Insights from experts shaping secure development

Parece desconcertante que la mayoría de los desarrolladores que trabajan en el código que impulsa la infraestructura crítica, los automóviles, la tecnología médica y todo lo demás, lo hagan sin verificar primero su destreza en materia de seguridad. Por otro lado, ¿por qué los desarrolladores expertos en seguridad, que han demostrado en repetidas ocasiones que saben cómo crear cosas de forma segura, tienen que hacer cola con todos los demás en un proceso de desarrollo cada vez más lento debido a las barreras de seguridad?

El costo de abordar las vulnerabilidades del código y la deuda técnica es alto y continúa reduciendo la productividad de los equipos de desarrollo de software. Descubra cómo la implementación de una plataforma de aprendizaje ágil para el código seguro puede capacitar de manera más eficaz a los desarrolladores en técnicas de codificación segura para corregir las vulnerabilidades de forma más rápida y temprana en el SDLC y, en primer lugar, evitarlas, lo que supone una importante reducción de costes. En este blog se describe cómo pensar en el impacto financiero y el ROI de una plataforma de aprendizaje ágil.

Anunciamos el cierre de nuestra ronda de financiación de la Serie C, tras haber recaudado 50 millones de dólares para la siguiente fase de nuestra misión: ayudar a más organizaciones pioneras a aprovechar el poder de su grupo de desarrollo para frustrar las vulnerabilidades comunes.

The recently released National Cybersecurity Strategy signals the need for a seismic cultural shift for most companies, with the most glaring recommendation coming in the form of security accountability falling primarily on software vendors. This is a positive step, though it is sure to cause teething problems, especially as many organizations struggle to accurately assess their security maturity across the board, particularly among the development cohort.

Descubra cómo se puede integrar una plataforma de aprendizaje ágil para código seguro en los flujos de trabajo y las herramientas de los desarrolladores, y comience a crear una cultura de aprendizaje de código seguro.

A principios de este año, el Consejo de Normas de Seguridad de la PCI presentó la versión 4.0 de su Norma de Seguridad de Datos para la Industria de las Tarjetas de Pago (PCI DSS). Si bien las organizaciones no necesitarán cumplir plenamente con la tecnología 4.0 hasta marzo de 2025, esta actualización es la más transformadora hasta la fecha y requerirá que la mayoría de las empresas evalúen (y probablemente actualicen) los complejos procesos de seguridad y los elementos de su oferta tecnológica. Esto se suma a la implementación de una formación de concienciación en materia de seguridad basada en funciones y una educación regular sobre codificación segura para desarrolladores.

Descubra cómo una plataforma de aprendizaje ágil para código seguro mejora las habilidades de los desarrolladores, reduce el riesgo y reduce la deuda técnica con el tiempo al empezar de la izquierda en el SDLC.

Al ayudar a definir las responsabilidades de nuestras aplicaciones y software dentro de una jerarquía estricta, y al hacer cumplir esas políticas con los mínimos privilegios, podemos asegurarnos de que nuestras aplicaciones y software también sobrevivan y prosperen a pesar del panorama de amenazas que se les presenta.

La Estrategia Nacional de Ciberseguridad de CISA representa la mejor oportunidad que tenemos para elevar los estándares de software en todos los ámbitos y, finalmente, marcar el comienzo de una nueva era de desarrolladores expertos en seguridad.

El 20 de marzo de 2023, Spring Security Advisories publicó una entrada de blog en la que hacía referencia a una vulnerabilidad descubierta internamente, la CVE-2023-20860. No se reveló información detallada, excepto que se trataba de un problema de control de acceso relacionado con el uso de `MvcMatchers`. Los desarrolladores de Spring han solucionado el problema y se recomienda actualizar la versión. Como la seguridad es nuestro principal objetivo en Secure Code Warrior, hemos decidido profundizar en esta vulnerabilidad de MVCRequestMatchers y averiguar dónde reside el problema principal.

Preguntas y respuestas de CyberNews con Pieter Danhieux, director ejecutivo y cofundador de Secure Code Warrior.

Una de las mayores brechas en el ciclo de vida del desarrollo de software es la falta de tiempo para que los desarrolladores aprendan a proteger su código desde el principio. Los desarrolladores pierden incontables horas reelaborando y solucionando problemas, lo que se traduce en millones de dólares en costes de oportunidad perdidos. Descubra cómo la codificación rápida y segura puede ayudar a cerrar estas brechas y acelerar la productividad.

Novedades en Secure Code Warrior: Experimente nuevas formas de administrar los cursos y explorar contenido adicional.

La llegada del favorito digital del momento, el metaverso, añade una nueva y vasta superficie de ataque tanto para las vulnerabilidades a nivel de código como para la ingeniería social. Y simplemente no estamos preparados para la batalla en este nuevo campo de juego que se nutre de humo y espejos.

El costo de abordar el código inseguro y la consiguiente deuda técnica es uno de los mayores obstáculos a los que se enfrenta la tecnología en la actualidad. Descubra cómo la implementación de un programa de formación sobre código seguro y escalable ayuda a reducir la deuda técnica al abordar los patrones de codificación deficientes y detectar las vulnerabilidades en las primeras etapas del ciclo de desarrollo del software.

