Cómo la formación en código seguro impulsa la transformación digital en los servicios financieros

Las instituciones de servicios financieros se enfrentan a una serie de desafíos que dependen de su capacidad para utilizar la tecnología de forma eficiente y eficaz en un mundo financiero en rápida evolución.

Las organizaciones operan en una época de cambios rápidos, tanto a nivel interno como en todo el sector, dentro de un entorno empresarial altamente competitivo y basado en la nube. En su búsqueda de una transformación digital continua, por ejemplo, las organizaciones trabajan para superar lafricción organizacionalque obstaculiza las inversiones en nuevas tecnologías, como la inteligencia artificial, que podrían acelerar los procesos de pago y otros procedimientos.

Por supuesto, siempre tienen presente la necesidad de cumplir con una amplia gama de requisitos normativos, que van desde las exigencias de la Ley Sarbanes-Oxley sobre la gestión de registros financieros y las normas del Estándar de Seguridad de Datos para la Industria de Tarjeta de Pago (PCI DSS) sobre la protección de datos de los titulares de tarjetas, hasta las protecciones de información personal contenidas en la Ley de Privacidad del Consumidor de California (CCPA) y el Reglamento General de Protección de Datos (RGPD) de la UE.

Las multas y otros costes derivados del incumplimiento pueden acumularse rápidamente. El informe de IBMCost of a Data Breach Report 2023reveló que los costes medios para las organizaciones con un "alto nivel de incumplimiento" ascendieron a 5,05 millones de dólares, lo que supone más de medio millón de dólares por encima del coste medio de una brecha de datos real.

Y hablando de brechas de datos, los ciberataques siguen siendo un azote para las instituciones financieras, que son el segundo sector más atacado. Los ataques de ransomware por sí solos han aumentado drásticamente, pasando del 34% en 2021 al 55% en 2022 y hasta el 64% en 2023, según el informe de SophosState of Ransomware in Financial Services2023. El número de compromisos de datos (incluyendo brechas y exposiciones de datos privados) en el sector de servicios financieros de EE. UU. aumentó de 138 en 2020 a 744 en 2023, segúnStatista.

El fracaso en cualquiera de estas áreas —ya sea la eficiencia interna, el cumplimiento o la seguridad— amenaza la reputación de una organización y, por extensión, la lealtad del cliente, que es el alma de los servicios financieros. Para seguir siendo competitivas y exitosas, las organizaciones deben fomentar la confianza entre sus clientes, y eso comienza asegurándose de que su software, sistemas y procesos sean eficientes y eficaces. En el centro de todo ello se encuentra el código de software seguro.

Los desarrolladores están bajo una presión creciente para crear, actualizar y desplegar aplicaciones y servicios a un ritmo más rápido que nunca. Y eso significa desarrollar y trabajar con más código de software, ya sea escrito por los propios desarrolladores internos, producido por IA, obtenido de repositorios de código abierto o entregado por terceros.

La calidad y seguridad de ese código es fundamental para garantizar unas operaciones eficaces, pero es un área en la que las organizaciones suelen fallar. Y a medida que aumenta el volumen de código, el número de errores, fallos y vulnerabilidades solo crecerá a menos que se corrijan al principio del ciclo de vida de desarrollo de software (SDLC).

Las organizaciones deben empezar desde el principio para crear código más seguro y corregir errores a tiempo. La formación ágil en las mejores prácticas de codificación segura puede proporcionar la base para aplicaciones seguras y fiables, lo que no solo reduce el riesgo de una organización, sino que ayuda a impulsar el éxito empresarial.

TENDENCIA 1: HERRAMIENTAS DE DESARROLLO DE IA

La innovación con IA depende de un código seguro

La inteligencia artificial, especialmente la IA generativa, se está volviendo omnipresente en el comercio, la educación y la vida cotidiana. Entre la infinidad de usos que se le han dado a la IA generativa, una función destacada ha sido la escritura de código. Esto ha demostrado ser beneficioso en términos generales, pero también plantea otro problema estrechamente vinculado al uso de la IA: la seguridad. Como adoptantes tempranos de nuevas tecnologías, las instituciones financieras deben garantizar un equilibrio entre las ganancias de productividad y el uso seguro y responsable de la IA.

