Perspectivas de expertos que definen el desarrollo seguro

No es exagerado decir que los últimos años han transformado los estándares de ciberseguridad. Aunque no sea obligatorio, todas las organizaciones deberían marcarse como objetivo seguir esta tendencia y examinar las prácticas de seguridad de sus proveedores como si fueran parte de su propio programa interno de seguridad.

Business leaders need to make room for SBOMs as a priority, especially with so much change in the air for vendors and their ownership of security. However, while we’re at it, perhaps we need to look at how they can be improved going forward.

Tras el reciente anuncio de nuestra ronda de financiación Serie C, me complace anunciar un nuevo paso en la trayectoria de nuestra empresa. Synopsys, líder en el sector de la seguridad, ha incorporado una novedad a su conjunto de productos: Synopsys Developer Security Training, impulsado por Secure Code Warrior.

Resulta desconcertante que la mayoría de los desarrolladores que trabajan en el código que sustenta infraestructuras críticas, automóviles, tecnología médica y todo lo demás, lo hagan sin verificar primero sus competencias en seguridad. Por otro lado, ¿por qué los desarrolladores con conocimientos en seguridad, que han demostrado repetidamente que saben cómo crear productos seguros, tienen que hacer cola junto a los demás en unos procesos de desarrollo cada vez más lentos debido a todos los filtros de seguridad?

El costo de abordar las vulnerabilidades del código y la deuda técnica es elevado y sigue limitando la productividad de los equipos de desarrollo de software. Descubra cómo la implementación de una plataforma de aprendizaje ágil para código seguro puede capacitar a los desarrolladores de manera más eficaz en técnicas de codificación segura, permitiéndoles corregir vulnerabilidades con mayor rapidez y en etapas más tempranas del ciclo de vida de desarrollo de software (SDLC), además de prevenirlas desde el principio para generar un ahorro significativo de costos. Este blog describe cómo analizar el impacto financiero y el retorno de inversión (ROI) de una plataforma de aprendizaje ágil.

Anunciamos el cierre de nuestra ronda de financiación de serie C, tras haber recaudado 50 millones de dólares para la siguiente fase de nuestra misión: ayudar a más organizaciones pioneras a aprovechar el potencial de sus equipos de desarrollo para prevenir vulnerabilidades comunes.

The recently released National Cybersecurity Strategy signals the need for a seismic cultural shift for most companies, with the most glaring recommendation coming in the form of security accountability falling primarily on software vendors. This is a positive step, though it is sure to cause teething problems, especially as many organizations struggle to accurately assess their security maturity across the board, particularly among the development cohort.

Descubra cómo integrar una plataforma de aprendizaje ágil para código seguro en los flujos de trabajo y herramientas de los desarrolladores, y comience a fomentar una cultura de aprendizaje en seguridad.

A principios de este año, el PCI Security Standards Council presentó la versión 4.0 del Estándar de Seguridad de Datos para la Industria de Tarjeta de Pago (PCI DSS). Aunque las organizaciones no tendrán que cumplir totalmente con la versión 4.0 hasta marzo de 2025, esta actualización es la más transformadora hasta la fecha y obligará a la mayoría de las empresas a evaluar (y probablemente actualizar) sus complejos procesos de seguridad y diversos elementos de su infraestructura tecnológica. Esto se suma a la implementación de programas de concienciación sobre seguridad basados en roles y formación continua en codificación segura para los desarrolladores.

Descubra cómo una plataforma de aprendizaje ágil para código seguro capacita a los desarrolladores, reduce el riesgo y disminuye la deuda técnica con el tiempo al integrar la seguridad desde las primeras etapas del ciclo de vida de desarrollo de software.

Al ayudar a definir las responsabilidades de nuestras aplicaciones y software dentro de una jerarquía estricta, y al hacer cumplir esas políticas con los mínimos privilegios, podemos asegurarnos de que nuestras aplicaciones y software también sobrevivan y prosperen a pesar del panorama de amenazas que se les presenta.

La Estrategia Nacional de Ciberseguridad de la CISA representa nuestra mejor oportunidad para elevar los estándares de software en todos los ámbitos y, finalmente, marcar el comienzo de una nueva era de desarrolladores con competencias en seguridad.

El 20 de marzo de 2023, Spring Security Advisories publicó una entrada de blog sobre una vulnerabilidad descubierta internamente, la CVE-2023-20860. No se reveló información detallada, salvo que se trataba de un problema de control de acceso relacionado con el uso de `mvcMatchers`. Los desarrolladores de Spring ya han solucionado el problema y se recomienda actualizar a la nueva versión. Dado que la seguridad es nuestra prioridad en Secure Code Warrior, decidimos analizar a fondo esta vulnerabilidad de `mvcRequestMatchers` para determinar dónde reside el problema principal.

Preguntas y respuestas de CyberNews con Pieter Danhieux, director ejecutivo y cofundador de Secure Code Warrior.

Una de las mayores carencias en el ciclo de vida del desarrollo de software es la falta de tiempo para que los desarrolladores aprendan a proteger su código desde el principio. Los desarrolladores pierden incontables horas en tareas de retrabajo y corrección, lo que se traduce en millones de dólares en costes de oportunidad. Descubra cómo programar de forma segura y ágil puede ayudar a cerrar estas brechas y acelerar la productividad.

Novedades en Secure Code Warrior: descubre nuevas formas de gestionar cursos y explora contenido adicional.

La llegada de la estrella digital del momento, el metaverso, añade una nueva y vasta superficie de ataque tanto para vulnerabilidades a nivel de código como para la ingeniería social. Y sencillamente no estamos preparados para luchar en este nuevo terreno de juego que se alimenta de humo y espejos.