La percepción de lo que constituye el acto de codificar de forma segura es objeto de debate. Según una investigación reciente en colaboración con Evans Data, este sentimiento se reveló en blanco sobre negro. La encuesta sobre el estado de la seguridad impulsada por los desarrolladores de 2022 profundiza en las principales ideas y experiencias de 1200 desarrolladores activos, y arroja luz sobre sus actitudes y desafíos en el ámbito de la seguridad.

Learn how Coding Labs is like a personal trainer for developers- utilizing interactive, hands-on modules and intuitive feedback within a convenient in-browser IDE to help developers go from learning to doing faster than ever before.

Esta semana celebramos oficialmente los ocho años de Secure Code Warrior. Por un lado, eso es 350 veces la duración de la misión del Apolo 11, lo que equivale a 45 000 partidos de fútbol o a jugar a Super Mario Odyssey 5696 veces hasta el final. Por otro lado, es solo una trigésima parte de la esperanza de vida de una tortuga gigante (250 años, si te lo estás preguntando). En el mundo de una empresa emergente de alto crecimiento, representa un viaje de muchos giros, lecciones y logros, muchos de los cuales eran inimaginables cuando estábamos elaborando nuestro plan de negocios por primera vez.

En Secure Code Warrior, innovamos constantemente para ayudar a equipar a los desarrolladores y las organizaciones con las habilidades adecuadas para abordar los desafíos de seguridad en constante cambio de la actualidad. Hemos recopilado las principales funciones y actualizaciones de nuestra plataforma, así como los recursos y las directrices publicados este año, para ayudar a su organización a proteger su software mediante una seguridad impulsada por los desarrolladores al inicio del ciclo de desarrollo del software.

Todo el mundo quiere obtener un buen retorno de su inversión cuando se trata de invertir en su paquete tecnológico o en programas de formación adicionales, pero cuando se trata de seguridad, hay que jugar a largo plazo que vaya más allá del simple cálculo del ROI. Descubra cómo invertir en una seguridad impulsada por los desarrolladores no solo permitirá ahorrar en lo que respecta a las costosas brechas de seguridad, la pérdida de productividad y la deuda tecnológica acumulada, sino que también creará una estrategia proactiva y rentable para mantenerse a la vanguardia del panorama actual de amenazas.

En respuesta a las principales brechas de seguridad, como la campaña de SolarWinds, que utilizó un proceso de actualización de software para infectar a más de 18 000 usuarios del popular software de gestión Orion, incluidas muchas de las principales empresas y agencias gubernamentales, hay un creciente impulso en favor de iniciativas de seguridad más eficaces dirigidas por los desarrolladores. Las organizaciones de todos los tamaños están empezando a cuestionar su «cadena de suministro de software» y exigen que los desarrolladores que crean su software posean conocimientos y aptitudes comprobados en materia de seguridad.

Todo el mundo sabe la importancia de una pila tecnológica sólida. Cuando se trata de encontrar y corregir vulnerabilidades en el código, el objetivo de las integraciones de Secure Code Warrior es reducir el tiempo medio de reparación y utilizar soluciones sólidas y confiables. Integrar los momentos de microaprendizaje en los flujos de trabajo de los desarrolladores es la clave para mejorar el aprendizaje y acelerar la corrección.

Hoy en día, casi todos los equipos de desarrolladores emplean algún tipo de formación sobre cumplimiento, ya sea como parte de un proceso de certificación inicial que se utiliza para garantizar que una empresa se mantenga dentro de los límites de los marcos industriales o las regulaciones gubernamentales, o como parte de un requisito o revisión anual. Es un paso importante, porque si una organización no puede cumplir con los requisitos básicos de cumplimiento, sus trabajadores no pueden desempeñar sus funciones de manera realista.

Los desarrolladores no tendrán un impacto positivo en la reducción de vulnerabilidades sin una comprensión básica de cómo funcionan las vulnerabilidades, por qué son peligrosas, qué patrones las causan y qué patrones de diseño o codificación las arreglan en un contexto que tenga sentido en su mundo. Un enfoque escalonado permite a los distintos niveles de conocimiento obtener una visión completa de lo que significa programar de forma segura, defender una base de código y posicionarse como desarrollador preocupado por la seguridad.

La importancia de las habilidades de seguridad de los desarrolladores se destaca en el informe Gartner Cool Vendors in Software Engineering de 2022. Lea más y obtenga el informe completo.

Los desarrolladores que crean el software, las aplicaciones y los programas que impulsan los negocios digitales se han convertido en el elemento vital de muchas organizaciones. La mayoría de las empresas modernas no podrían funcionar (de forma rentable) sin aplicaciones y programas competitivos o sin acceso las 24 horas a sus sitios web y otras infraestructuras.

Recientemente, un equipo de investigadores de seguridad anunció el hallazgo de un error de hace quince años en la funcionalidad de extracción de archivos tar de Python. La vulnerabilidad se descubrió por primera vez en 2007 y se rastreó como CVE-2007-4559. Se agregó una nota a la documentación oficial de Python, pero el error en sí no se corrigió.

