Perspectivas de expertos que definen el desarrollo seguro

La lucha entre héroes y villanos en el ámbito de la ciberseguridad es notoriamente desigual. Los datos confidenciales son el nuevo oro, y los atacantes se adaptan rápidamente para eludir las defensas, aprovechando fallos de seguridad, grandes y pequeños, en busca de un botín potencial.

Descubre qué es el análisis estático y cómo puede ayudarte a escribir mejor código mediante 5 ejemplos de enfoques y complementos para entornos de desarrollo (IDE).

Llega esa época especial del año (al menos para nosotros) en la que reflexiono sobre nuestra última vuelta al sol y sobre todo lo que hemos hecho en los últimos 365 días para prepararnos ante un nuevo año de crecimiento, aprendizaje e inevitable incertidumbre.

An example scenario for a misconfiguration of Guice, which may lead to a NullPointerException being reported at runtime during testing.

Predecimos que 2021 será el año en que llevaremos un nuevo tipo de carrera espacial a la corriente principal: mantener nuestra galaxia a salvo de las ciberamenazas.

Esta vulnerabilidad es más un problema humano o de gestión que permite que las API antiguas permanezcan activas mucho después de haber sido reemplazadas por versiones más nuevas y seguras.

Descubre cómo Sensei puede facilitarte la migración identificando patrones obsoletos y sugiriéndote las soluciones que debes implementar a partir de ahora.

Las herramientas de pruebas de penetración y análisis estático (más conocidas como SAST) son solo una parte del proceso general para mitigar los riesgos de seguridad y funcionan de manera bastante independiente a lo que hacemos, ¡hasta que el código vuelve a nosotros para correcciones urgentes, por supuesto!

Learn how Sensei can identify a coding pattern, and automatically generate a private constructor to make it impossible to instantiate the class.

Ya sea que la incomodidad provenga de la incertidumbre ante una nueva forma de trabajar, de una ligera desconfianza o quizás de no creer en el trabajo remoto, observo que las empresas que se resisten a él tienden a quedarse atrás en cuanto a la atracción de talento de primer nivel, el mantenimiento de su alcance global y, francamente, en adaptarse a los nuevos tiempos.

Learn how to use code reviews on pull requests to help enforce coding styles. And shorten the feedback cycle when pair programming with a more experienced programmer.

A quick example of creating a recipe to migrate from System.out.println to using a Java Logger.

La vulnerabilidad de registro y supervisión insuficientes suele producirse como consecuencia de una estrategia de ciberseguridad deficiente a la hora de registrar todos los intentos fallidos de autenticación, los accesos denegados y los errores de validación de entrada.

Aprende a compartir los libros de recetas de Sensei y ayuda a todo tu equipo a mejorar la calidad de su código y su productividad.

Nos complace anunciar el lanzamiento de una nueva funcionalidad en la plataforma Secure Code Warrior: Misiones. Esta categoría de desafíos totalmente nueva representa la siguiente fase en la formación en seguridad para desarrolladores, permitiendo a los usuarios pasar de la simple memorización de conceptos de seguridad a su aplicación en un entorno de simulación del mundo real.

Aunque es un poco más frecuente en las API, los atacantes suelen intentar localizar vulnerabilidades sin parchear y archivos o directorios desprotegidos en cualquier parte de una red. Encontrarse con una API que tenga la depuración activada o las funciones de seguridad desactivadas simplemente les facilita un poco más su labor malintencionada.

Descubre cómo Sensei puede ayudar a integrar desarrolladores y adoptar nuevas librerías.

Learn all about the latest updates to Sensei.

Aprende a utilizar Sensei para identificar patrones de código problemáticos y corregirlos mediante implementaciones acordadas, con ejemplos de coincidencia de anotaciones.

La vulnerabilidad de asignación masiva surgió debido a que muchos marcos de trabajo modernos incentivan a los desarrolladores a utilizar funciones que vinculan automáticamente los datos de entrada de los clientes con variables de código y objetos internos.

La iniciativa del Gobierno australiano para abordar la ciberseguridad con seriedad deja claro que se ha identificado como un área de riesgo clave a nivel nacional, pero ¿es su estrategia lo suficientemente ambiciosa?

El plugin Sensei ofrece una forma sencilla de encontrar patrones de código específicos en tu código fuente y aplicar reglas de reescritura para modificar el código coincidente. Todo dentro del IDE IntelliJ y en tiempo real.

Secure Code Warrior ha creado una GitHub Action que aporta aprendizaje contextual al escaneo de código de GitHub. Esto significa que los desarrolladores pueden usar una acción de terceros, como Snyk Container Action, para encontrar vulnerabilidades y luego complementar los resultados con aprendizaje hiperrelevante y específico para CWE.

La vulnerabilidad de control de acceso a nivel de función permite a los usuarios ejecutar funciones que deberían estar restringidas o acceder a recursos que deberían estar protegidos.

Todas las organizaciones pueden aprovechar el Mes de la Concienciación sobre la Ciberseguridad para actualizar sus conocimientos en seguridad y, este año, ¡también lanzamos una nueva aplicación gratuita para la comunidad de programación!