El coste de solucionar código inseguro y la deuda técnica resultante es uno de los mayores obstáculos a los que se enfrenta la tecnología hoy en día. Descubra cómo la implementación de un programa de formación en código seguro y escalable ayuda a reducir la deuda técnica al corregir patrones de programación deficientes y detectar vulnerabilidades en las primeras fases del ciclo de vida de desarrollo de software.

La percepción de lo que constituye el acto de programar de forma segura está sujeta a debate. Según una investigación reciente realizada en colaboración con Evans Data, este sentimiento quedó plasmado negro sobre blanco. La encuesta State of Developer-Driven Security 2022 profundiza en las perspectivas y experiencias clave de 1200 desarrolladores activos, arrojando luz sobre sus actitudes y desafíos en el ámbito de la seguridad.

Learn how Coding Labs is like a personal trainer for developers- utilizing interactive, hands-on modules and intuitive feedback within a convenient in-browser IDE to help developers go from learning to doing faster than ever before.

Esta semana celebramos oficialmente ocho años de Secure Code Warrior. Por un lado, eso equivale a 350 veces la duración de la misión Apolo 11, al equivalente a 45 000 partidos de fútbol o a terminar el juego Super Mario Odyssey 5696 veces. Por otro lado, es solo una trigésima parte de la esperanza de vida de una tortuga gigante (250 años, por si se lo preguntaban). En el mundo de una startup de alto crecimiento, representa un viaje lleno de giros, lecciones y logros, muchos de los cuales eran inimaginables cuando redactamos nuestro plan de negocio por primera vez.

En Secure Code Warrior, innovamos constantemente para dotar a los desarrolladores y a las organizaciones de las habilidades necesarias para afrontar los desafíos de seguridad, en constante evolución, de la actualidad. Hemos recopilado las funciones y actualizaciones más destacadas de nuestra plataforma, así como los recursos y directrices publicados este año, para ayudar a su organización a proteger su software mediante una seguridad impulsada por los desarrolladores desde el inicio del ciclo de desarrollo.

Todo el mundo busca una buena rentabilidad al invertir en su pila tecnológica o en programas de formación adicionales, pero en el ámbito de la seguridad, es necesario adoptar una visión a largo plazo que vaya más allá del simple cálculo del ROI. Descubra cómo invertir en seguridad impulsada por los desarrolladores no solo permite ahorrar en los costes de brechas graves, pérdida de productividad y deuda técnica acumulada, sino que también crea una estrategia proactiva y rentable para adelantarse al panorama actual de amenazas.

En respuesta a importantes brechas de seguridad como la campaña de SolarWinds, que utilizó un proceso de actualización de software para infectar a más de 18 000 usuarios del popular software de gestión Orion, incluidas muchas grandes corporaciones y agencias gubernamentales, existe una mayor presión para lograr esfuerzos de seguridad más eficaces liderados por los desarrolladores. Las organizaciones de todos los tamaños están empezando a cuestionar su «cadena de suministro de software» y a exigir que los desarrolladores que crean su software cuenten con habilidades y conocimientos de seguridad verificados.

Todo el mundo conoce la importancia de una infraestructura tecnológica sólida. Cuando se trata de detectar y corregir vulnerabilidades en el código, el objetivo de las integraciones de Secure Code Warrior es reducir el tiempo medio de remediación mediante soluciones fiables y robustas. Integrar momentos de microaprendizaje en el flujo de trabajo de los desarrolladores es la clave para un mejor aprendizaje y una remediación más rápida.

Hoy en día, casi todos los equipos de desarrollo emplean algún tipo de formación en cumplimiento normativo, ya sea como parte de un proceso de certificación inicial para garantizar que la empresa se mantenga dentro de los límites de los marcos del sector o de las normativas gubernamentales, o como parte de un requisito o revisión anual. Es un paso importante, porque si una organización no puede cumplir con los requisitos básicos de cumplimiento, sus trabajadores no pueden desempeñar sus funciones de manera realista.

Los desarrolladores no lograrán un impacto positivo en la reducción de vulnerabilidades sin una comprensión fundamental de cómo funcionan estas, por qué son peligrosas, qué patrones las provocan y qué diseños o prácticas de codificación las solucionan en un contexto que tenga sentido para su realidad. Un enfoque estructurado permite que las capas de conocimiento ofrezcan una visión completa de lo que significa programar de forma segura, proteger una base de código y destacar como un desarrollador consciente de la seguridad.

La importancia de las habilidades de seguridad para desarrolladores se destaca en el informe Gartner Cool Vendors in Software Engineering de 2022. Lea más y obtenga el informe completo.

Los desarrolladores que crean el software, las aplicaciones y los programas que impulsan los negocios digitales se han convertido en el alma de muchas organizaciones. La mayoría de las empresas modernas no podrían funcionar (de manera rentable) sin aplicaciones y programas competitivos, o sin acceso las 24 horas a sus sitios web y otra infraestructura.

Recientemente, un equipo de investigadores de seguridad anunció el hallazgo de un error de hace quince años en la funcionalidad de extracción de archivos tar de Python. La vulnerabilidad se reveló por primera vez en 2007 y se registró como CVE-2007-4559. Se añadió una nota a la documentación oficial de Python, pero el error en sí quedó sin corregir.

Novedades en Secure Code Warrior: obtenga experiencia práctica en formación para desarrolladores con Coding Labs, integre su programa de formación en código seguro con un LMS y mucho más.

Descubra más sobre los riesgos asociados con las credenciales codificadas y la ingeniería social mientras analizamos el reciente incidente de seguridad de Uber y por qué es tan importante que las organizaciones adopten un enfoque de seguridad desde el diseño y se aseguren de que sus desarrolladores estén al día con las mejores prácticas de programación segura.

El desarrollo de software ya no es un ámbito aislado. Si consideramos todos los aspectos del riesgo asociado al software —desde la nube y los sistemas integrados en electrodomésticos y vehículos hasta nuestra infraestructura crítica, sin olvidar las API que conectan todo esto—, la superficie de ataque es ilimitada y está fuera de control.