Novedades en Secure Code Warrior: póngase manos a la obra con la formación para desarrolladores con Coding Labs, integre su programa de formación sobre código seguro con un LMS y mucho más.

Obtén más información sobre los riesgos asociados con las credenciales codificadas y la ingeniería social mientras analizamos el reciente incidente de seguridad de Uber y por qué es tan importante que las organizaciones cambien a la izquierda y se aseguren de que sus desarrolladores están al día con las mejores prácticas de codificación segura.

El desarrollo de software ya no es una isla y, si tenemos en cuenta todos los aspectos del riesgo impulsado por el software (desde la nube, los sistemas integrados en electrodomésticos y vehículos, nuestra infraestructura crítica, sin mencionar las API que lo conectan todo), la superficie de ataque no tiene fronteras y está fuera de control.

El plan de movilización de seguridad del software de código abierto representa un paso positivo para la seguridad impulsada por los desarrolladores. Sin embargo, todos debemos hacer un balance y evaluar honestamente si tenemos la madurez suficiente en nuestra organización (y si nuestros equipos de desarrollo tienen el nivel adecuado de conocimientos y habilidades en materia de seguridad) para implementar las mejores y más recientes estrategias defensivas.

El esfuerzo por girar a la izquierda requiere una mejora colectiva y continua de los conocimientos y habilidades de seguridad dentro de los equipos de desarrollo.

La seguridad de las API es difícil, pero con una formación adecuada, una planificación y un enfoque en las mejores prácticas, se pueden mitigar incluso las vulnerabilidades más insidiosas.

Flujo de creación de cursos más sencillo y potente, acceso anticipado y contenido de formación de SAP ABAP.

Formación práctica y eficaz sobre codificación segura para desarrolladores de ABAP.

La vulnerabilidad de Psychic Signature reside en la criptografía de las firmas ECDSA, que protege los sistemas para tareas críticas como la autenticación. Con esta vulnerabilidad, los piratas informáticos pueden eludir cualquier comprobación de firmas. Explicamos qué es y cómo mitigarla en este post.

Recientemente, NGINX ha revelado una vulnerabilidad de día cero. Casi al mismo tiempo, Microsoft ha revelado otra vulnerabilidad crítica: la vulnerabilidad RPC RCE de Windows. En esta publicación, puede averiguar quién corre el riesgo de sufrir estos dos problemas y cómo podemos mitigar el riesgo.

Los ataques de día cero, por definición, no dan tiempo a los desarrolladores para encontrar y corregir las vulnerabilidades existentes que podrían explotarse, porque el actor de la amenaza fue el primero en entrar. El daño ya está hecho y, a continuación, se pone manos a la obra para arreglar el daño causado tanto al software como a la reputación de la empresa. Los atacantes siempre tienen una ventaja, y cerrar esa ventaja en la medida de lo posible es crucial.

Por segundo año, nos asociamos con Evans Data Corp. para llevar a cabo una encuesta exhaustiva de la comunidad mundial de desarrolladores en relación con las habilidades, las percepciones y los comportamientos en lo que respecta a las prácticas de codificación seguras, y su impacto y relevancia percibidos en el ciclo de vida del desarrollo de software (SDLC). Los resultados fueron bastante sorprendentes en muchos sentidos.

Recientemente, las bibliotecas Spring, una de las bibliotecas más populares de la comunidad Java, revelaron 2 vulnerabilidades relacionadas con la ejecución remota de código (RCE). Hemos desglosado los detalles conocidos de «Spring4Shell» y «Spring Cloud Function» para ayudarte a entender si estás en riesgo y qué hacer en ese caso.

Cuando se trata de luchar contra los ciberdelincuentes, debemos mantenernos lo más en sintonía posible con ellos, adelantándonos a sus áreas de juego con una mentalidad preventiva. Aquí es donde creo que podrían empezar a causar sensación el año que viene:

Muchas empresas que se están esforzando por alcanzar sus objetivos en materia de ciberseguridad han implementado un programa oficial de promoción de la seguridad, que otorga las principales responsabilidades de seguridad (desde el enlace entre los equipos y el apoyo general hasta la supervisión de las mejores prácticas) a las personas que demuestren aptitud y pasión por ese puesto.

Los hitos de nuestro cumpleaños son un maravilloso recordatorio para reflexionar sobre los frutos de nuestro trabajo, celebrar al equipo y afrontar el año que viene con confianza. Y ahora, siete años después de nuestra creación, me pregunto: ¿lo hemos conseguido? ¿Ya es una empresa real? Por supuesto, hemos alcanzado la madurez, pero espero que nunca perdamos el sentido de curiosidad, pasión y friki que hemos tenido desde el principio.

Como industria, nunca debemos esperar que los desarrolladores se conviertan en expertos en seguridad, pero las organizaciones pueden adoptar nuevos estándares para capacitar a los desarrolladores para que puedan producir software de mayor calidad.

En diciembre de 2021, se descubrió una vulnerabilidad de seguridad crítica, Log4Shell, en la biblioteca Java Log4j. En este artículo, desglosamos la vulnerabilidad de Log4Shell de la forma más sencilla para que comprendas lo básico y te presentemos una misión: un campo de juego en el que puedas intentar explotar un sitio web simulado con el conocimiento de esta vulnerabilidad.