Hasta la fecha, la IA se ha utilizado principalmente para ayudar en el desarrollo de código, en lugar de, por ejemplo, automatizar el proceso de remediación, y su impacto ha sido mayoritariamente positivo. Los encuestados en unaencuesta de GitHub, que reveló que más de nueve de cada 10 desarrolladores con sede en EE. UU. utilizaban herramientas de codificación por IA, señalaron que las ventajas incluían ganancias de productividad (53%), la libertad para que los desarrolladores se centren en tareas creativas en lugar de repetitivas (51%) y la prevención del agotamiento profesional (41%).

Los grandes bancos y otras organizaciones de servicios financieros tienen más probabilidades que las de otros sectores de adoptar la IA de forma temprana. Al fin y al cabo, las instituciones financieras son esencialmente empresas tecnológicas porque disponen de capital para invertir en nuevas tecnologías a gran escala y siempre buscan una ventaja competitiva.

Aunque algunos han expresado el temor de que la IA sustituya a los trabajadores humanos, la tecnología funciona mejor cuando se combina con sus homólogos humanos. Pero los desarrolladores necesitan algo más que un enfoque básico de cumplimiento para aprender a utilizarla. Requierenformación precisapara comprender realmente las mejores prácticas de seguridad en entornos reales, de modo que no solo puedan escribir código seguro ellos mismos, sino también supervisar con destreza el trabajo de sus asistentes de IA que escriben código.

Por ejemplo, un ejercicio enla formación de SCWsolicita a un modelo LLM que cambie el contenido de un fragmento de código real para modificar la función del código. La IA responde produciendo un bloque de código, pero ese bloque es susceptible a ataques de cross-site scripting (XSS). La formación garantiza que el desarrollador pueda reconocer esa vulnerabilidad.

La IA y los desarrolladores pueden trabajar juntos de forma muy productiva, pero solo si los desarrolladores están lo suficientemente capacitados para garantizar que la IA genere código seguro.

Los errores de codificación de la IA pueden propagarse rápidamente

Al ser entrenado para escribir código, un modelo de IA ingiere miles de ejemplos de escritura de código, al igual que otro modelo ingiere miles de ejemplos de prosa o poesía antes de poder escribir una historia o un poema para un usuario. Pero no hay garantía de que el modelo de IA no esté recurriendo a un ejemplo que contenga errores. Debido a que los modelos de IA no son transparentes sobre sus procesos, los errores no aparecerán hasta después del hecho. Y la IA repetirá esos errores hasta que sean corregidos.

Unestudio inicial de investigadores de IAdescubrió que el código generado por IA había introducido fallos importantes, incluidas vulnerabilidades de cross-site scripting (XSS), susceptibilidad a ataques de inyección de código y nuevas vulnerabilidades específicas del código generado por IA, como las asociadas con la inyección de prompts. Si las herramientas de IA se utilizaran sin control para escribir código, el código defectuoso podría propagarse rápidamente, dando lugar a un mundo donde el software, que ya tienemuchas vulnerabilidades, sería menos seguro que nunca.

Es imperativo que los desarrolladores humanos y los modelos de IA trabajen juntos en el desarrollo de código, asegurando que se sigan las mejores prácticas de codificación segura, permitiendo a las instituciones financieras obtener los beneficios de una mayor velocidad y eficiencia mientras limitan el riesgo que, sin la intervención humana, podría ser potencialmente catastrófico.

Las instituciones financieras pueden liderar el camino hacia un desarrollo seguro

El rápido crecimiento de la IA, particularmente de aquellos modelos que utilizan grandes modelos de lenguaje (LLM) como ChatGPT y las muchas otras implementaciones de IA generativa capaces de crear su propio contenido, ha tenido sus tropiezos. Los modelos de IA han generado errores, hallazgos sesgados yalucinaciones de IA, lo que ha resultado en mayores llamados a la regulación. La Casa Blanca, por ejemplo, ha emitido unaOrden Ejecutivasobre el desarrollo y uso de la IA. También propuso unaCarta de Derechos de la IAdestinada a ayudar a proteger al público de los riesgos relacionados con la IA. Sin embargo, cualquier iniciativa gubernamental dependerá de la cooperación y colaboración con las empresas tecnológicas que desarrollan la IA, muchas de las cuales se han comprometido amantener estándares éticos.

Es probable que el sector de servicios financieros también implemente controles internos sólidos. Las organizaciones siempre pueden estar buscando una ventaja competitiva, pero saben que la seguridad de su información —tanto los datos internos como los de sus clientes— es primordial. También deben asegurarse de cumplir con los requisitos de las normativas, como las de la Oficina del Contralor de la Moneda (OCC) en los Estados Unidos o el Banco Central Europeo (BCE) para las operaciones europeas.