El plan de movilización de seguridad del software de código abierto representa un paso positivo para la seguridad impulsada por los desarrolladores. Sin embargo, todos debemos hacer un balance y evaluar honestamente si tenemos la madurez suficiente en nuestra organización (y si nuestros equipos de desarrollo tienen el nivel adecuado de conocimientos y habilidades en materia de seguridad) para implementar las mejores y más recientes estrategias defensivas.

El esfuerzo por implementar el "shift left" requiere una mejora colectiva y continua de los conocimientos y habilidades de seguridad dentro de los equipos de desarrollo

La seguridad de las API es compleja, pero con la formación, la planificación y el enfoque en las mejores prácticas adecuados, es posible mitigar incluso las vulnerabilidades más insidiosas.

Un flujo de creación de cursos más sencillo y potente, acceso anticipado y contenido de formación en SAP ABAP.

Formación práctica y eficaz en programación segura para desarrolladores ABAP.

La vulnerabilidad Psychic Signature reside en el cifrado de las firmas ECDSA, que protege los sistemas para tareas críticas como la autenticación. Los hackers pueden eludir cualquier verificación de firma con esta vulnerabilidad. En esta publicación explicaremos en qué consiste y cómo mitigarla.

Recientemente, NGINX ha revelado una vulnerabilidad de día cero. Casi al mismo tiempo, Microsoft ha dado a conocer otra vulnerabilidad crítica: la vulnerabilidad de ejecución remota de código (RCE) en Windows RPC. En esta publicación, podrá descubrir quién está en riesgo ante estos dos problemas y cómo podemos mitigar el riesgo.

Los ataques de día cero, por definición, no dan tiempo a los desarrolladores para encontrar y corregir vulnerabilidades existentes que podrían ser explotadas, ya que el atacante se les adelantó. El daño ya está hecho y, a partir de ahí, comienza una carrera frenética para reparar tanto el software como el daño a la reputación de la empresa. Los atacantes siempre llevan la ventaja, y reducir esa brecha tanto como sea posible es fundamental.

Por segundo año consecutivo, nos hemos asociado con Evans Data Corp. para realizar una encuesta exhaustiva a la comunidad global de desarrolladores sobre sus habilidades, percepciones y comportamientos en relación con las prácticas de codificación segura, así como su impacto y relevancia percibidos en el ciclo de vida del desarrollo de software (SDLC). Los resultados fueron bastante sorprendentes en muchos aspectos.

Recientemente, las librerías de Spring, unas de las más populares en la comunidad de Java, revelaron 2 vulnerabilidades relacionadas con la ejecución remota de código (RCE). Hemos desglosado los detalles conocidos sobre “Spring4Shell” y “Spring Cloud Function” para ayudarte a entender si estás en riesgo y qué hacer en caso de que lo estés.

Para combatir a los ciberdelincuentes, debemos mantenernos al mismo ritmo que ellos, anticipándonos a sus movimientos con una mentalidad preventiva. Aquí es donde creo que podrían empezar a causar problemas durante el próximo año:

Muchas empresas que se están esforzando por alcanzar sus objetivos en materia de ciberseguridad han implementado un programa oficial de promoción de la seguridad, que otorga las principales responsabilidades de seguridad (desde el enlace entre los equipos y el apoyo general hasta la supervisión de las mejores prácticas) a las personas que demuestren aptitud y pasión por ese puesto.

Nuestros aniversarios son un recordatorio maravilloso para reflexionar sobre los frutos de nuestro trabajo, celebrar con el equipo y afrontar el año que viene con confianza. Ahora, siete años después de nuestra creación, me pregunto: ¿Lo hemos logrado? ¿Es esto ya una empresa de verdad? Por supuesto, hemos alcanzado la madurez, pero espero que nunca perdamos ese sentido de curiosidad, pasión y entusiasmo técnico que nos ha acompañado desde el principio.

Como industria, nunca deberíamos esperar que los desarrolladores se conviertan en expertos en seguridad, pero las organizaciones pueden adoptar nuevos estándares para capacitarlos y que así puedan producir software de mayor calidad.

En diciembre de 2021, se reveló una vulnerabilidad de seguridad crítica llamada Log4Shell en la biblioteca de Java Log4j. En este artículo, desglosamos la vulnerabilidad Log4Shell de la forma más sencilla para que comprendas lo básico y te presentamos una misión: un entorno de pruebas donde puedes intentar explotar un sitio web simulado utilizando el conocimiento sobre esta vulnerabilidad.

No estamos recibiendo consejos realistas ni las soluciones más rápidas para combatir el incesante ataque que supone la ciberseguridad moderna. Por supuesto, cada brecha es diferente a su manera y existen numerosos vectores de ataque que pueden aprovecharse en el software vulnerable. Los consejos genéricos viables son limitados, pero el enfoque de mejores prácticas parece cada vez más defectuoso con el paso de las horas.

Es posible que dar prioridad a un enfoque preventivo, en lugar de uno reactivo, no se comprenda del todo fuera del equipo de seguridad, especialmente si no ha ocurrido ningún incidente de seguridad grave.

Implement unit test coding guidelines uniformly and consistently

Dejar la seguridad de las API al azar es una forma segura de introducir problemas más adelante, con consecuencias potencialmente devastadoras en el peor de los casos y, en el mejor de los casos, con una reelaboración frustrante y un bajo rendimiento.

Migra Joda-Time a java.time de forma sencilla

Es evidente que la ciberseguridad es importante, pero ¿qué significa realmente en el contexto de las cadenas de suministro?

Los desarrolladores están en una posición privilegiada para dar un salto lucrativo hacia la seguridad de aplicaciones.