Esta vulnerabilidad se produce cuando se reciben demasiadas solicitudes al mismo tiempo y la API no tiene suficientes recursos informáticos para gestionar esas solicitudes. En ese caso, la API puede dejar de estar disponible o dejar de responder a las nuevas solicitudes.

Cambiar las soluciones de seguridad hacia el proceso de desarrollo no es fácil, pero es necesario en el mundo actual, donde incluso los dispositivos aparentemente simples, como las herramientas de presentación, son sorprendentemente complejos y están conectados en red con todo lo demás.

Los mecanismos reales detrás de esta vulnerabilidad son similares a otros, pero la exposición excesiva de datos, en este caso, se define como aquella que involucra información legalmente protegida o altamente confidencial.

La autenticación suele actuar como puerta de acceso tanto a una aplicación como, potencialmente, al resto de una red, por lo que se convierte en un objetivo atractivo para los atacantes. Si un proceso de autenticación está roto o es vulnerable, es muy probable que los atacantes descubran esa debilidad y la exploten.

Queremos destacar a uno de nuestros expertos, Oscar Quintas. Forma parte de nuestro equipo de Contenido de Producto como Investigador Senior de Seguridad. Además, es nuestro mago particular en todo lo relacionado con la Infraestructura como Código (IaC).

Por lo general, se deben incluir comprobaciones de autorización a nivel de objeto en todas las funciones que accedan a una fuente de datos mediante entradas del usuario; omitirlas supone un riesgo considerable.

Los ciberataques son cada vez más frecuentes y las amenazas que afectan a la infraestructura basada en Linux son cada vez más comunes, con el objetivo final de tener la oportunidad de abrir un cofre de botín de datos confidenciales almacenados en la nube.

Teniendo en cuenta su organización, reflexione sobre estas preguntas en el contexto de su función. ¿Cómo le iría si se sometiera a la prueba DevSec?

Un curso seleccionado que contiene los módulos exactos en los que sus desarrolladores necesitan demostrar competencia tendrá un impacto significativo y les permitirá comenzar a trabajar de inmediato con las mejores prácticas de seguridad en sus tareas diarias.

Sabemos de sobra que la jornada laboral ya está lo suficientemente cargada, así que ¿qué incentivo tienen los desarrolladores para desplazarse a un aula o cambiar de contexto y seguir cinco pasos solo para acceder a una formación basada en teoría estática?

La idea detrás de las aplicaciones de rastreo de contactos es sólida. Esta tecnología, cuando funciona correctamente, permitiría identificar rápidamente los focos de contagio y realizar pruebas exhaustivas, dos componentes esenciales para combatir la propagación de un virus contagioso.

Empezamos a pensar en cómo reducir las barreras para acceder a la formación cuando la necesitas y en cómo integrar el microaprendizaje en tu flujo de trabajo de una manera más fluida.

El 23 de junio es una fecha señalada en el calendario geek, ya que se celebra el Día Internacional de la Mujer en la Ingeniería. Es nuestra oportunidad para destacar la contribución de las mujeres al desarrollo de software.

Esta vulnerabilidad puede producirse cuando los desarrolladores no implementan correctamente las reglas de lógica de negocio, lo que podría dejar sus aplicaciones expuestas a diversos tipos de ataques si un usuario malintencionado decide aprovecharlas.

Rust incorpora elementos conocidos y funcionales de lenguajes de uso común, trabajando bajo una filosofía diferente que elimina la complejidad, al tiempo que introduce rendimiento y seguridad.

El comportamiento que genera vulnerabilidades en el que nos centraremos aquí es el uso de código de fuentes no confiables, una práctica aparentemente inofensiva que está causando graves problemas.

El sector sanitario podría convertirse en el próximo gran campo de batalla de la ciberseguridad, con delincuentes atacando los mismos equipos que diagnostican problemas médicos, proporcionan tratamientos y mantienen a los pacientes con vida.

Las configuraciones de seguridad incorrectas, especialmente las relacionadas con permisos inadecuados, suelen ocurrir cuando un desarrollador crea un nuevo usuario o concede permisos a una aplicación para que funcione como herramienta en la ejecución de una tarea.

En ocasiones, las aplicaciones también comparten datos con otros programas como parte de una carga de trabajo general. Si la capa de transporte no está protegida, queda vulnerable tanto al espionaje externo como a la visualización interna no autorizada.

Hoy en día, el cifrado de datos críticos como contraseñas, información personal y registros financieros cuando están almacenados es un pilar fundamental de cualquier estrategia de ciberseguridad.

Aunque el COBOL es un lenguaje de programación antiguo, sigue siendo eficaz hoy en día. Obtenga más información sobre el desarrollo de aplicaciones seguras en COBOL con Secure Code Warrior.

Hoy en día, la clave de la mayor parte de la seguridad informática reside en las contraseñas. Incluso cuando se utilizan otros métodos de seguridad, como la autenticación de dos factores o la biometría, la mayoría de las organizaciones siguen empleando la seguridad basada en contraseñas como un elemento fundamental de su protección.

Debemos llegar a una etapa en la que la seguridad se considere una responsabilidad compartida en toda la organización y en todo el SDLC. Sin duda, esto es posible cuando te comprometes con un entorno DevSecOps completo y con un gran apoyo.