No estamos recibiendo consejos realistas ni las soluciones más rápidas para combatir el ataque continuo que representa la ciberseguridad moderna. Por supuesto, cada violación es diferente a su manera, y existen numerosos vectores de ataque que pueden explotarse en el software vulnerable. Los consejos genéricos factibles serán limitados, pero el enfoque basado en las mejores prácticas parece tener más defectos cada hora.

Es posible que el énfasis en un enfoque preventivo, en lugar de reactivo, no sea ampliamente entendido fuera del equipo de seguridad, especialmente si no se ha producido un incidente de seguridad grave y grave.

Implement unit test coding guidelines uniformly and consistently

Dejar la seguridad de las API al azar es una forma segura de introducir problemas más adelante, con consecuencias potencialmente devastadoras en el peor de los casos y, en el mejor de los casos, con una reelaboración frustrante y un bajo rendimiento.

Migre Joda-Time a java.time de forma cómoda

Es obvio que la ciberseguridad es importante, pero ¿qué significa realmente en el contexto de las cadenas de suministro?

Los desarrolladores están en una excelente posición para dar un salto lucrativo a AppSec.

Aprender de manera efectiva sobre la codificación segura y retener ese conocimiento puede hacer que parezca que es intrínsecamente difícil, pero con las herramientas y la cultura adecuadas, no tiene por qué serlo. Sin embargo, no siempre es fácil convencer a las partes interesadas y a los superiores de que inviertan en el tipo de formación adecuado. Estos son algunos consejos útiles que te ayudarán a ganarte su lealtad.

Los desarrolladores profesionales quieren adoptar DevSecOps y escribir código seguro, pero sus organizaciones deben apoyar este cambio radical si quieren que ese esfuerzo crezca.

A principios de octubre, Apache publicó la versión 2.4.49 para corregir una vulnerabilidad de recorrido por rutas y ejecución remota de código y, a continuación, la versión 2.4.50 para corregir el hecho de que la corrección estaba incompleta. Hemos creado una misión para demostrar los riesgos en un entorno real. Pruébelo ahora.

Micha Martinez es analista de ciberseguridad y director de fotografía en Nelnet. Cuando se le encomendó la tarea de crear un programa de formación para desarrolladores en torno a la codificación segura, adoptó formas creativas de involucrar a su equipo. Quedamos tan impresionados con la forma en que dirige su programa de formación sobre código seguro que nos reunimos con él para obtener más información.

Los ataques por inyección, el infame rey de las vulnerabilidades (por categoría), han perdido el primer puesto ante la interrupción del control de acceso como lo peor de lo peor, y los desarrolladores deben tomar nota.

Los desarrolladores se encuentran entre los que conocen más de cerca el código, además de las configuraciones de seguridad y el control de acceso. Hay que fomentar sus habilidades en materia de seguridad y, para alcanzar los altos estándares descritos por el NIST, una estructura de cursos prácticos podría ser la forma más eficaz de abordarla, especialmente en el caso de grupos de desarrolladores grandes.

Al igual que el software basado en la web, las API y los dispositivos móviles, el código vulnerable de los sistemas integrados puede explotarse si un atacante lo descubre en estado salvaje.

Como profesional de seguridad de aplicaciones, es su trabajo garantizar la seguridad cibernética de las aplicaciones de su organización. Sin embargo, no eres responsable de escribir el código en el que se ejecuta la aplicación. Los ingenieros del equipo de desarrollo sí lo son. Entonces, ¿cómo se asegura de que están desarrollando esos sistemas teniendo en cuenta la seguridad?

Este artículo cubrirá una descripción general de la protección de los sistemas integrados. Empezaremos por la definición básica y, a continuación, analizaremos los desafíos de la seguridad integrada, algunas soluciones típicas y los acertijos que faltan.

En esta publicación, compararemos el estándar MISRA C 2012 con el C2 y lo guiaremos en el proceso de cambio al nuevo estándar. Explicaremos por qué el cumplimiento de MISRA es necesario para crear sistemas integrados seguros.

En esta publicación, obtendrá una descripción general del desarrollo de dispositivos y sistemas integrados.

Nos reunimos con Larry Maccherone de Contrast Security para analizar cómo el aprendizaje contextual funciona con éxito para capacitar a los desarrolladores en la codificación segura. Siga leyendo para saber cómo las organizaciones brindan capacitación clave en seguridad a los desarrolladores sin interrumpir sus responsabilidades y flujos de trabajo diarios.

Hace poco nos entusiasmó ver publicado el primer puesto de nuestro presidente y director ejecutivo, Pieter Danhieux, en el Consejo de Tecnología de Forbes. La publicación detallaba cómo mejorar las habilidades de los desarrolladores para crear un código más seguro es clave para prevenir los ciberataques y las filtraciones de datos.

La seguridad de las API es un problema que no está muy lejos de la mente de la mayoría de los expertos en seguridad, y es algo que necesitamos dotarnos del conocimiento necesario para combatirlo.