Aprender sobre programación segura y retener esos conocimientos puede parecer una tarea inherentemente difícil, pero con las herramientas y la cultura adecuadas, no tiene por qué ser así. Sin embargo, no siempre es sencillo convencer a las partes interesadas y a los superiores de que inviertan en el tipo de formación correcto. Aquí tienes algunos consejos prácticos para ayudarte a conseguir su apoyo.

Los desarrolladores profesionales quieren adoptar DevSecOps y escribir código seguro, pero sus organizaciones deben apoyar este cambio radical si quieren que ese esfuerzo prospere.

A principios de octubre, Apache lanzó la versión 2.4.49 para corregir una vulnerabilidad de recorrido de rutas y ejecución remota de código, y posteriormente la 2.4.50 para solucionar que la corrección inicial estaba incompleta. Hemos creado una misión para demostrar los riesgos en un entorno real. Pruébala ahora.

Micha Martinez es analista de ciberseguridad y director de fotografía en Nelnet. Cuando le encargaron crear un programa de formación sobre programación segura para desarrolladores, buscó formas creativas de motivar a su equipo. Nos impresionó tanto su manera de gestionar el programa que nos reunimos con él para conocer más detalles.

Los ataques de inyección, el infame rey de las vulnerabilidades (por categoría), han perdido el primer puesto frente al control de acceso deficiente como el peor de los problemas, y los desarrolladores deben tomar nota.

Los desarrolladores son quienes tienen un contacto más directo con el código, además de con las configuraciones de seguridad y el control de acceso. Es necesario fomentar sus habilidades de seguridad y, para alcanzar los altos estándares definidos por el NIST, una estructura de curso práctico puede ser la forma más eficiente de lograrlo, especialmente en grupos grandes de desarrollo.

Al igual que el software basado en web, las API y los dispositivos móviles, el código vulnerable en los sistemas integrados puede ser explotado si un atacante lo descubre en un entorno real.

Como profesional de seguridad de aplicaciones, su trabajo es garantizar la ciberseguridad de las aplicaciones de su organización. Sin embargo, usted no es responsable de escribir el código sobre el que se ejecutan dichas aplicaciones; eso es tarea de los ingenieros del equipo de desarrollo. Entonces, ¿cómo puede asegurarse de que desarrollen esos sistemas teniendo la seguridad en mente?

Este artículo ofrece una visión general sobre la seguridad en sistemas embebidos. Comenzaremos con una definición básica para luego abordar los desafíos de la seguridad embebida, algunas soluciones típicas y las piezas que aún faltan en el rompecabezas.

En esta publicación, compararemos el estándar MISRA C 2012 con C2 y le guiaremos en el proceso de transición al nuevo estándar. Explicaremos por qué el cumplimiento de MISRA es necesario para crear sistemas embebidos seguros.

En esta publicación, obtendrá una visión general de los dispositivos integrados y el desarrollo de sistemas embebidos.

Nos reunimos con Larry Maccherone, de Contrast Security, para hablar sobre cómo el aprendizaje contextual permite capacitar con éxito a los desarrolladores en programación segura. Siga leyendo para descubrir cómo las organizaciones ofrecen formación clave en seguridad a sus desarrolladores sin interrumpir sus responsabilidades diarias ni su flujo de trabajo.

Nos entusiasmó mucho ver publicado recientemente el primer artículo de nuestro presidente y director ejecutivo, Pieter Danhieux, en el Forbes Technology Council. El texto detalla cómo la capacitación de los desarrolladores para crear código más seguro es clave para prevenir ciberataques y filtraciones de datos.

La seguridad de las API es una preocupación constante para la mayoría de los expertos en seguridad, y es un ámbito en el que debemos adquirir los conocimientos necesarios para hacerle frente.

La reciente Orden Ejecutiva sobre ciberseguridad de la Administración Biden ha generado un gran debate en el sector, especialmente entre quienes buscan concienciar a los desarrolladores sobre la importancia de aplicar las mejores prácticas de codificación segura en su trabajo diario.

Recientemente conversamos con Dimitri Vanderhaeghe, ingeniero de software en Selligent Marketing Cloud, una plataforma de automatización de marketing omnicanal altamente integrada y basada en inteligencia artificial que permite a los ambiciosos especialistas en marketing B2C maximizar cada momento de interacción con los consumidores conectados de hoy. Para una empresa de tecnología B2C de ritmo acelerado, escalar y satisfacer las crecientes demandas del mercado es vital. Parte de la capacidad para cumplir con estas demandas es poner énfasis en la ciberseguridad y, fundamentalmente, en un programa de habilidades de seguridad dirigido por los desarrolladores.

¿Qué le parece esta estadística para reflexionar? El 60% de las pequeñas y medianas empresas cierran en los seis meses posteriores a un ciberataque exitoso. Las grandes corporaciones pierden millones (¡o miles de millones!) mientras su reputación se desmorona. A medida que las organizaciones adoptan prácticas de codificación segura, se está produciendo un cambio hacia las etapas iniciales del desarrollo. Con el auge de DevSecOps, el código seguro se está convirtiendo en el foco de atención desde el inicio del ciclo de vida de desarrollo de software.

Discover more about the most loved features of Sensei.

Según un estudio de IBM, corregir vulnerabilidades después del lanzamiento es treinta veces más costoso que detectarlas y solucionarlas desde el principio. Por ello, no sorprende que los directores de tecnología con visión de futuro estén implementando prácticas de programación segura. Esto implica capacitar y dotar a los desarrolladores de las herramientas necesarias para escribir código más seguro desde el inicio, convirtiéndolos en la «primera línea de defensa» de su organización.

¿Cuáles son los posibles beneficios de una formación en código seguro de calidad para su organización y podría ser una inversión rentable?

En nuestro mundo hiperconectado, casi todas las organizaciones comparten un talón de Aquiles común. Una sola vulnerabilidad, tan solo un fragmento explotable de su código, puede provocar el robo de los datos de los clientes, dañar la reputación y provocar importantes pérdidas financieras. La alineación organizacional en torno a la codificación segura nunca ha sido tan imperiosa, pero lograrlo es más fácil decirlo que hacerlo.