Como adoptantes tempranos de la IA, los bancos y las instituciones financieras estarán interesados en ver qué puede hacer la IA para mejorar la eficiencia, patrocinando centros de innovación y otros esfuerzos para explorar las capacidades de la IA. Pero las organizaciones también necesitan controles para garantizar la seguridad. La adopción temprana siempre conlleva un riesgo inherente y, a medida que el uso de la IA se escala, los riesgos y las recompensas deben equilibrarse. Las organizaciones, por ejemplo, se beneficiarían de realizar un análisis de fortalezas, debilidades, oportunidades y amenazas (FODA) en las primeras etapas del uso de la IA.

El uso eficaz de la IA comienza con un código seguro

La capacidad del sector financiero para hacer un uso eficaz de la IA dependerá de la seguridad, y eso se basa en garantizar que el código que crea la IA sea seguro desde el principio. Las organizaciones deben asegurarse de contar con ingenieros altamente capacitados que supervisen de cerca la escritura de código de la IA, identifiquen errores y los corrijan rápidamente. Asociarse con empresas que brinden capacitación basada en metodologías ágiles y otros servicios que garanticen la seguridad y el cumplimiento es un buen primer paso para fomentar una postura de seguridad sólida.

El panorama de riesgos cambia continuamente, especialmente dentro del ciclo de desarrollo de software. Y como adoptantes tempranos de la IA, las instituciones financieras deben actuar como líderes en el uso seguro y responsable de la IA. Algunas instituciones financieras son lo suficientemente grandes como para influir en las políticas gubernamentales. Al tomar medidas para garantizar un código seguro permitiendo que los modelos de IA y los desarrolladores trabajen juntos, las instituciones pueden establecer mejores prácticas para que otras industrias las sigan.

Integrations

You can learn more from SCW’s whitepaper explaining the role AI can play in code writing and why it’s essential that developers are thoroughly trained in recognizing secure coding patterns and the vulnerabilities that result from unsecure code.

Download Whitepaper

‍TENDENCIA 2: MAYOR REGULACIÓN

El código es el núcleo del cumplimiento normativo

Un factor importante para implementar prácticas de codificación segura es la necesidad de que las instituciones financieras garanticen el cumplimiento de las regulaciones que rigen sus negocios. Las instituciones tienen una variedad de regulaciones aplicables, que varían según el tipo de transacciones que manejan.

Por ejemplo,PCI DSS 4.0, la versión más reciente del Estándar de Seguridad de Datos para la Industria de Tarjeta de Pago, es un estándar global diseñado para proteger los datos y las transacciones de tarjetas de crédito y pago. Con el objetivo de prevenir el fraude y otros usos indebidos, se aplica a cualquier organización que almacene, procese o transmita datos de titulares de tarjetas. El estándar no es una ley, pero se hace cumplir mediante contratos y puede ayudar a prevenir brechas de seguridad, las cuales constituyen violaciones de otras normativas como el RGPD.

Otra normativa, laLey de Resiliencia Operativa Digital(DORA, por sus siglas en inglés), es un marco de gestión de riesgos vinculante de la UE para el sector de servicios financieros, que abarca tanto a las instituciones financieras como a sus proveedores externos. DORA establece estándares técnicos diseñados para unificar las prácticas de gestión de riesgos dentro de la UE, creando un estándar universal.

LaSociedad para las Telecomunicaciones Financieras Interbancarias Mundiales, conocida como Swift, es una iniciativa cooperativa que ha establecido el estándar para las transferencias de fondos en todo el sector financiero global. El Programa de Seguridad del Cliente (CSP) de Swift ha desarrollado elMarco de Controles de Seguridad del Cliente(CSCF), que se actualiza anualmente. Los más de 11,000 miembros de Swift en más de 200 países utilizan el CSCF para planificar sus propios controles de seguridad y certificar su nivel de cumplimiento.

Lo que estas normativas tienen en común es que intentan establecer estándares elevados para proteger los datos y las transacciones en la industria de servicios financieros. El cumplimiento no solo protege los datos y el dinero de los clientes, sino que también ayuda a proteger a las instituciones de las consecuencias de una seguridad inadecuada, que pueden incluir multas y sanciones por incumplimiento, daños a la reputación y la pérdida de confianza de los inversores en caso de una brecha.