Si el control de acceso a nivel de infraestructura no está perfectamente organizado, la empresa queda expuesta a atacantes que pueden aprovechar esa vulnerabilidad como puerta de entrada para el espionaje no autorizado o para ejecutar un ataque a gran escala.

Los atacantes siempre intentarán encontrar primero las vulnerabilidades más fáciles de explotar y es posible que utilicen scripts para detectar debilidades comunes. Es como un ladrón que prueba todas las puertas de los coches en una calle para ver si alguna está abierta; es mucho más sencillo que romper una ventana.

Esta es la segunda parte de una miniserie sobre el cumplimiento de PCI-DSS dentro de una organización. En este capítulo final, detallamos cómo los CTO y CISO pueden liderar desde la dirección para reducir el riesgo cibernético y hacer que el proceso sea fluido, exitoso... y quizás hasta un poco divertido para los desarrolladores.

Esta es la primera parte de una serie de dos entregas sobre el cumplimiento exitoso de PCI-DSS dentro de una organización. En este capítulo, detallamos cómo los especialistas en seguridad de aplicaciones pueden colaborar estrechamente con los gerentes de desarrollo para capacitar a los desarrolladores, fortalecer el ciclo de vida de desarrollo de software seguro (SSDLC) y obtener resultados concretos a partir de la legislación general.

En nuestro sector, muchos expertos en seguridad han empezado a predecir los temas candentes del año, pero con el robo de más de cinco mil millones de registros de datos confidenciales en 2019, pensamos que sería más preciso predecir lo que no ocurrirá en materia de ciberseguridad en un futuro próximo.

Gran parte de la iniciativa de "desplazarse a la izquierda", es decir, introducir la seguridad mucho antes en el proceso de desarrollo, simplemente no marca una diferencia suficiente.

Con la llegada del GDPR, así como con la revisión de la estrategia tras un ataque en varias etapas que expuso los datos confidenciales de muchas figuras públicas, así como de servidores del gobierno federal alemán, está claro que la conciencia y la acción en materia de ciberseguridad son una prioridad para los líderes de la región DACH.

El mundo está empezando a dejar atrás Waterfall, Agile y ahora DevOps, así que ¿cuál es la siguiente solución? Y como desarrollador, ¿cuál es tu papel para mantener el ritmo ante estos cambios de enfoque?

Hacia finales del año pasado, la increíble comunidad de MITRE publicó su lista de los 25 errores de software más peligrosos (CWE Top 25) que afectaron al mundo en 2019. Y la mayor parte no fue ninguna sorpresa.

Podría haber comenzado este artículo con todos los datos y cifras que apuntan a una startup en pleno auge y crecimiento acelerado; son innegablemente impresionantes y la trayectoria actual de nuestra empresa es sólida. Sin embargo, para mí, estos números no reflejan aquello de lo que me siento más orgulloso en 2019.

Pocas empresas logran implementar DevOps con éxito. Sin embargo, el apoyo, el fomento y la comprensión adecuados en toda la organización pueden transformar sus procesos.

El Instituto Nacional de Estándares y Tecnología (NIST) publicó un libro blanco actualizado que detalla varios planes de acción para reducir las vulnerabilidades del software y el riesgo cibernético.

Estos eventos centrados en desarrolladores son de mis favoritos en el calendario; sirven como un recordatorio aleccionador de la comunidad que trabaja incansablemente para educar y capacitar a ingenieros de software y especialistas para que defiendan la seguridad en su trabajo.

Aunque las iniciativas regulatorias sin duda mejorarán y crecerán con el tiempo, si las organizaciones ya están entrando en pánico y apresurándose a implementar capacitaciones ahora, podrían encontrarse mal preparadas para el futuro.

Existen desarrolladores de todo tipo y de todos los ámbitos, y siempre ha existido un sentido de comunidad en todo lo que hacemos.

Aunque la programación segura debería ser un componente obligatorio en la formación universitaria de ingeniería de software, algunas universidades ya están a la vanguardia ofreciendo una formación de primer nivel y priorizando la seguridad como parte fundamental del proceso de desarrollo desde el primer momento.

Nuestra vicepresidenta de Éxito del Cliente, Fatemah Beydoun, presentó recientemente su charla "Mentoring for the future: How we can all do better in fostering female cybersecurity talent" ante una audiencia muy receptiva. Ella ha sido una pieza fundamental para impulsar un cambio positivo dentro del sector de la ciberseguridad.

La deserialización insegura puede ocurrir siempre que una aplicación trate los datos que se están deserializando como confiables. Si un usuario puede modificar los datos recién reconstruidos, es capaz de realizar todo tipo de actividades maliciosas, como inyecciones de código, ataques de denegación de servicio o elevación de privilegios.

Realmente sorprende que muchos lugares sigan confiando en las aulas, los libros de texto aburridos y la abrumadora formación en vídeo para sacar lo mejor de sí mismos a las nuevas iniciativas, especialmente cuando hay una forma de aprender mucho mejor, más atractiva y más valiosa: la formación contextual.