La última orden ejecutiva del Gobierno Federal de los EE. UU. aborda muchos aspectos de la ciberseguridad funcional, pero por primera vez, describe específicamente el impacto de los desarrolladores y la necesidad de que tengan conocimientos y habilidades de seguridad comprobados.

Actualmente, solo el 15 % de los desarrolladores coincide en que las prácticas de código seguro deberían ser responsabilidad de todos. En un mundo con amenazas de seguridad cada vez mayores, eso simplemente no es suficiente. Hay que hacer algo al respecto. Una de las claves para crear una cultura de seguridad de aplicaciones saludable es comprender las influencias (¡y a los influencers!) que intervienen.

Debemos reforzar un enfoque de ciberseguridad centrado en las personas; esto dará mejores resultados que depender excesivamente de la automatización, las herramientas y la reacción ante problemas que ya se han arraigado y detectado.

El código inseguro cuesta millones a las empresas, pero ¿qué impide la adopción de prácticas de programación segura? En un mundo que depende del software para prácticamente todo, garantizar la seguridad del código es fundamental. La reputación de la marca y la viabilidad financiera dependen de ello. Dicho esto, existen muchas preocupaciones en torno a la programación segura y muchas barreras para su adopción plena y efectiva. Ahora más que nunca, se requiere una nueva forma de trabajar.

En los últimos años, muchas cosas se han sacrificado en aras de la rapidez de comercialización: la seguridad de la red, terabytes de datos confidenciales de clientes y una reputación de marca que no tiene precio.

Si algo podía arruinar la Navidad en el sector de la ciberseguridad, es una devastadora filtración de datos que va camino de convertirse en el mayor caso de ciberespionaje contra el gobierno de los Estados Unidos del que se tiene constancia.

Cuando se trata de formación en código seguro para desarrolladores, los resultados educativos dejan mucho que desear. Muchas empresas invierten grandes sumas, solo para obtener resultados mínimos en la práctica. Y no es de extrañar.

A medida que las brechas de seguridad y sus costos siguen aumentando, el volumen de código que se genera en el mundo es demasiado grande para que los expertos en seguridad puedan gestionarlo por sí solos. Las empresas necesitan desarrolladores con habilidades en codificación segura, y los desarrolladores saben que necesitan estas competencias para avanzar en sus carreras. Sin embargo, la formación actual en código seguro no está a la altura. Entonces, ¿qué buscan realmente los desarrolladores en su formación sobre código seguro?

¡Aburrido, aburrido, aburrido! Esa es una de las respuestas principales que escucharás de los desarrolladores cada vez que se menciona la formación en código seguro. En Secure Code Warrior creemos que debe haber una forma mejor.

Existen varias razones por las que las herramientas de AppSec no se están utilizando como cabría esperar; el problema no reside tanto en las herramientas ni en su funcionalidad, sino en cómo se integran en el programa de seguridad en su conjunto.

¿Cuáles son las principales motivaciones de los desarrolladores a la hora de aprender sobre programación segura y cómo pueden aprovecharse para diseñar e implementar un programa de seguridad de aplicaciones exitoso?

A medida que aumenta el número de ciberamenazas, las organizaciones deben equilibrar a diario la seguridad, la practicidad y la velocidad, exponiéndose a riesgos en el proceso.

En un mundo donde las ciberamenazas siguen multiplicándose, ¿están sus programadores a la altura? ¿Está el factor humano de la programación segura (el desarrollador, pieza fundamental) preparado para desempeñar su papel en la protección de nuestro mundo conectado? Para responder a esta pregunta, analicemos algunas conclusiones de un estudio reciente sobre la actitud de los desarrolladores hacia la programación segura, las prácticas de código seguro y las operaciones de seguridad, realizado por Secure Code Warrior y Evans Data Corp.

Las mismas 10 vulnerabilidades de software han provocado más brechas de seguridad en los últimos 20 años que cualquier otra. Sin embargo, muchas empresas siguen optando por la remediación posterior a la brecha o al incidente, lidiando como pueden con las consecuencias humanas y empresariales que esto conlleva. Pero ahora, un nuevo estudio de investigación apunta a una nueva dirección centrada en las personas.

La inyección SQL cumple 22 años y, aunque esta vulnerabilidad ya tiene edad suficiente para beber, seguimos dejando que nos supere en lugar de eliminarla de una vez por todas.

Discover the latest improvements to the user experience of Sensei, Secure Code Warrior's IntelliJ plugin and start writing quality code even faster.

Una relación construida sobre los cimientos inestables de la desconfianza es, en el mejor de los casos, algo que debe abordarse con expectativas bajas. Lamentablemente, este suele ser el estado de la relación laboral entre los desarrolladores y el equipo de seguridad de aplicaciones (AppSec) dentro de una organización.

Un divertido cuestionario sobre errores comunes en Java y un repositorio de Github de apoyo que muestra estos problemas y cómo solucionarlos

Aprenda a ejecutar Sensei y las Intention Actions de IntelliJ en modo por lotes como inspecciones dentro del IDE, desde la línea de comandos y en integración continua.

El código de cierto nivel de calidad es, por definición, también seguro, pero no todo código seguro es necesariamente de buena calidad. ¿Es empezar "a la izquierda de la izquierda" la fórmula para garantizar estándares de codificación puramente seguros?

En esta entrada de blog analizamos un error de programación común en Java (usar un operador a nivel de bits en lugar de un operador condicional), la vulnerabilidad que esto provoca en nuestro código y cómo podemos usar Sensei para detectar y solucionar este problema.

La Cámara de Comercio (Kamer van Koophandel) comparte cómo integró la programación segura en el desarrollo diario mediante certificaciones basadas en roles, evaluaciones comparativas de puntuación de confianza y una cultura de responsabilidad compartida en seguridad.

