Una cultura de seguridad: cómo Sage creó su programa de defensores

Sage es una empresa multinacional británica de software empresarial que proporciona a las empresas software y servicios sencillos y fáciles de usar para nóminas, recursos humanos y finanzas. En 2017, era la segunda empresa tecnológica más grande del Reino Unido, el tercer proveedor mundial de software de planificación de recursos empresariales y el mayor proveedor para pequeñas empresas, con más de 6 millones de clientes en todo el mundo.

Situación

Antes de trabajar con Secure Code Warrior, Sage comenzó a diseñar su red de campeones de seguridad durante aproximadamente 10 años. A pesar de contar con una sólida red de desarrolladores centrados en la seguridad, la formación era esporádica y no estaba estructurada para centrarse en la reducción de riesgos.

Sage reconoció la importancia de dedicar tiempo a construir relaciones e integrar la seguridad de forma gradual con un enfoque flexible. El programa de Sage vinculó sus objetivos a la reducción de riesgos y al impacto material de dicho programa. Al poner a prueba el programa en determinadas unidades de negocio, se centraron en cómo medir la reducción de riesgos y comunicarla a la empresa para conseguir el apoyo de los desarrolladores y de la alta dirección.

Acción

Mads Howard, responsable de seguridad centrada en las personas en Sage, trabajó con los desarrolladores para comprender los perfiles de los campeones de seguridad. Se reunió con los desarrolladores de cada unidad de negocio y realizó entrevistas para entender qué les motiva, cómo prefieren aprender y qué limitaciones perciben en su trabajo. Ella y su equipo trabajaron para construir relaciones con los desarrolladores y sus jefes de equipo, haciendo hincapié en la importancia de la flexibilidad en su enfoque.

Mads destaca un enfoque basado en la construcción de relaciones,

“Dedicamos mucho tiempo a construir relaciones con los líderes de los equipos de desarrollo, los líderes de los equipos de ingeniería y los jefes de producto: las personas que controlan el tiempo dedicado a la formación durante los ciclos de sprint”.

Según Mads, también se trataba de ampliar su red de campeones de seguridad,

“La red de campeones de seguridad se ha considerado un control clave de ese programa. Por lo tanto, para que los productos avanzaran a través de este programa, teníamos que tomarnos muy en serio el papel de contar con alguien como campeón de seguridad y, además, proporcionarles una formación sólida en seguridad”.

El objetivo de los equipos de seguridad global de Sage era implementar un programa de control de seguridad que tuviera en cuenta las necesidades de aprendizaje de los desarrolladores en un entorno tecnológico complejo y elegir un socio que trabajara junto a sus herramientas de seguridad existentes para ayudar en la gestión de vulnerabilidades.

Era importante que la formación se considerara un aspecto fundamental de un programa de control de seguridad maduro. Se centraron en medir la reducción de riesgos mediante:

• Mejora de la puntuación de riesgo
• Antigüedad de las vulnerabilidades Reducción del registro de vulnerabilidades pendientes
• Tiempo de resolución
• Vulnerabilidades cerradas frente a vulnerabilidades abiertas
• Número de problemas por línea de código escrita por Sage (no de terceros)

Para Mads,

"La siguiente fase para Sage como empresa es demostrar que la mejora de las competencias a través de un programa de codificación segura integrado en los flujos de trabajo de los desarrolladores ofrece una reducción de riesgos cuantificable".

Resultados

Mads destacó la importancia de la asociación y la orientación que Secure Code Warrior proporcionó a ella y a su equipo,

“Sinceramente, diría que no habríamos podido llegar tan lejos ni construir un programa con este nivel de madurez en cuanto a los diferentes niveles o equipos de desarrollo en distintas tecnologías sin el apoyo de Secure Code Warrior”.

Una vez que Mads y su equipo completaron sus entrevistas y obtuvieron el apoyo de los desarrolladores, comenzó a implementar Secure Code Warrior como parte de un programa de cultura de seguridad más amplio.

Los resultados, según Mads, son:

«Sage cuenta ahora con más de 200 defensores de la seguridad inscritos en el programa. Si un defensor dedica 3,5 horas a la semana (o el 10% de su tiempo) a desarrollar sus habilidades, puede promover un programa de codificación segura, fomentar la formación continua y defender el valor que esto les aporta».

Con el respaldo de la alta dirección y objetivos cuantificables de reducción de riesgos, Mads pudo empezar a medir el éxito no solo por el número de personas en la plataforma y las horas de uso, sino también por el tiempo de corrección de vulnerabilidades, la antigüedad de estas y su comparación con las nuevas funciones creadas para los clientes, ofreciendo así una visión integral de la reducción de vulnerabilidades. Para un equipo, el impacto fue enorme: lograron una reducción del 82% en el tiempo medio de corrección de vulnerabilidades.

Sin embargo, lo que más importaba, añadió Howard, era lo intangible: el compromiso, la dedicación y la disposición de los equipos a participar en el programa.

Puntos clave

La experiencia de Sage subraya la relevancia de una formación en seguridad bien planificada y ejecutada, así como la importancia de un enfoque flexible e integrado; una lección valiosa para cualquier organización que aspire a un programa de codificación segura sólido. Según Mads, es fundamental recordar que colaborar con los desarrolladores, en lugar de trabajar contra ellos, es la clave para implementar un programa de control de seguridad exitoso e integrar la seguridad en la cultura de la empresa.

• Crear una cultura de seguridad no ocurre de la noche a la mañana. Es importante dedicar tiempo a construir relaciones, integrar la seguridad gradualmente y asignar los recursos necesarios para ello.
• Relacione todo con la reducción de riesgos y céntrese en el impacto real de un programa de codificación segura.
• Concéntrese en cómo medir esa reducción de riesgos para comunicarla a la empresa, de modo que tanto los desarrolladores como la alta dirección perciban el programa como eficaz y exitoso.

Para los desarrolladores que deseen convertirse en defensores de la seguridad, ella y su equipo ofrecen este consejo:

• Cree una red de contactos con personas interesadas en la seguridad y participe en conferencias y charlas. Dedique tiempo a aprender sobre los temas que le interesen.
• Tenga en cuenta que la cultura de una organización no cambia de la noche a la mañana; su desarrollo y maduración requieren tiempo.

‍