sobre el OWASP Top 10, mientras que los ingenieros sénior abordan ejercicios avanzados basados en escenarios reales de flujo de trabajo. Los desarrolladores de nivel "Champion" asesoran a sus compañeros, fomentan el intercambio de conocimientos y ayudan a escalar la experiencia en seguridad en todos los equipos. El programa de KVK incluye una recertificación anual para garantizar que las habilidades se mantengan actualizadas, con una implementación completa en curso a medida que la organización continúa ampliando su cobertura y adaptándose a nuevos riesgos, como las vulnerabilidades impulsadas por IA y las amenazas emergentes.

“Integrar las certificaciones en nuestro proceso de desarrollo fue un punto de inflexión”, afirmó Sebastiaan. “Demostró a cada desarrollador que la seguridad es una prioridad compartida y una parte natural de cómo creamos software. Con Secure Code Warrior, el aprendizaje no es un evento único, es continuo, contextual y está perfectamente integrado en nuestra cultura de desarrollo diaria”.

El resultado: la formación resultó relevante, alcanzable y directamente vinculada al trabajo diario de los desarrolladores. A principios de 2024, el 90% de los desarrolladores de KVK habían obtenido la certificación de nivel Foundation — un hito que validó tanto la estrategia como el cambio cultural hacia una seguridad liderada por los desarrolladores.

Los resultados

Impacto real, progreso medible

La inversión de KVK en desarrollo seguro con Secure Code Warrior ha dado resultados contundentes:

KVK aprovecha SCW Trust Score®, un punto de referencia que mide el compromiso de una organización con las prácticas de codificación segura basándose en métricas de seguridad clave. En seis meses, el Trust Score de KVK aumentó significativamente, situándolos en el 12% superior de las organizaciones a nivel mundial.

«El SCW Trust Score nos ofrece una visibilidad clara y basada en datos sobre dónde residen nuestros riesgos y cómo enfocar la formación donde más importa», explicó Sebastiaan. «No es solo un punto de referencia, es una hoja de ruta que nos ayuda a demostrar el progreso y el valor comercial real del desarrollo seguro».

KVK, en colaboración con Secure Code Warrior, ha establecido un nuevo estándar para la seguridad impulsada por los desarrolladores. Al unir un liderazgo sólido, una estrategia clara y resultados medibles, han transformado el desarrollo seguro en una capacidad empresarial fundamental que cumple con los requisitos de cumplimiento y sirve de modelo para el sector. Gracias a que los informes de SCW se alinean con las normas de certificación ISO 27001/27002, KVK también puede validar la eficacia de su programa durante las auditorías, demostrando que el desarrollo seguro no es solo una recomendación, sino un requisito.

KVK planea ampliar su programa de certificación más allá de la ingeniería para incluir a probadores de control de calidad, DevOps y desarrolladores de código bajo, reforzando que la seguridad es una responsabilidad compartida en toda la organización. También planean introducir el contenido de SCW centrado en IA/LLM para ayudar a los desarrolladores a programar de forma segura junto a herramientas como GitHub Copilot, y están trabajando con los Servicios Profesionales de SCW para optimizar el despliegue de Trust Agent. Estos esfuerzos demuestran lo que es posible cuando la codificación segura se convierte en una responsabilidad compartida, no solo para los desarrolladores, sino para toda la organización.

«Nuestra asociación con Secure Code Warrior ha sido fluida y productiva», afirmó Sebastiaan. «Nos ayudaron a implementar y mejorar nuestro programa de formación, lo que se tradujo en una reducción medible del riesgo y en una cultura de desarrollo seguro más sólida».

Con Secure Code Warrior, KVK ha sentado unas bases sólidas para el desarrollo seguro, y esto es solo el principio.