Descubra cómo la colaboración entre Paysafe y Secure Code Warrior permitió aumentar la productividad de los desarrolladores en un 45 % y reducir significativamente las vulnerabilidades en el código.

DigitalOcean's use of Secure Code Warrior training has significantly reduced security debt, allowing teams to focus more on innovation and productivity. The improved security has strengthened their product quality and competitive edge. Looking ahead, the SCW Trust Score will help them further enhance security practices and continue driving innovation.

Explora los resultados de las Devlympics 2023 en este informe. Sumérgete en la participación de los desarrolladores, las tendencias en lenguajes y stacks tecnológicos de cada sector participante, así como en las vulnerabilidades y CWE clave abordadas en este evento global anual organizado por Secure Code Warrior.

Descubre cómo Sage reforzó su seguridad con un enfoque flexible y centrado en las relaciones, logrando formar a más de 200 expertos en seguridad y alcanzar una reducción de riesgos cuantificable.

Descubra cómo Workday transformó la formación de sus desarrolladores mediante el aprendizaje ágil con Secure Code Warrior. Al dotar a los desarrolladores de una formación práctica y específica por lenguaje, Workday redujo las vulnerabilidades en las primeras etapas del ciclo de vida de desarrollo de software (SDLC). Conozca sus impresionantes resultados y las claves para fomentar una cultura de código seguro.

En este caso práctico, descubra cómo Thales ha desarrollado enfoques de personas, procesos y tecnología para un programa ágil de aprendizaje de código seguro, con el fin de motivar a los desarrolladores a convertirse en defensores activos de la seguridad.

Descubra cómo el gigante minorista Colgate-Palmolive transformó su seguridad de aplicaciones durante su proceso de transformación digital. Ante los desafíos en la codificación segura, innovaron su enfoque integrando un aprendizaje breve y contextual en el flujo de trabajo de los desarrolladores.

IAG Group es la entidad detrás de muchas de las principales compañías de seguros en la región de Asia-Pacífico, que suscribe pólizas para millones de clientes por un valor aproximado de 11.400 millones de dólares australianos en primas anuales.

Descubra cómo crearon una iniciativa interna de formación tecnológica destinada a ayudar a miles de empleados a adquirir habilidades prácticas y de vanguardia en diversas disciplinas, como el aprendizaje automático y la ciberseguridad.

Explore este caso de estudio integral para conocer cómo utilizaron los torneos de Secure Code Warrior para involucrar a los desarrolladores, aumentar la concienciación sobre las vulnerabilidades clave que afectan al software automotriz y obtener métricas en múltiples lenguajes y marcos de trabajo.

Hitachi Vantara and Secure Code Warrior warned that the spread of AI is reshaping cyber risk for organisations during Cybersecurity Awareness Month.

Both said attackers are using AI to move faster and scale up attacks. They also warned that companies are under pressure to strengthen data governance and recovery planning as regulators sharpen their focus on operational resilience and data handling.

El Mes de Acción de Ciberseguridad (conocido mundialmente como el Mes de Concienciación sobre Ciberseguridad) es una campaña anual de sensibilización en Australia que se celebra en octubre para animar a personas y empresas a mejorar su seguridad en línea mediante hábitos cotidianos sencillos.

Los gobiernos ya no pueden tratar los ciberataques a velocidad de máquina como un escenario futuro porque, como demostró la reciente brecha de Medicare, el futuro ya está aquí.

‍

‍

Octubre es el Mes de la Concienciación sobre la Ciberseguridad y, si algo han demostrado los últimos doce meses, es que el panorama de amenazas no se toma un respiro. Desde campañas de phishing impulsadas por IA e ingeniería social mediante deepfakes hasta el incesante goteo de ataques de ransomware contra hospitales, escuelas y municipios, los equipos de seguridad apenas han tenido descanso en 2026. Esta conmemoración anual, que cumple ya tres décadas, sigue siendo una de las mejores excusas del sector para hacer una pausa, evaluar la situación y preguntarnos: ¿somos realmente más seguros o simplemente estamos más ocupados?

OpenAI has abandoned an update of Astra planned for release in October after internal testing found safety and alignment problems - an increasing source of concern at the company.

Los agentes de OpenAI «se infiltraron» en sitios web gubernamentales de Australia al realizar tareas de investigación relativamente rutinarias, en lo que se considera uno de los primeros incidentes de este tipo.

Este evento, tras otras brechas de agentes de IA, pone de relieve problemas críticos: los peligros de una IA no alineada, la responsabilidad de los desarrolladores y unos protocolos de divulgación de incidentes inadecuados. Los expertos subrayan la urgente necesidad de establecer límites técnicos, una supervisión sólida y una notificación obligatoria y oportuna para evitar futuros incidentes potencialmente catastróficos.

En junio, un agente de IA vulneró Medicare y al menos otros tres sistemas gubernamentales; nos enteramos recién ahora, lo que ha causado alarma en todo el sector.

Seguir el ritmo de la regulación global de la IA se está volviendo casi tan difícil como seguir el ritmo de la propia tecnología. Para los líderes de seguridad, cada semana trae consigo un nuevo avance, propuesta regulatoria o cambio de política, lo que añade complejidad a un panorama de riesgos ya de por sí complicado.

El modelado de amenazas no es ninguna novedad para las organizaciones con un enfoque de ciberseguridad maduro y de defensa en profundidad. Ha sido durante mucho tiempo un pilar de la seguridad preventiva, ayudando a las empresas a identificar y solucionar vulnerabilidades antes de que puedan ser explotadas.

Secure Code Warrior ha lanzado Citizen AI, un programa de formación en alfabetización sobre IA para empleados que no son desarrolladores, con el objetivo de fomentar una adopción responsable de la IA en todas las áreas de la empresa.