Los desarrolladores deben seguir el ritmo de un panorama normativo cambiante

La programación segura proporciona una base sólida para las organizaciones que buscan satisfacer las expectativas de las normativas aplicables y los requisitos de la Oficina del Contralor de la Moneda (OCC) en los Estados Unidos o del Banco Central Europeo (BCE) en Europa. Uno de los impulsores fundamentales para adoptar la plataforma de Secure Code Warrior, o la de otro proveedor, es enseñar a los desarrolladores a programar de forma segura en un entorno práctico y dinámico.

Ese tipo de formación marca la diferencia al tratar con requisitos normativos a veces complejos, sobre todo porque no permanecen estáticos. Las normativas están en constante evolución, añadiendo requisitos nuevos y, a menudo, más sofisticados. Dependiendo del requisito, una normativa puede no cambiar drásticamente en un año determinado, pero las organizaciones pueden esperar cambios significativos al menos cada dos años.

Por ejemplo, PCI DSS 4.0, obligatorio desde el 1 de abril de 2024, actualiza PCI DSS 3.2.1 (publicado en 2022) de varias formas significativas. Implementa un enfoque personalizado que otorga a las organizaciones más flexibilidad para cumplir con los requisitos, centrándose más en los resultados que en procedimientos de simple verificación. Pero también añade nuevos requisitos para los controles de autenticación, la longitud de las contraseñas y las cuentas compartidas, por mencionar solo algunas de las muchas actualizaciones. También exige que las organizaciones definan claramente las funciones y responsabilidades para cumplir con cada requisito.

Cabe destacar que la versión 4.0 también exige que los desarrolladores que trabajan en software a medida y personalizado reciban formación al menos una vez cada 12 meses sobre seguridad de software, incluidas técnicas de diseño y programación segura y, si se utilizan herramientas de prueba, sobre cómo usar dichas herramientas para detectar vulnerabilidades. También estipula que toda vulnerabilidad identificada durante las pruebas de penetración debe ser remediada, independientemente de su gravedad, y que los equipos deben realizar una segunda prueba de penetración para confirmar que las correcciones fueron exitosas.

Aunque los cambios suelen realizarse de forma gradual, las normativas también responden a eventos específicos: una brecha importante puede provocar cambios repentinos y extensos. Una brecha en 87 millones de cuentas de JPMorgan Chase a mediados de los años 90, por ejemplo, sacudió el panorama normativo, lo que llevó a los reguladores a elevar las expectativas para la comunidad de desarrolladores y tecnológica, exigiendo que los bancos proporcionaran pruebas de las medidas que estaban tomando y cómo estaban aplicando las lecciones aprendidas tras el incidente.

El cumplimiento depende de la calidad del código subyacente

La calidad del código utilizado para cumplir con estos requisitos tiene un impacto significativo en el rendimiento de las nuevas funciones y puede entrar en juego cuando las empresas completan el largo y detallado Informe de Cumplimiento de PCI DSS, que se requiere anualmente. A medida que las normativas se vuelven más complejas, el impacto de la programación segura aumenta proporcionalmente, marcando una diferencia sustancial en la reducción de riesgos y el aumento del control sobre el software de una organización.

El cumplimiento es esencial para las instituciones financieras debido a la importancia de establecer una relación de confianza con los clientes. La programación segura también puede ayudar a mejorar la experiencia del cliente, ya que gran parte de ella depende de una interacción fluida con un software fiable, lo que ayuda a fomentar la lealtad del cliente.

La programación necesaria para crear nuevas aplicaciones y servicios tiene un impacto en toda la empresa. Es fundamental para aumentar la eficiencia, gestionar las migraciones a la nube y habilitar otras capacidades en un entorno empresarial dinámico. Sin embargo, el código debe ser absolutamente seguro y cumplir con los requisitos de cumplimiento normativo para que el negocio tenga éxito.

Integrations

Read the no-nonsense guide to getting your development team on board with PCI DSS compliance, including how security professionals and development managers can work together to build powerful security programs.