La reciente orden ejecutiva de ciberseguridad de la Administración Biden sin duda ha hecho que la industria de la seguridad hable, especialmente a aquellos que buscan convencer a los desarrolladores de la importancia de aplicar las mejores prácticas de codificación segura en su trabajo diario.

Hace poco conversamos con Dimitri Vanderhaeghe, ingeniero de software de Selligent Marketing Cloud, una plataforma de automatización de marketing omnicanal altamente integrada y basada en inteligencia artificial que permite a los profesionales del marketing B2C ambiciosos maximizar cada momento de interacción con los consumidores conectados de hoy en día. Para una empresa de tecnología B2C a un ritmo vertiginoso, es vital crecer y satisfacer las crecientes demandas de su mercado. Parte de la capacidad de satisfacer estas demandas es hacer hincapié en la ciberseguridad y, lo que es más importante, un programa de habilidades de seguridad dirigido por un desarrollador.

¿Qué te parece esto para una estadística aleccionadora? El 60% de las pymes cierran a los seis meses de un ciberataque exitoso. Las grandes corporaciones pierden millones (¡o miles de millones!) mientras que la reputación de las marcas se desangra. A medida que las organizaciones adoptan cada vez más prácticas de codificación seguras, se está produciendo un «giro a la izquierda». Con el auge de DevSecOps, el código seguro se ha convertido en el centro de atención desde el principio del SDLC.

Discover more about the most loved features of Sensei.

Según un estudio de IBM, es treinta veces más caro corregir las vulnerabilidades después del lanzamiento en comparación con encontrarlas y corregirlas inicialmente. Teniendo esto en cuenta, no es sorprendente que los CIOs con visión de futuro estén implementando prácticas de codificación seguras. Esto significa capacitar y equipar a los desarrolladores para que escriban un código que sea más seguro desde el principio, lo que los convierte en la «primera línea de defensa» de su organización.

¿Cuáles son los posibles impactos de una formación de código seguro de calidad para su organización? ¿Podría ser una inversión que valga la pena?

En nuestro mundo hiperconectado, casi todas las organizaciones comparten un talón de Aquiles común. Una sola vulnerabilidad, tan solo un fragmento explotable de su código, puede provocar el robo de los datos de los clientes, dañar la reputación y provocar importantes pérdidas financieras. La alineación organizacional en torno a la codificación segura nunca ha sido tan imperiosa, pero lograrlo es más fácil decirlo que hacerlo.

La última orden ejecutiva del Gobierno Federal de los EE. UU. aborda muchos aspectos de la ciberseguridad funcional, pero por primera vez, describe específicamente el impacto de los desarrolladores y la necesidad de que tengan conocimientos y habilidades de seguridad comprobados.

En este momento, solo el 15% de los desarrolladores está de acuerdo en que las prácticas de código seguro deben ser responsabilidad de todos. En un mundo en el que aumentan las amenazas a la seguridad, eso simplemente no es suficiente. Hay que hacer algo. Una clave para crear una cultura de AppSec saludable es comprender las principales influencias (¡y a las personas influyentes!) en juego.

Necesitamos reforzar un enfoque humano de las mejores prácticas de ciberseguridad, y obtendremos mejores resultados que si dependemos en gran medida de la automatización, las herramientas y la reacción a los problemas que ya se han incorporado y descubierto.

El código inseguro cuesta millones a las empresas, entonces, ¿qué es lo que impide la adopción de prácticas de codificación seguras? En un mundo en el que prácticamente todo depende del software, es fundamental garantizar la seguridad del código. La reputación de la marca y la viabilidad financiera dependen de ello. Dicho esto, existen muchas preocupaciones en torno a la codificación segura y muchos obstáculos para su adopción plena y efectiva. Ahora más que nunca, se requiere una nueva forma de trabajar.

En los últimos años, se han sacrificado muchas cosas en aras de la velocidad de comercialización, como la seguridad de la red, los terabytes de datos confidenciales de los clientes y la inestimable reputación de las marcas.

Si alguna vez hubo algo que arruinó la Navidad en la industria de la ciberseguridad, es una devastadora violación de datos que va camino de convertirse en el mayor evento de ciberespionaje registrado que afecte al gobierno de los Estados Unidos.

Cuando se trata de la formación en código seguro para desarrolladores, los resultados educativos dejan mucho que desear. Muchas empresas gastan mucho dinero, pero en la práctica obtienen un rendimiento mínimo. Y no es de extrañar.

A medida que las brechas de datos y sus costos siguen aumentando, el volumen de código producido en nuestro mundo es demasiado grande para que los expertos en seguridad lo manejen solos. Las empresas necesitan desarrolladores con habilidades de codificación segura, y los desarrolladores saben que necesitan estas habilidades para avanzar en sus carreras. Sin embargo, la formación actual en código seguro las está decepcionando. Entonces, ¿qué quieren los desarrolladores en lo que respecta a la formación sobre código seguro?

¡Aburrido, aburrido, aburrido! Esa es una de las principales respuestas que escucharán de los desarrolladores cada vez que se mencione la formación en código seguro. En Secure Code Warrior creemos que debe haber una forma mejor.