La industria de la seguridad de software no es precisamente conocida por transmitir calidez, observaciones caprichosas o reflexiones sobre la vida, pero, tal vez al hacerme mayor, me encuentro pensando en el impacto que todos podemos tener en el mundo.

La exposición de datos confidenciales ocurre cuando información destinada exclusivamente a personas autorizadas queda al alcance de terceros no autorizados, ya sea sin cifrar, sin protección o con medidas de seguridad insuficientes.

La historia de Bill Demirkapi, el joven investigador de seguridad que expuso vulnerabilidades importantes en el software utilizado por su escuela, sin duda me trajo recuerdos. Recuerdo ser ese niño curioso que levantaba el capó del software para echar un vistazo y ver cómo funcionaba todo... y si era capaz de romperlo.

Aunque VxWorks no sea un nombre conocido para el consumidor promedio, este software beneficia a muchas personas como tú y como yo todos los días. Y ahora, nos enfrentamos a la posibilidad de que cientos de millones de dispositivos que funcionan con VxWorks estén comprometidos.

El ataque de inyección de entidades externas XML, a veces abreviado simplemente como inyección XXE, es relativamente reciente, pero goza de una enorme popularidad en las comunidades de hackers y su uso sigue creciendo a medida que acumula éxitos.

Si un atacante logra insertar un código CR o LF en una aplicación existente, a veces puede alterar su comportamiento. Aunque los efectos son más difíciles de predecir que en la mayoría de los ataques, pueden resultar igual de peligrosos para la organización afectada.

Los CISO y CIO creativos e inspiradores tienen el poder de innovar y dar forma a nuestro mundo digital, pero también pueden ser fundamentales para transformar la cultura de seguridad de una organización.

En muchos sentidos, la vulnerabilidad de inclusión remota de archivos es mucho más peligrosa, y también más fácil de explotar, que su equivalente local. Por ello, debe detectarse y solucionarse lo antes posible.

Este año, el PCI Security Standards Council publicó un conjunto totalmente nuevo de directrices de seguridad de software como parte de su PCI Software Security Framework. Esta actualización tiene como objetivo alinear las mejores prácticas de seguridad de software con el desarrollo de software moderno.

A diferencia de muchas vulnerabilidades, la explotación de los procesos de inclusión de archivos locales y recorrido de rutas con fines nefastos requiere un atacante lo suficientemente hábil, una cantidad considerable de tiempo y quizás un poco de suerte.

Aunque hayas protegido por completo un servidor de aplicaciones y los sistemas backend que utiliza, las comunicaciones pueden seguir siendo vulnerables a la interceptación si la protección de la capa de transporte es insuficiente.

Los ataques de inyección XML son vulnerabilidades peligrosas creadas por piratas informáticos para comprometer sistemas que alojan bases de datos XML. Esto incluye todo lo que suele venir a la mente al pensar en bases de datos tradicionales: depósitos detallados de información sobre cualquier tema, desde medicamentos hasta películas.

Un informe reciente del Centro de Evaluación de Ciberseguridad de Huawei en el Reino Unido identificó problemas de seguridad importantes en los procesos de ingeniería de software de la empresa. Sin embargo, es un problema que tiene solución.

El panel de Líderes en AppSec abordó temas candentes, como la optimización del presupuesto de seguridad de aplicaciones de una organización y varias preguntas complejas de la audiencia, ofreciendo ideas clave que ayudarán a los especialistas en seguridad a desarrollar programas viables dentro de sus empresas.

El registro y la supervisión insuficientes representan una de las condiciones más peligrosas que pueden existir en la estructura defensiva de una aplicación. Si esta vulnerabilidad o condición está presente, casi cualquier ataque avanzado dirigido contra ella terminará teniendo éxito.

Programar un sitio web o una aplicación con la capacidad de procesar redirecciones y reenvíos no validados puede ser extremadamente peligroso tanto para sus usuarios como para su organización.

Es oficial: unimos fuerzas con Bugcrowd en nuestra misión de educar, capacitar e inspirar a los desarrolladores en la programación segura.

Los ataques de inyección de código se encuentran entre los más comunes y, a la vez, más peligrosos a los que se enfrentan muchos sitios web y aplicaciones. Su nivel de sofisticación y el riesgo que representan son muy variados, pero prácticamente cualquier sitio o aplicación que acepte información de los usuarios puede ser vulnerable.

El reciente ataque a los repositorios de GitHub pone de relieve un problema bien conocido en el sector de la seguridad: la mayoría de los desarrolladores no tienen la suficiente conciencia sobre seguridad y los datos valiosos podrían estar en riesgo en cualquier momento.

Al desarrollar una aplicación empresarial, ya sea para uso interno o para que la utilicen sus clientes, probablemente no permita que todos los usuarios realicen todas las funciones. Si lo hace, podría ser vulnerable a un control de acceso deficiente.

Ante el aumento de los ciberataques, que afectan a todo tipo de organizaciones en todos los sectores, la amenaza de sufrir brechas de datos costosas, comprometedoras y perjudiciales para los resultados financieros es muy real. El problema no disminuye, sino que crece de forma descontrolada.