Read Guide

TENDENCIA 3: APRENDIZAJE ÁGIL

La formación ágil y los equipos humano-IA garantizan un código seguro

La proliferación de modelos de IA ha reavivado el temor de que la inteligencia artificial elimine muchos puestos de trabajo. Aunque las personas en algunas ocupaciones pueden tener motivos para preocuparse —desde la contabilidad y el servicio al cliente hasta los asistentes legales y los creadores de contenido—, es más probable que los desarrolladores de software vean a la IA como asistentes útiles que no les quitarán el trabajo, sino que les liberarán de tareas repetitivas o que consumen mucho tiempo, como escribir código.

De hecho, escribir código es solo una parte del trabajo de un desarrollador. En elInforme Global DevSecOps 2023de GitLab, la mayoría de los desarrolladores afirmaron dedicar aproximadamente una cuarta parte de su tiempo a escribir código. El resto se divide entre otras tareas, como mejorar el código (17 %), realizar pruebas (11 %) y asistir a reuniones o realizar otras tareas administrativas (también el 17 %).

Mejorar el código es un aspecto del trabajo que probablemente cobrará mayor relevancia cuando los modelos de IA generen código. La IA aporta velocidad y eficiencia a la creación de código, pero no se puede confiar plenamente en él. Existen innumerables ejemplos de errores, sesgos y código vulnerable generado por modelos de IA. Los desarrolladores con conocimientos en seguridad deben participar estrechamente en la revisión del código generado por IA para corregir vulnerabilidades y garantizar que su software cumpla con los estándares de desarrollo.

Los desarrolladores necesitan formación práctica y ágil

Para los propios desarrolladores, trabajar con código generado por IA requiere perfeccionar sus habilidades existentes —y adquirir otras nuevas— en relación con las mejores prácticas de seguridad y la capacidad de detectar patrones de programación deficientes. Los desarrolladores debidamente formados podrán detectar los errores de un modelo de IA antes de la implementación y potenciar las ventajas de utilizar la IA para acelerar el desarrollo.

Sin embargo, las habilidades requeridas son complejas y no pueden aprenderse ni fortalecerse simplemente empleando métodos de formación estáticos y estándar. Los desarrolladores no se caracterizan por tener tiempo libre en el trabajo; están bajo más presión que nunca para desarrollar e implementar código rápidamente. Necesitan poder mejorar sus habilidades de una manera que se adapte al trabajo que ya están realizando.

Las organizaciones deben ofrecer a los desarrolladores un programa completo deformación basada en metodologías ágilesque adopte un enfoque práctico para la programación segura y que haya demostrado reducir significativamente el número de vulnerabilidades en el software.

La formación ágil puede adaptarse para incluir los lenguajes de programación con los que se encontrarán los desarrolladores, desde el antiguo pero aún utilizado COBOL hasta las nuevas herramientas avanzadas escritas en Google Go. Puede diseñarse para ofrecer contenido avanzado en formatos adaptados a los métodos de aprendizaje preferidos del desarrollador —como visual, auditivo o verbal, además de directamente práctico— e impartirse a un ritmo que funcione mejor con cada desarrollador y sus horarios de trabajo.

La formación también puede adaptarse a las funciones y necesidades específicas de los empleados. Una plataforma puede utilizar un ciclo de retroalimentación para mejorar el contenido y reconocer cuándo un desarrollador tiene carencias en un área determinada, de modo que el contenido pueda dirigirse automáticamente a abordar esa área.

Y en lugar de impartir formación en seguridad mediante cursos prolongados y monótonos al estilo de un aula, los programas de aprendizaje como los empleados por Secure Code Warrior ofrecen una formación óptima y personalizada al dividirla en microfragmentos interactivos que involucran a los desarrolladores en el contexto de problemas del mundo real. El microaprendizaje también es totalmente accesible para los empleados siempre que lo necesiten.

Un enfoque ágil da resultados

La formación basada en metodologías ágiles ha demostrado ser eficaz para reducir los errores de programación. Según unainvestigaciónSegún Secure Code Warrior, los desarrolladores ya reelaboran alrededor del 26% de su código antes de que pase a producción. Esto suma unas 13,5 horas semanales por desarrollador (cerca de 700 horas al año) dedicadas a limpiar la deuda técnica. El tiempo invertido en corregir código obstaculiza la productividad y ralentiza los ciclos de desarrollo.

Y no todos esos errores se detectan, ya que el 67% de los desarrolladores admite haber enviado código con vulnerabilidades. Las organizaciones también utilizan código de otras fuentes, como la IA, repositorios de código abierto y terceros. Estas fuentes ayudan a aumentar la productividad en un momento en que las organizaciones necesitan un mayor volumen de código que nunca, pero también incrementan el riesgo de vulnerabilidades y errores en la base de código.