Hay algunas razones por las que las herramientas de AppSec no se utilizan como cabría esperar, y se trata menos de las herramientas y su funcionalidad, y más de cómo se integran con un programa de seguridad en su conjunto.

Cuando se trata de aprender a programar de forma segura, ¿cuáles son las principales motivaciones de los desarrolladores y cómo pueden aprovecharlas para diseñar e implementar un programa de seguridad de aplicaciones exitoso?

A medida que el número de ciberamenazas continúa creciendo, las organizaciones están haciendo concesiones diarias entre seguridad, practicidad y velocidad, exponiéndose a riesgos en el proceso.

En un mundo en el que las ciberamenazas siguen multiplicándose, ¿sus programadores están dando un paso adelante? ¿Está el elemento humano de la codificación segura (el desarrollador más importante) preparado para desempeñar su papel a la hora de proteger nuestro mundo conectado? Para responder a esta pregunta, analicemos algunas ideas de un estudio reciente sobre las actitudes de los desarrolladores hacia la codificación segura, las prácticas de código seguro y las operaciones de seguridad, realizado por Secure Code Warrior con Evans Data Corp.

Las mismas 10 vulnerabilidades de software han causado más brechas de seguridad en los últimos 20 años que cualquier otra. Sin embargo, muchas empresas siguen optando por la reparación posterior a la violación y al suceso, lo que les permite sortear las ramificaciones humanas y empresariales de todo esto. Pero ahora, un nuevo estudio de investigación apunta a una nueva dirección dirigida por el ser humano.

La inyección SQL cumple 22 años y, a pesar de que esta vulnerabilidad tiene la edad suficiente para beber, dejamos que se apodere de nosotros en lugar de aplastarla para siempre.

Discover the latest improvements to the user experience of Sensei, Secure Code Warrior's IntelliJ plugin and start writing quality code even faster.

Una relación que se basa en los cimientos inestables de la desconfianza es, bueno, mejor abordarla con bajas expectativas. Lamentablemente, este puede ser el estado de la relación de trabajo entre los desarrolladores y el equipo de AppSec dentro de una organización.

Un pequeño y divertido cuestionario sobre Java Gotchas y un repositorio de Github compatible que muestra algunos problemas y cómo solucionarlos

Aprenda a ejecutar las acciones de intención de Sensei e IntelliJ en modo por lotes como inspecciones dentro del IDE, desde la línea de comandos y en integración continua.

El código de un cierto nivel de calidad es, por definición, también seguro, pero no todo el código seguro es necesariamente de buena calidad. ¿Empezar «a la izquierda de la izquierda» es la fórmula para garantizar estándares de codificación puros y seguros?

En esta entrada de blog analizamos un error común de codificación en Java (usar un operador bit a bit en lugar de un operador condicional), el error al que hace que nuestro código sea vulnerable y cómo podemos usar Sensei para corregir y detectar el problema.

El campo de juego entre los héroes y los villanos en la ciberseguridad es notoriamente injusto. Los datos confidenciales son el nuevo oro, y los atacantes se adaptan rápidamente para eludir las defensas, explotando los errores de seguridad grandes y pequeños para obtener ganancias potenciales.

Obtenga información sobre el análisis estático y cómo puede ayudarlo a escribir mejor código con ejemplos de 5 enfoques y complementos basados en IDE.

Es esa época especial del año (al menos para nosotros) en la que reflexiono sobre nuestra última vuelta alrededor del sol y lo que se ha hecho en los 365 días anteriores para prepararnos para un nuevo año de crecimiento, lecciones e inevitable imprevisibilidad.

Kamer van Koophandel shares how it embedded secure coding into everyday development through role-based certifications, Trust Score benchmarking, and a culture of shared security ownership.

See how Paysafe's partnership with Secure Code Warrior led to a 45% boost in developer productivity and a major reduction in code vulnerabilities.

DigitalOcean's use of Secure Code Warrior training has significantly reduced security debt, allowing teams to focus more on innovation and productivity. The improved security has strengthened their product quality and competitive edge. Looking ahead, the SCW Trust Score will help them further enhance security practices and continue driving innovation.

Explore the Devlympics 2023 results in this report. Dive into developer engagement, tech stack and languages trends in each industry that participated, and key vulnerabilities and CWEs covered in the annual global event hosted by Secure Code Warrior.

Discover how Sage enhanced security with a flexible, relationship-focused approach, creating 200+ security champions and achieving measurable risk reduction.

Discover how Workday transformed developer training with agile learning through Secure Code Warrior. By empowering developer with hands-on, language-specific education, Workday reduced vulnerabilities early in the SDLC. See their impressive results and key takeaways to build a secure code culture.

In this case study, learn how Thales has developed people, process, and technology approaches for an agile secure code learning program in order to engage developers to become active security champions.

Discover how retail giant Colgate-Palmolive reshaped its application security during its digital transformation journey. Facing challenges in secure coding, they innovated their approach by integrating bite-sized, in-context learning into the developer workflow.

Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed

IAG Group is the name behind many of the leading insurancecompanies in the Asia-Pacific region, underwriting policies formillions of customers to the tune of approximately AUD $11.4 Billionin premiums per annum.