Cuando una aplicación web revela demasiada información, facilita que los atacantes puedan vulnerarla. En este artículo, explicaremos qué es la exposición de información, por qué representa un riesgo y cómo prevenirla.

Dado que todas las aplicaciones utilizan componentes, la mayoría de los cuales usted no ha escrito, las vulnerabilidades dentro de los componentes que utiliza pueden convertirse en riesgos. Analicemos qué significa utilizar componentes con vulnerabilidades conocidas, qué tan peligroso es y cómo resolverlo.

Habiendo estado en ambos lados, conozco muy bien la tensión que puede surgir entre el equipo de desarrollo y los especialistas en AppSec a la hora de mantener las mejores prácticas de seguridad. Sin embargo, existe un enfoque mejor.

Vamos a abordar uno de los problemas más comunes a los que se enfrentan las organizaciones que gestionan sitios web o que permiten a sus empleados acceder a recursos informáticos de forma remota, es decir, prácticamente todas. Y sí, probablemente hayas adivinado que vamos a hablar de la autenticación.

Si una aplicación no cuenta con controles anti-automatización adecuados, los atacantes pueden probar contraseñas de forma reiterada hasta dar con la correcta. Te explicamos cómo detenerlos.

Aunque los problemas de programación pueden ser parte del problema, los errores en la lógica de negocio suelen ser consecuencia de fallos en el diseño o de suposiciones lógicas incorrectas durante la creación inicial de la aplicación.

En ciberseguridad, a menudo actuamos como cazadores. Mantenemos la vista fija en el horizonte, escaneando en busca de la próxima vulnerabilidad crítica. Sin embargo, este enfoque orientado exclusivamente hacia el futuro puede tener el efecto contraproducente de disminuir nuestra conciencia de seguridad general.

Es común que los sitios web y las aplicaciones permitan a los usuarios enviar comentarios y otros datos a través de una aplicación mediante el correo electrónico. Y la mayoría de las personas ni siquiera piensan en ello en términos de un posible riesgo de seguridad.

Una referencia directa a un objeto ocurre cuando se hace alusión a un registro específico (el «objeto») dentro de una aplicación. Por lo general, adopta la forma de un identificador único y puede aparecer en una URL.

La seguridad del software es una prioridad constante para mí, al igual que el peligro real que suponen nuestros estilos de vida, cada vez más digitales y centrados en compartir información personal. Al fin y al cabo, nos encontramos en un territorio en gran medida sin regular, sin supervisión y felizmente ignorado. Estamos en el Lejano Oeste.

En esta sociedad digital, los desarrolladores tienen la responsabilidad de proteger la información y las empresas frente al almacenamiento criptográfico inseguro. Aprenda cómo hacerlo con Secure Code Warrior.

La gran mayoría de los sitios web utilizan bases de datos XML para realizar funciones críticas, como almacenar credenciales de inicio de sesión, información de clientes, datos de identidad personal e información confidencial o sensible, lo que deja a los ataques de XQuery con una superficie de ataque bastante amplia.

La Cámara de Comercio (Kamer van Koophandel) comparte cómo integró la programación segura en el desarrollo diario mediante certificaciones basadas en roles, evaluaciones comparativas de puntuación de confianza y una cultura de responsabilidad compartida en seguridad.

Descubra cómo la colaboración entre Paysafe y Secure Code Warrior permitió aumentar la productividad de los desarrolladores en un 45 % y reducir significativamente las vulnerabilidades en el código.

DigitalOcean's use of Secure Code Warrior training has significantly reduced security debt, allowing teams to focus more on innovation and productivity. The improved security has strengthened their product quality and competitive edge. Looking ahead, the SCW Trust Score will help them further enhance security practices and continue driving innovation.

Explora los resultados de las Devlympics 2023 en este informe. Sumérgete en la participación de los desarrolladores, las tendencias en lenguajes y stacks tecnológicos de cada sector participante, así como en las vulnerabilidades y CWE clave abordadas en este evento global anual organizado por Secure Code Warrior.

Descubre cómo Sage reforzó su seguridad con un enfoque flexible y centrado en las relaciones, logrando formar a más de 200 expertos en seguridad y alcanzar una reducción de riesgos cuantificable.

Descubra cómo Workday transformó la formación de sus desarrolladores mediante el aprendizaje ágil con Secure Code Warrior. Al dotar a los desarrolladores de una formación práctica y específica por lenguaje, Workday redujo las vulnerabilidades en las primeras etapas del ciclo de vida de desarrollo de software (SDLC). Conozca sus impresionantes resultados y las claves para fomentar una cultura de código seguro.

En este caso práctico, descubra cómo Thales ha desarrollado enfoques de personas, procesos y tecnología para un programa ágil de aprendizaje de código seguro, con el fin de motivar a los desarrolladores a convertirse en defensores activos de la seguridad.

Descubra cómo el gigante minorista Colgate-Palmolive transformó su seguridad de aplicaciones durante su proceso de transformación digital. Ante los desafíos en la codificación segura, innovaron su enfoque integrando un aprendizaje breve y contextual en el flujo de trabajo de los desarrolladores.

IAG Group es la entidad detrás de muchas de las principales compañías de seguros en la región de Asia-Pacífico, que suscribe pólizas para millones de clientes por un valor aproximado de 11.400 millones de dólares australianos en primas anuales.