La formación basada en metodologías ágiles puede ayudar a frenar esta tendencia. Refuerza la primera línea de defensa, ya que los desarrolladores adquieren mayor destreza para detectar fallos en el código, tanto si ha sido creado por ellos mismos como por IA o terceros. Como parte de su investigación, Secure Code Warrior examinó datos de 75.000 desarrolladores (alrededor del 30% de su base) y descubrió que aquellos que habían estudiado seguridad mediante su formación ágil introdujeron un 53% menos de vulnerabilidades que sus compañeros. Los desarrolladores que aplican estas habilidades para revisar el código generado por IA pueden corregir más rápidamente los errores de su socio de IA antes de que cualquier software pase a producción.

Gracias a la formación ágil de Secure Code Warrior, los desarrolladores de Workday, que ofrece aplicaciones en la nube para la gestión del ciclo de vida financiero, de RR. HH. y de estudiantes/profesorado, obtuvieron una idea clara de los objetivos de la formación y aprendieron rápidamente a identificar y actuar ante los problemas dentro de su base de código y su ciclo de vida de software.

La experiencia de Workday ofrece un ejemplo claro de lo que puede lograr una formación ágil y práctica. Antes de asociarse con Secure Code Warrior, Workday observó que sus desarrolladores estaban desencantados con la formación en seguridad basada en presentaciones. Sin embargo, toda la comunidad de desarrolladores respondió positivamente a la formación de Secure Code Warrior, que se adaptó tanto a sus necesidades como a sus preferencias de aprendizaje. Y los resultados hablan por sí solos. En un solo ejemplo, un equipo en Dublín pasó de experimentar 4.662 problemas de seguridad anuales a no tener ninguno en solo 18 meses.

En un panorama de amenazas plagado de ataques cada vez más sofisticados, las empresas de servicios financieros deben hacer todo lo posible para garantizar la seguridad de sus datos y aplicaciones. Crear código seguro desde el inicio del ciclo de vida de desarrollo de software (SDLC) es un componente crítico de la seguridad. Los desarrolladores con el tipo adecuado de formación ágil pueden hacer mucho para garantizar la seguridad del software mientras reducen los riesgos generales para su empresa.

Integrations

Learn how Workday focused on creating secure agile learning that drove developer engagement and helped achieve their goals of improving Workday’s overall security posture.

Learn More

TENDENCIA 4: CRECIMIENTO DE APLICACIONES Y API DE TERCEROS

La responsabilidad de la seguridad también se aplica a las aplicaciones de terceros

En el entorno empresarial hiperconectado actual, ninguna empresa opera en el vacío. Las instituciones financieras establecen asociaciones con otras empresas para prestar determinados servicios, utilizan aplicaciones de terceros en sus comunicaciones y transacciones diarias y, en muchos casos, cuentan con contratistas externos para escribir código de software. Los desarrolladores dentro de las empresas también utilizan repositorios de software de código abierto y, cada vez más, código generado por IA en el desarrollo de aplicaciones.

Independientemente del origen del software, las personas que interactúan con una empresa de servicios financieros esperan que cada aplicación que utilizan tenga el mismo alto nivel de seguridad. En cualquier transacción o intercambio de información, la empresa anfitriona sigue siendo responsable de los datos del cliente. Y los reguladores no permitirán que una institución se desentienda de su responsabilidad por incumplimiento trasladándola a un tercero.

¿Cómo garantiza una institución financiera que cada aplicación sea segura y fiable? Empieza por un código seguro y por dotar a los desarrolladores de las habilidades necesarias para crear código de software seguro al principio del proceso de desarrollo, identificando al mismo tiempo cuándo el código de terceros que utilizan no cumple los requisitos.

Poner la formación a disposición de los equipos de contratistas

Las empresas se beneficiarían de la implementación de un programa de formación ágil y práctico para enseñar a los desarrolladores sobre código seguro. Los resultados de este tipo de formación son claros: los desarrolladores formados en codificación segura producen código con un 53% menos de vulnerabilidades que los que no han recibido dicha formación. Además, detectarán más errores de codificación en el código generado por terceros.

Incluso si los desarrolladores de una empresa están formados en la escritura de código seguro, es necesario abordar los posibles fallos en el código de terceros. Muchos equipos de desarrollo están compuestos tanto por empleados a tiempo completo como por contratistas, especialmente dentro de grandes instituciones con ubicaciones dispersas por todo el país o el mundo, incluyendo sedes principales, secundarias y terciarias.