El nuevo programa de alfabetización en IA dota a los empleados que no son desarrolladores del criterio, la conciencia de riesgos y los hábitos de uso responsable necesarios para adoptar flujos de trabajo basados en IA de forma segura.

Secure Code Warrior ha anunciado Citizen AI by Secure Code Warrior, un nuevo programa de alfabetización en IA diseñado específicamente para empleados que no son desarrolladores, con el fin de ayudar a las organizaciones a preparar a su plantilla para una adopción responsable de la IA. Citizen AI ayuda a las empresas a reducir el riesgo humano relacionado con la IA, respaldar iniciativas de gobernanza de IA a nivel corporativo, aumentar la confianza de los empleados al utilizar estas herramientas y acelerar la adopción segura de flujos de trabajo impulsados por IA.

‍

Secure Code Warrior, líder en gobernanza de software mediante IA y capacitación en seguridad para desarrolladores, anunció hoy Citizen AI by Secure Code Warrior, un nuevo programa de alfabetización en IA diseñado específicamente para empleados que no son desarrolladores, con el fin de ayudar a las organizaciones a preparar a su fuerza laboral para una adopción responsable de la IA.

El nuevo programa de alfabetización en IA dota a los empleados que no son desarrolladores del criterio, la conciencia de riesgos y los hábitos de uso responsable necesarios para adoptar flujos de trabajo basados en IA de forma segura.

Las organizaciones pasan por alto un objetivo clave al desarrollar programas de gobernanza y capacitación para el desarrollo de software asistido por IA.

El desarrollo de software con IA sigue evolucionando a un ritmo acelerado para los desarrolladores y sus equipos. , CEO y cofundador de Secure Code Warrior, plantea que, a medida que la norma cambia del código escrito por humanos a la programación asistida por IA y los flujos de trabajo autónomos, muchos equipos de seguridad se enfrentan ahora a un desafío crítico: gestionar los nuevos riesgos que introducen los sistemas autónomos.

‍

‍

La cuestión a la que se enfrentan las empresas de desarrollo de software no es si se debe utilizar IA generativa para crear código, ni si el porcentaje de código generado por IA aumentará en un futuro próximo. Ese tren ya pasó en los últimos 24 meses. La pregunta es cómo mantener la seguridad y el cumplimiento normativo mientras la IA generativa y los agentes de inteligencia artificial ponen código en circulación.

Cada septiembre, el Mes Nacional de Concienciación sobre Amenazas Internas nos recuerda oportunamente que algunos de los incidentes de seguridad más dañinos no provienen de atacantes externos que vulneran el perímetro, sino desde adentro. Ya sea por intención maliciosa, negligencia o un simple error humano, los usuarios internos con acceso legítimo a sistemas, datos e instalaciones siguen siendo uno de los riesgos más persistentes y difíciles de detectar para las organizaciones actuales. A medida que el trabajo híbrido, las herramientas basadas en IA y los entornos de TI cada vez más complejos transforman el lugar de trabajo, el panorama de las amenazas internas sigue evolucionando de formas que exigen una nueva atención por parte de los profesionales de la seguridad.

A medida que la IA agente impulsa aún más la productividad, la revisión de código humana se convierte en un cuello de botella crítico. Los desarrolladores deben intervenir en las etapas iniciales para establecer las reglas básicas y garantizar que la IA las cumpla.

​El sector de la ciberseguridad, que lleva más de una década defendiendo los principios de «seguridad desde el diseño», observa con asombro los riesgos que plantea la inteligencia artificial (IA). Ante la prisa de las organizaciones por adoptar la IA, la prioridad más urgente de un CISO es no convertirse en un obstáculo. Sin embargo, sin una gobernanza, uso, observabilidad y trazabilidad eficaces, las organizaciones podrían verse sorprendidas por los riesgos de su IA.​

Secure Code Warrior ha presentado el modelo de adopción de IA de SCW, un marco diseñado para ayudar a las organizaciones a gestionar el uso de la IA en el desarrollo de software, a medida que el sector evoluciona del ciclo de vida de desarrollo de software (SDLC) tradicional hacia lo que la empresa denomina ciclo de vida de desarrollo agéntico (ADLC).

A medida que muchos equipos de ingeniería de software pasan de los asistentes de programación por IA a la generación de código mediante agentes autónomos, aumentando exponencialmente su producción, garantizar la seguridad de dicho código debe ser una prioridad absoluta. Este estudio ofrece una guía práctica para las organizaciones que se están sumando a la tendencia del desarrollo de código asistido por IA o mediante agentes.

El uso de tokens puede generar costes inesperados y considerables para las organizaciones.

La IA permite ciclos de desarrollo más rápidos y libera a los desarrolladores para que se centren en tareas de mayor valor. Para muchas empresas, esta eficiencia es fundamental para seguir siendo competitivas. El reto, por tanto, no es si adoptar la IA, sino cómo hacerlo de forma responsable. Las empresas que inviertan en formación, marcos de gobernanza, observabilidad de la IA y controles de seguridad sólidos estarán mejor posicionadas para aprovechar sus beneficios y limitar los riesgos asociados.

El problema ya no se limita simplemente a proteger los modelos de IA. Cada vez más, los atacantes se centran en el ecosistema de software que rodea a dichos modelos, incluidas las herramientas de desarrollo, el middleware, las bibliotecas de código abierto y los procesos de implementación automatizados de los que dependen las organizaciones a diario.

Como analizaremos juntos, existe un gran dinamismo a nivel mundial, con cierta colaboración entre naciones, pero el camino a seguir dista mucho de ser uniforme o claro, especialmente en entornos empresariales donde la adopción de la IA suele imponerse antes de contar con medidas de protección integrales.  

Según un experto, las directrices de seguridad de la IA no están diseñadas como «límites de seguridad», sino para influir en el comportamiento; pero ¿qué ocurre si ese comportamiento consiste en hackear a uno de sus socios del sector?