Descubra cómo crearon una iniciativa interna de formación tecnológica destinada a ayudar a miles de empleados a adquirir habilidades prácticas y de vanguardia en diversas disciplinas, como el aprendizaje automático y la ciberseguridad.

Explore este caso de estudio integral para conocer cómo utilizaron los torneos de Secure Code Warrior para involucrar a los desarrolladores, aumentar la concienciación sobre las vulnerabilidades clave que afectan al software automotriz y obtener métricas en múltiples lenguajes y marcos de trabajo.

Hitachi Vantara and Secure Code Warrior warned that the spread of AI is reshaping cyber risk for organisations during Cybersecurity Awareness Month.

Both said attackers are using AI to move faster and scale up attacks. They also warned that companies are under pressure to strengthen data governance and recovery planning as regulators sharpen their focus on operational resilience and data handling.

El Mes de Acción de Ciberseguridad (conocido mundialmente como el Mes de Concienciación sobre Ciberseguridad) es una campaña anual de sensibilización en Australia que se celebra en octubre para animar a personas y empresas a mejorar su seguridad en línea mediante hábitos cotidianos sencillos.

Los gobiernos ya no pueden tratar los ciberataques a velocidad de máquina como un escenario futuro porque, como demostró la reciente brecha de Medicare, el futuro ya está aquí.

‍

‍

Octubre es el Mes de la Concienciación sobre la Ciberseguridad y, si algo han demostrado los últimos doce meses, es que el panorama de amenazas no se toma un respiro. Desde campañas de phishing impulsadas por IA e ingeniería social mediante deepfakes hasta el incesante goteo de ataques de ransomware contra hospitales, escuelas y municipios, los equipos de seguridad apenas han tenido descanso en 2026. Esta conmemoración anual, que cumple ya tres décadas, sigue siendo una de las mejores excusas del sector para hacer una pausa, evaluar la situación y preguntarnos: ¿somos realmente más seguros o simplemente estamos más ocupados?

OpenAI has abandoned an update of Astra planned for release in October after internal testing found safety and alignment problems - an increasing source of concern at the company.

Los agentes de OpenAI «se infiltraron» en sitios web gubernamentales de Australia al realizar tareas de investigación relativamente rutinarias, en lo que se considera uno de los primeros incidentes de este tipo.

Este evento, tras otras brechas de agentes de IA, pone de relieve problemas críticos: los peligros de una IA no alineada, la responsabilidad de los desarrolladores y unos protocolos de divulgación de incidentes inadecuados. Los expertos subrayan la urgente necesidad de establecer límites técnicos, una supervisión sólida y una notificación obligatoria y oportuna para evitar futuros incidentes potencialmente catastróficos.

En junio, un agente de IA vulneró Medicare y al menos otros tres sistemas gubernamentales; nos enteramos recién ahora, lo que ha causado alarma en todo el sector.

Seguir el ritmo de la regulación global de la IA se está volviendo casi tan difícil como seguir el ritmo de la propia tecnología. Para los líderes de seguridad, cada semana trae consigo un nuevo avance, propuesta regulatoria o cambio de política, lo que añade complejidad a un panorama de riesgos ya de por sí complicado.

El modelado de amenazas no es ninguna novedad para las organizaciones con un enfoque de ciberseguridad maduro y de defensa en profundidad. Ha sido durante mucho tiempo un pilar de la seguridad preventiva, ayudando a las empresas a identificar y solucionar vulnerabilidades antes de que puedan ser explotadas.

Secure Code Warrior ha lanzado Citizen AI, un programa de formación en alfabetización sobre IA para empleados que no son desarrolladores, con el objetivo de fomentar una adopción responsable de la IA en todas las áreas de la empresa.

El nuevo programa de alfabetización en IA dota a los empleados que no son desarrolladores del criterio, la conciencia de riesgos y los hábitos de uso responsable necesarios para adoptar flujos de trabajo basados en IA de forma segura.

Secure Code Warrior ha anunciado Citizen AI by Secure Code Warrior, un nuevo programa de alfabetización en IA diseñado específicamente para empleados que no son desarrolladores, con el fin de ayudar a las organizaciones a preparar a su plantilla para una adopción responsable de la IA. Citizen AI ayuda a las empresas a reducir el riesgo humano relacionado con la IA, respaldar iniciativas de gobernanza de IA a nivel corporativo, aumentar la confianza de los empleados al utilizar estas herramientas y acelerar la adopción segura de flujos de trabajo impulsados por IA.

‍

Secure Code Warrior, líder en gobernanza de software mediante IA y capacitación en seguridad para desarrolladores, anunció hoy Citizen AI by Secure Code Warrior, un nuevo programa de alfabetización en IA diseñado específicamente para empleados que no son desarrolladores, con el fin de ayudar a las organizaciones a preparar a su fuerza laboral para una adopción responsable de la IA.

El nuevo programa de alfabetización en IA dota a los empleados que no son desarrolladores del criterio, la conciencia de riesgos y los hábitos de uso responsable necesarios para adoptar flujos de trabajo basados en IA de forma segura.