Hace un par de décadas, hubo un gran impulso en el sector para externalizar el desarrollo de software con el fin de que las empresas pudieran seguir el ritmo de la demanda de nuevas aplicaciones. Esa tendencia duró cinco o diez años antes de empezar a revertirse, pero los equipos mixtos de empleados a tiempo completo y contratistas siguen existiendo en algunas ubicaciones dentro de las instituciones financieras. Con tantas aplicaciones desarrollándose continuamente, algunas de ellas inevitablemente se externalizarán.

Sin embargo, independientemente de si el código es desarrollado por empleados a tiempo completo o por terceros, las expectativas de los clientes y los reguladores se mantienen. Todo el código de software que utiliza una empresa debe cumplir los mismos estándares, lo que significa que todos los desarrolladores deben tener el mismo nivel de competencia.

Es posible que las empresas tengan límites contractuales a la hora de exigir formación a los contratistas, aunque es importante al menos poner la formación a su disposición. Algunas empresas financieras han creado sus propios programas de formación, como Capital One, que lanzó suTech Collegeen 2016. Otros bancos y empresas financieras, como Synchrony Bank y North American Bancard, están adoptando la idea deaprendizaje continuopara elevar el nivel de talento que poseen.

Es posible que las empresas incluso adopten un enfoque de "licencia para programar", exigiendo ciertas certificaciones antes de permitir que los desarrolladores accedan a sistemas específicos.

Ante la continua escasez de competencias en TI, las empresas han optado por intentar mejorar las capacidades de sus empleados actuales en lugar de competir por talento en un mercado con poca oferta. Ofrecer formación beneficia tanto a los empleados, que pueden avanzar en sus carreras, como a la empresa, que obtiene personal con las habilidades que necesita. Los programas de formación también pueden mejorar la retención al optimizar la experiencia del empleado.

El aprendizaje continuo es fundamental en el entorno actual. El panorama de la ciberseguridad evoluciona constantemente y se vuelve cada vez más sofisticado. Además, los requisitos de los organismos reguladores cambian cada año, lo que aumenta la complejidad para mantener el cumplimiento. El incumplimiento de estos requisitos puede derivar en multas, otros costes y daños a la reputación que afectan materialmente a la empresa.

La clave está en involucrar a los desarrolladores

Las empresas están dejando atrás la formación en cumplimiento entendida como un trámite burocrático con sesiones anuales, para avanzar hacia una formación continua diseñada para aumentar el nivel de compromiso de los desarrolladores y otros empleados con la seguridad. La clave reside en contar con una plataforma ágil que proporcione a los empleados la formación que necesitan, cuando la necesitan y en un formato que se adapte a su entorno de trabajo.

Por ejemplo, la empresa de soluciones de software con sede en el Reino UnidoSage, que adoptó la plataforma de Secure Code Warrior, realiza una formación trimestral adaptada a la tecnología con la que trabajan los desarrolladores en ese momento.

La formación está lo más personalizada posible y adaptada a la forma de trabajar de los desarrolladores, señaló Mads Howard, especialista en seguridad de Sage, durante un recienteseminario webcon SCW. Sage también fomenta la comunicación bidireccional mediante un ciclo de retroalimentación. La formación se centra más en el compromiso que en el cumplimiento de requisitos, con torneos programados regularmente y esfuerzos para combinar el programa de formación con otras iniciativas de la empresa diseñadas para aumentar la implicación de los empleados en cuestiones de seguridad.

Un resultado: en el último año, Sage ha experimentado una reducción del 82% en el tiempo medio necesario para solucionar problemas de software, afirmó Howard. La empresa también ha observado un mayor nivel de compromiso por parte de los empleados.

La programación es parte de la construcción de una cultura de seguridad, dijo Howard, cuyo objetivo final es generar confianza con los clientes. Una cultura de seguridad gira en torno a las actitudes, percepciones y creencias de las personas, e involucra a todos los miembros de la empresa, incluida la dirección ejecutiva. Un programa flexible de formación en código seguro que ofrezca capacitación específica en pequeñas dosis fácilmente consumibles puede ser una parte esencial de esa cultura.

Integrations

Discover how Sage implemented best practices in building a secure code learning program, learn the do's and don'ts of a secure code learning program, and see the business and financial impacts including productivity gained and time saved.