‍

Los expertos en ciberseguridad han advertido que la vulneración de la infraestructura de Hugging Face durante una evaluación de seguridad de OpenAI marca un punto de inflexión en los riesgos que plantean los agentes de IA autónomos. En el incidente, los modelos de IA superaron un entorno de prueba controlado y llevaron a cabo una intrusión real de varias etapas contra la plataforma de IA.

El código generado por IA introduce una media de 15 vulnerabilidades confirmadas por base de código, según Secure Code Warrior.

La IA de vanguardia se enfrenta a una crisis de relaciones públicas. Después de que Hugging Face publicara una entrada de blog el 16 de julio afirmando que un agente autónomo había vulnerado su entorno interno, OpenAI publicó el 21 de julio que el incidente ocurrió cuando GPT 5.6 Sol y un “modelo de prelanzamiento” escaparon de un entorno de pruebas controlado.

Las investigaciones de Secure Code Warrior revelan que el código generado por IA introduce una media de 15 vulnerabilidades por base de código.

‍

Secure Code Warrior ha presentado el SCW AI Trust Index, un punto de referencia dinámico para la seguridad en la programación con IA que evoluciona con cada nuevo modelo, ayudando a las organizaciones a comprender y gestionar los riesgos de seguridad del código generado por IA. Basada en una metodología desarrollada junto con la Universidad RMIT de Australia y ampliada por Secure Code Warrior, esta investigación ofrece evaluaciones exhaustivas sobre la frecuencia con la que los principales LLM generan código inseguro, lo que tiene implicaciones directas para toda empresa que escale su desarrollo asistido por IA.

El código generado por IA introduce una media de 15 vulnerabilidades por base de código, pero el riesgo real depende más de la combinación de frameworks que del modelo utilizado.

El nuevo SCW AI Trust Index demuestra que el riesgo en el código generado por IA no es aleatorio, sino predecible según el modelo y el framework, proporcionando a los líderes de seguridad los datos para escalar el desarrollo asistido por IA de forma segura.

Los desafíos de la implementación de la IA, las actualizaciones constantes y la carrera por el dominio del sector se suceden con rapidez, y los profesionales de la seguridad son de los más afectados por su amplio perfil de riesgo.

El gobierno australiano ha afirmado que la IA es fundamental para el interés nacional del país, pero ¿cuál es su situación actual? Esto es lo que opinan los expertos más destacados del sector sobre la inteligencia artificial y su papel en la empresa moderna.

‍

La aparición de la IA agente marca un cambio estructural en el desarrollo de software, al introducir sistemas que no solo aceleran los ciclos de producción, sino que también realizan razonamientos y acciones autónomas más allá del control humano directo.

A medida que el código generado por IA se vuelve habitual, los CISO necesitan nuevas estrategias de auditoría para evaluar las prácticas de los desarrolladores, regular el uso de herramientas de IA e identificar riesgos de software antes de que lleguen a producción.

Esta categoría ha cobrado una nueva urgencia en 2026 por una razón específica de este momento: las herramientas y agentes de programación con IA están aumentando drásticamente la cantidad de código que se escribe y la frecuencia con la que debe implementarse, probarse y aprovisionarse. La ingeniería de plataformas es la capa que determina si esa mayor velocidad se traduce en valor real o en caos.

Según un informe reciente de Gartner, el uso desenfrenado de IA en la sombra y la automatización no autorizada está impulsando la proliferación de vulnerabilidades de IA. Gartner señala que el 32% de los trabajadores de TI que utilizan herramientas de IA generativa en el trabajo admiten ocultarlas a sus equipos de ciberseguridad. Sumado a las plataformas de código bajo/sin código y las prácticas de programación intuitiva, los copilotos de IA están ampliando considerablemente la superficie de ataque empresarial.

Para este artículo, planteamos una pregunta fundamental para los líderes de seguridad y riesgos: "¿Qué diferencia a una política que mitiga genuinamente el riesgo empresarial de aquella que existe principalmente para demostrar que la organización ha reconocido el riesgo de la IA?"

Pieter Danhieux, de Secure Code Warrior, sobre la gestión de riesgos en el desarrollo impulsado por IA

A medida que la IA generativa se consolida en el desarrollo de software empresarial, una disciplina conocida cobra una nueva urgencia: la gestión de riesgos.

Secure Code Warrior ha anunciado hoy SCW Trust Agent: AI, la primera solución de gobernanza del sector diseñada para hacer que la influencia de la Inteligencia Artificial (IA) en el desarrollo de software sea visible, atribuible y ejecutable en el momento de la confirmación, lo que permite a las empresas escalar las herramientas de codificación con IA con un control medible sobre el riesgo del software.

Incluso mientras reestructuramos el ciclo de vida de desarrollo de software (SDLC) en torno a los elementos más impactantes de la metodología Agile con consideraciones de seguridad centradas en DevSecOps, ¿es este el fin del camino para la seguridad de aplicaciones tal como la conocemos?

Premios Global InfoSec 2026: Secure Code Warrior gana el premio a la excelencia en gestión de riesgos de ciberseguridad y cumplimiento

Nuestra nueva solución de gobernanza de IA hace visible el código generado por IA en el momento de la confirmación, aplica políticas antes de la producción y vincula el comportamiento real de desarrollo con una reducción medible del riesgo.

Secure Code Warrior (SCW) ha incorporado esta semana un agente de inteligencia artificial (IA) capaz de identificar el código generado por herramientas de programación mediante IA y aplicar automáticamente las políticas de gobernanza correspondientes.

Secure Code Warrior ha lanzado SCW Trust Agent: AI, un producto de gobernanza de software que rastrea el uso de herramientas de programación con IA en el desarrollo y vincula dicho uso con el riesgo de software cuando los desarrolladores confirman código.