Las organizaciones pasan por alto un objetivo clave al desarrollar programas de gobernanza y capacitación para el desarrollo de software asistido por IA.

El desarrollo de software con IA sigue evolucionando a un ritmo acelerado para los desarrolladores y sus equipos. , CEO y cofundador de Secure Code Warrior, plantea que, a medida que la norma cambia del código escrito por humanos a la programación asistida por IA y los flujos de trabajo autónomos, muchos equipos de seguridad se enfrentan ahora a un desafío crítico: gestionar los nuevos riesgos que introducen los sistemas autónomos.

‍

‍

La cuestión a la que se enfrentan las empresas de desarrollo de software no es si se debe utilizar IA generativa para crear código, ni si el porcentaje de código generado por IA aumentará en un futuro próximo. Ese tren ya pasó en los últimos 24 meses. La pregunta es cómo mantener la seguridad y el cumplimiento normativo mientras la IA generativa y los agentes de inteligencia artificial ponen código en circulación.

Cada septiembre, el Mes Nacional de Concienciación sobre Amenazas Internas nos recuerda oportunamente que algunos de los incidentes de seguridad más dañinos no provienen de atacantes externos que vulneran el perímetro, sino desde adentro. Ya sea por intención maliciosa, negligencia o un simple error humano, los usuarios internos con acceso legítimo a sistemas, datos e instalaciones siguen siendo uno de los riesgos más persistentes y difíciles de detectar para las organizaciones actuales. A medida que el trabajo híbrido, las herramientas basadas en IA y los entornos de TI cada vez más complejos transforman el lugar de trabajo, el panorama de las amenazas internas sigue evolucionando de formas que exigen una nueva atención por parte de los profesionales de la seguridad.

A medida que la IA agente impulsa aún más la productividad, la revisión de código humana se convierte en un cuello de botella crítico. Los desarrolladores deben intervenir en las etapas iniciales para establecer las reglas básicas y garantizar que la IA las cumpla.

​El sector de la ciberseguridad, que lleva más de una década defendiendo los principios de «seguridad desde el diseño», observa con asombro los riesgos que plantea la inteligencia artificial (IA). Ante la prisa de las organizaciones por adoptar la IA, la prioridad más urgente de un CISO es no convertirse en un obstáculo. Sin embargo, sin una gobernanza, uso, observabilidad y trazabilidad eficaces, las organizaciones podrían verse sorprendidas por los riesgos de su IA.​

Secure Code Warrior ha presentado el modelo de adopción de IA de SCW, un marco diseñado para ayudar a las organizaciones a gestionar el uso de la IA en el desarrollo de software, a medida que el sector evoluciona del ciclo de vida de desarrollo de software (SDLC) tradicional hacia lo que la empresa denomina ciclo de vida de desarrollo agéntico (ADLC).

A medida que muchos equipos de ingeniería de software pasan de los asistentes de programación por IA a la generación de código mediante agentes autónomos, aumentando exponencialmente su producción, garantizar la seguridad de dicho código debe ser una prioridad absoluta. Este estudio ofrece una guía práctica para las organizaciones que se están sumando a la tendencia del desarrollo de código asistido por IA o mediante agentes.

El uso de tokens puede generar costes inesperados y considerables para las organizaciones.

La IA permite ciclos de desarrollo más rápidos y libera a los desarrolladores para que se centren en tareas de mayor valor. Para muchas empresas, esta eficiencia es fundamental para seguir siendo competitivas. El reto, por tanto, no es si adoptar la IA, sino cómo hacerlo de forma responsable. Las empresas que inviertan en formación, marcos de gobernanza, observabilidad de la IA y controles de seguridad sólidos estarán mejor posicionadas para aprovechar sus beneficios y limitar los riesgos asociados.

El problema ya no se limita simplemente a proteger los modelos de IA. Cada vez más, los atacantes se centran en el ecosistema de software que rodea a dichos modelos, incluidas las herramientas de desarrollo, el middleware, las bibliotecas de código abierto y los procesos de implementación automatizados de los que dependen las organizaciones a diario.

Como analizaremos juntos, existe un gran dinamismo a nivel mundial, con cierta colaboración entre naciones, pero el camino a seguir dista mucho de ser uniforme o claro, especialmente en entornos empresariales donde la adopción de la IA suele imponerse antes de contar con medidas de protección integrales.  

Según un experto, las directrices de seguridad de la IA no están diseñadas como «límites de seguridad», sino para influir en el comportamiento; pero ¿qué ocurre si ese comportamiento consiste en hackear a uno de sus socios del sector?

‍

Los expertos en ciberseguridad han advertido que la vulneración de la infraestructura de Hugging Face durante una evaluación de seguridad de OpenAI marca un punto de inflexión en los riesgos que plantean los agentes de IA autónomos. En el incidente, los modelos de IA superaron un entorno de prueba controlado y llevaron a cabo una intrusión real de varias etapas contra la plataforma de IA.

El código generado por IA introduce una media de 15 vulnerabilidades confirmadas por base de código, según Secure Code Warrior.