Learn how they created an in-house technology education initiative, aimed at supporting thousands of employees to learn practical, cutting-edge skills in a number of disciplines, including machine learning and cybersecurity.

Explore this comprehensive case study to learn more about how they utilized Secure Code Warrior's tournaments to engage developers, increase awareness of key vulnerabilities affecting automotive software, and gain metrics across multiple languages and frameworks.

​The cybersecurity industry, which has been advocating for “security by design” principles for more than a decade, stands in wide-eyed amazement at the risks posed by artificial intelligence (AI). As organizations rush to embrace AI enablement, a CISO’s most pressing priority is to avoid becoming a roadblock. However, without effective AI usage and governance, observability and traceability, organizations may be blindsided by their AI risk.​

Secure Code Warrior has introduced the SCW AI Adoption Model, a framework designed to help organisations govern AI use in software development as the industry shifts from the traditional software development lifecycle (SDLC) toward what the company calls the Agentic Development Lifecycle (ADLC).

With many software engineering teams moving from AI coding assistants into full agentic AI code generation and increasing the amount of code they produce exponentially, ensuring the security of that code must be a top priority. The study produces practical guidance for organizations that are getting on board the AI-assisted or agentic code development train.

Token use can create unexpected, sizeable costs for organizations.

AI enables faster development cycles and allows developers to focus on higher-value work. For many businesses, these efficiencies are becoming essential to remaining competitive. The challenge, therefore, is not whether to adopt AI, but how to do so responsibly. Businesses that invest in developer education, governance frameworks, AI observability and robust security controls will be better positioned to capture the benefits while limiting the associated risks.

The issue is no longer simply about protecting AI models themselves. Increasingly, attackers are focusing on the software ecosystem surrounding those models, including the development tools, middleware, open-source libraries, and automated deployment pipelines that organisations rely upon every day.

As we will unpack together, there is a lot of movement around the world, with some collaboration between nations, but the path forward is far from uniform or clear, particularly in business environments where AI adoption is often mandated before holistic safeguarding measures are in place.  

According to one expert, AI guardrails are not designed as “security boundaries” but rather to influence behaviour – but what if that behaviour is hacking one of your industry partners?

‍

Cyber security experts have warned that the breach of Hugging Face infrastructure during an OpenAI security evaluation marks a turning point in the risks posed by autonomous AI agents. In the incident, AI models moved beyond a controlled test and carried out a live, multi-stage intrusion against the AI platform.

AI-generated code introduces an average of 15 confirmed vulnerabilities per codebase, research published by Secure Code Warrior indicates.

Frontier AI is facing a PR crisis. After Hugging Face released a blog post on July 16 claiming an autonomous agent had breached its internal environment, OpenAI posted on July 21 that the incident occurred when GPT 5.6 Sol and a “pre-release model” escaped a controlled testing environment.

Secure Code Warrior research reveals AI-generated code introduces an average of 15 vulnerabilities per codebase.

‍

Secure Code Warrior introduced the SCW AI Trust Index, a living benchmark for AI coding security that grows with every new model, helping organizations understand and govern the security risks introduced by AI-generated code. Built on a methodology created with RMIT University, Australia, then extended by Secure Code Warrior, the research presents comprehensive benchmarks on how often leading LLMs produce insecure code, with material implications for every enterprise scaling AI-assisted development.

AI-generated code introduces 15 vulnerabilities on average per codebase, but the actual risk depends on framework pairing more than the model used.

New SCW AI Trust Index shows AI-generated coding risk is not random, it's predictable by model and framework, giving security leaders the data to safely scale AI-assisted development.

The challenges with AI implementation, constant updates, and the race for industry dominance are coming thick and fast, and security professionals are among the most affected by its vast risk profile.

The Australian government has said AI is very much in the country’s future national interest – but where does it stand today? Here’s what the industry’s best and brightest have to say about artificial intelligence and its role in the modern enterprise.

‍

The emergence of agentic AI marks a structural shift in software development, introducing systems that not only accelerate production cycles but also perform autonomous reasoning and action beyond direct human control.

As AI-generated code becomes commonplace, CISOs need new audit strategies to measure developer practices, govern AI tool usage, and identify software risks before they reach production.

This category has taken on new urgency in 2026 for a reason that’s specific to this moment: AI coding tools and agents are dramatically increasing how much code gets written and how often it needs to be deployed, tested, and provisioned for. Platform engineering is the layer that determines whether that increased velocity translates into shipped value or into chaos.

According to a recent report from Gartner, the rampant use of shadow AI and rogue automation is further fueling the proliferation of AI vulnerabilities. Gartner notes that 32% of IT workers using generative AI tools at work say they keep them hidden from cybersecurity teams. Combined with low-code/no-code platforms and vibe coding practices, the AI copilots are greatly expanding the enterprise attack surface.

For this article, we asked a central question for security and risk leaders: "What differentiates a policy that genuinely mitigates enterprise risk from one that exists primarily to demonstrate that the organization has acknowledged AI risk?"