La IA de vanguardia se enfrenta a una crisis de relaciones públicas. Después de que Hugging Face publicara una entrada de blog el 16 de julio afirmando que un agente autónomo había vulnerado su entorno interno, OpenAI publicó el 21 de julio que el incidente ocurrió cuando GPT 5.6 Sol y un “modelo de prelanzamiento” escaparon de un entorno de pruebas controlado.

Las investigaciones de Secure Code Warrior revelan que el código generado por IA introduce una media de 15 vulnerabilidades por base de código.

‍

Secure Code Warrior ha presentado el SCW AI Trust Index, un punto de referencia dinámico para la seguridad en la programación con IA que evoluciona con cada nuevo modelo, ayudando a las organizaciones a comprender y gestionar los riesgos de seguridad del código generado por IA. Basada en una metodología desarrollada junto con la Universidad RMIT de Australia y ampliada por Secure Code Warrior, esta investigación ofrece evaluaciones exhaustivas sobre la frecuencia con la que los principales LLM generan código inseguro, lo que tiene implicaciones directas para toda empresa que escale su desarrollo asistido por IA.

El código generado por IA introduce una media de 15 vulnerabilidades por base de código, pero el riesgo real depende más de la combinación de frameworks que del modelo utilizado.

El nuevo SCW AI Trust Index demuestra que el riesgo en el código generado por IA no es aleatorio, sino predecible según el modelo y el framework, proporcionando a los líderes de seguridad los datos para escalar el desarrollo asistido por IA de forma segura.

Los desafíos de la implementación de la IA, las actualizaciones constantes y la carrera por el dominio del sector se suceden con rapidez, y los profesionales de la seguridad son de los más afectados por su amplio perfil de riesgo.

El gobierno australiano ha afirmado que la IA es fundamental para el interés nacional del país, pero ¿cuál es su situación actual? Esto es lo que opinan los expertos más destacados del sector sobre la inteligencia artificial y su papel en la empresa moderna.

‍

La aparición de la IA agente marca un cambio estructural en el desarrollo de software, al introducir sistemas que no solo aceleran los ciclos de producción, sino que también realizan razonamientos y acciones autónomas más allá del control humano directo.

A medida que el código generado por IA se vuelve habitual, los CISO necesitan nuevas estrategias de auditoría para evaluar las prácticas de los desarrolladores, regular el uso de herramientas de IA e identificar riesgos de software antes de que lleguen a producción.

Esta categoría ha cobrado una nueva urgencia en 2026 por una razón específica de este momento: las herramientas y agentes de programación con IA están aumentando drásticamente la cantidad de código que se escribe y la frecuencia con la que debe implementarse, probarse y aprovisionarse. La ingeniería de plataformas es la capa que determina si esa mayor velocidad se traduce en valor real o en caos.

Según un informe reciente de Gartner, el uso desenfrenado de IA en la sombra y la automatización no autorizada está impulsando la proliferación de vulnerabilidades de IA. Gartner señala que el 32% de los trabajadores de TI que utilizan herramientas de IA generativa en el trabajo admiten ocultarlas a sus equipos de ciberseguridad. Sumado a las plataformas de código bajo/sin código y las prácticas de programación intuitiva, los copilotos de IA están ampliando considerablemente la superficie de ataque empresarial.

Para este artículo, planteamos una pregunta fundamental para los líderes de seguridad y riesgos: "¿Qué diferencia a una política que mitiga genuinamente el riesgo empresarial de aquella que existe principalmente para demostrar que la organización ha reconocido el riesgo de la IA?"

Pieter Danhieux, de Secure Code Warrior, sobre la gestión de riesgos en el desarrollo impulsado por IA

A medida que la IA generativa se consolida en el desarrollo de software empresarial, una disciplina conocida cobra una nueva urgencia: la gestión de riesgos.

Secure Code Warrior ha anunciado hoy SCW Trust Agent: AI, la primera solución de gobernanza del sector diseñada para hacer que la influencia de la Inteligencia Artificial (IA) en el desarrollo de software sea visible, atribuible y ejecutable en el momento de la confirmación, lo que permite a las empresas escalar las herramientas de codificación con IA con un control medible sobre el riesgo del software.

Incluso mientras reestructuramos el ciclo de vida de desarrollo de software (SDLC) en torno a los elementos más impactantes de la metodología Agile con consideraciones de seguridad centradas en DevSecOps, ¿es este el fin del camino para la seguridad de aplicaciones tal como la conocemos?

Premios Global InfoSec 2026: Secure Code Warrior gana el premio a la excelencia en gestión de riesgos de ciberseguridad y cumplimiento

Nuestra nueva solución de gobernanza de IA hace visible el código generado por IA en el momento de la confirmación, aplica políticas antes de la producción y vincula el comportamiento real de desarrollo con una reducción medible del riesgo.

Secure Code Warrior (SCW) ha incorporado esta semana un agente de inteligencia artificial (IA) capaz de identificar el código generado por herramientas de programación mediante IA y aplicar automáticamente las políticas de gobernanza correspondientes.

Secure Code Warrior ha lanzado SCW Trust Agent: AI, un producto de gobernanza de software que rastrea el uso de herramientas de programación con IA en el desarrollo y vincula dicho uso con el riesgo de software cuando los desarrolladores confirman código.