Secure Code Warrior's Pieter Danhieux on Managing AI-Driven Development Risks

As generative AI cements its place in enterprise software development, a familiar discipline is taking on new urgency: risk management.

Secure Code Warrior have today announced SCW Trust Agent: AI, the industry’s first governance solution designed to make Artificial Intelligence (AI) influence in software development visible, attributable, and enforceable at the point of commit — enabling enterprises to scale AI coding tools with measurable control over software risk.

Even as we restructure the SDLC around the most impactful elements of the Agile methodology with careful, DevSecOps-centric security considerations, is this the end of the road for AppSec as we know it?

Global InfoSec Awards 2026 Secure Code Warrior Wins Outstanding Achievement in Cybersecurity Risk Management and Compliance Excellence

New AI Software Governance solution makes AI-generated code visible at commit, enforces policy before production, and connects real development behavior to measurable risk reduction.

Secure Code Warrior (SCW) this week added an artificial intelligence (AI) agent that both identifies code generated by an AI coding tool and automatically applies the appropriate governance policies.

Secure Code Warrior has launched SCW Trust Agent: AI, a software governance product that tracks the use of AI coding tools in development and links that usage to software risk when developers commit code.

2026 Globee® Awards for Cybersecurity: Secure Code Warrior Wins Gold Globee for Software Development Cybersecurity Solutions (Best Of)

Secure Code Warrior announced SCW Trust Agent: AI, a governance solution designed to make AI influence in software development visible, attributable, and enforceable at the point of commit — enabling enterprises to scale AI coding tools with measurable control over software risk.

Secure Code Warrior today announced SCW Trust Agent: AI, the industry’s first governance solution designed to make AI influence in software development visible, attributable, and enforceable at the point of commit — enabling enterprises to scale AI coding tools with measurable control over software risk. For the first time, organizations can trace which AI models influenced specific commits, correlate that influence to vulnerability exposure, and take corrective action before insecure code reaches production.

Secure Code Warrior has announced SCW Trust Agent: AI, a governance solution designed to make AI influence in software development visible, attributable, and enforceable at the point of commit, enabling enterprises to scale AI coding tools with measurable control over software risk. Organizations can trace which AI models influenced specific commits, correlate that influence with vulnerability exposure, and take corrective action before insecure code reaches production.

New AI Software Governance solution makes AI-generated code visible at commit, enforces policy before production, and connects real development behavior to measurable risk reduction.

Developers have long struggled to truly claim a seat at the table in traditional threat modeling programs, but with the right skills, they have the opportunity to wield AI responsibly to seriously cut risk and rework in their codebase.

AI-generated code may be “made by machine”, but taking a cookie-cutter approach to securing that code would fall well short of mitigating the vulnerabilities LLMs can introduce. Organizations need to establish precise security reviews, with human developers anchoring the process to implement effective security controls while also managing the specific coding temperament of each LLM used. AI-generated code must undergo the same personalized risk assessments as code written by human developers.

s artificial intelligence (AI) tools become more widely used in the software development process, their impact on security is becoming clearer. According to recent research, nearly 70% of organisations have discovered vulnerabilities caused by AI tools while one in five have experienced a serious incident as a result of those vulnerabilities.

According to research company Forrester[1], the tech debt for 75% of organisations will increase to a moderate or high level during this year, due to the rapid expansion of AI usage across a range of areas including software development.

While it’s early into 2026, we’re seeing new research that reveals the extent of cyber risks caused by artificial intelligence (AI)-assisted software development: Nearly 7 in 10 organizations have discovered vulnerabilities introduced by AI-generated code, and 1 in 5 have suffered a serious incident tied directly to the vulnerabilities.

Artificial intelligence (AI) has rapidly become indispensable to modern software development. From large language models that generate code on demand to agentic systems that automate entire workflows, AI tools promise dramatic gains in productivity and efficiency.

Developers must view AI as a collaborator to be closely monitored, rather than an autonomous entity to be unleashed. Without such a mindset, crippling tech debt is inevitable.

From technical compromise to AI-driven attacks, cyber criminals increasingly see software developers as prime targets, creating systemic risks CISOs must address.

It’s Online Privacy Week, a time of year where individuals and organisations are all reminded to check their digital footprint(s). Some might say that’s a futile gesture at a time where major social media and marketing players know absolutely everything about you and are cheerfully selling all that data to anyone who’ll buy it; when Microsoft is performing every trick in the book to get Windows users to put all their data in the cloud where it’s available for government agencies to snoop upon without letting you know; when a personal computer crisis means many people will be moved on to dumb-client computing landscape where everything from data storage to major processing tasks will be taking place in the cloud; and when people think that clicking ‘Accept’ on website pop-ups does something that meaningfully protects them. But, what do the experts say?

Technology and data specialists have warned that artificial intelligence and weak data governance are sharpening privacy risks for organisations, as businesses mark World Data Privacy Day.

“Data Privacy Week" presents a great reminder for organisations to reassess their customer privacy policies and prioritise transparent data collection in their marketing strategies.

Five leading cybersecurity experts warn AI is being integrated faster than security policies can manage the risk, creating urgent privacy gaps for SMEs ahead of Data Protection Day on 28 January.