Discover

‍TENDENCIA 5: MAYOR ENFOQUE EN EL ROI ENTRE EQUIPOS Y PROVEEDORES

Cómo la programación segura beneficia directamente al retorno de la inversión

El sector de los servicios financieros abarca una amplia gama de áreas, desde la banca y la gestión financiera hasta las tarjetas de crédito y los servicios de pago digital. Incluso los seguros suelen incluirse en esta categoría. Las empresas de cada sector se enfrentan a requisitos de cumplimiento diferentes, aunque a menudo superpuestos, dependiendo de las transacciones que gestionen y de si son empresas nacionales o multinacionales.

Pero independientemente del campo en el que operen, las consideraciones económicas influyen en las estrategias empresariales. Los mercados bursátiles han tenido un buen desempeño, pero no siempre son un indicador de éxito futuro. Mientras tanto, existe cierta inquietud en el sector financiero ante la posibilidad de una recesión y otros desafíos críticos.

Como resultado, muchas organizaciones están ajustándose el cinturón, buscando mayores eficiencias y enfatizando la importancia de obtener un buen retorno de la inversión (ROI) por cualquier gasto nuevo. Una forma de aumentar el ROI es invirtiendo en el aprendizaje de código seguro. En el ciclo de vida de desarrollo de software (SDLC), donde la ingeniería y la seguridad se encuentran, asegurarse de crear código seguro desde el principio del proceso y corregir los fallos lo antes posible generará beneficios claros y cuantificables para el negocio.

Los altos costes del software inseguro

Los datos son el núcleo de cualquier institución de servicios financieros, y los costes de gestionar esa información con un software inseguro e ineficiente pueden aumentar rápidamente. Lainvestigaciónde Secure Code Warrior reveló que los problemas de calidad del software costaron a las empresas estadounidenses un total de 2,41 billones de dólares en 2022. Y los costes afectan directamente a los desarrolladores, quienes dedican cada vez más tiempo al mantenimiento y a la corrección de la deuda técnica. Actualmente, los desarrolladores emplean cerca de un tercio de su tiempo en gestionar la deuda técnica, pero se prevé que esta cifra alcance el 40% para 2025.

La formación ágil en prácticas de codificación segura puede reducir significativamente estas cifras negativas. Se ha demostrado que los desarrolladores formados con Secure Code Warrior introducen un 53% menos de vulnerabilidades que sus compañeros que no han recibido dicha formación, y los tiempos de corrección se reducen a la mitad. Un gran banco global logró una reducción del 50% en vulnerabilidades con la formación de SCW, lo que prácticamente eliminó los fallos de inyección SQL y de Cross-Site Scripting (XSS).

Los beneficios de la formación ágil en código seguro son también considerablemente mayores cuanto más se desplaza la organización hacia la izquierda (shift-left). Los costes de la deuda técnica, por ejemplo, se reducen a la mitad cuando se abordan durante las pruebas, pero disminuyen 14 veces más si se tratan durante la fase de codificación.

Un ejemplo práctico: cómo Envestnet involucró a sus desarrolladores

El impacto de la codificación segura puede traducirse en ganancias medibles en el ROI. Enun ejemplo, la gran empresa de tecnología financiera Envestnet quiso ir más allá de su formación pasiva y tediosa sobre seguridad y cumplimiento, que se centraba principalmente en los diez riesgos principales de aplicaciones web del Open Worldwide Application Security Project (OWASP).

Envestnet adoptó una estrategia de "shift-left" centrada en escribir código seguro y solucionar cualquier problema al principio del ciclo de vida de desarrollo de software (SDLC), pero primero debía resolver la falta de compromiso de los desarrolladores con la formación en seguridad existente. Con SCW, implementaron un programa práctico de cuatro niveles que incluía formación en escenarios reales y otorgaba certificados a los desarrolladores por cada nivel alcanzado, lo que no solo mejoró la seguridad de las aplicaciones, sino que ayudó a los desarrolladores a avanzar en sus carreras.

Los dos primeros niveles se centraron en la concienciación sobre seguridad, y los niveles tres y cuatro reconocieron a los defensores de la seguridad. El programa de formación incluyó torneos, lo que también aumentó el nivel de compromiso de los desarrolladores. Entre los dos primeros torneos, separados por unos seis meses, la participación se duplicó.

Los resultados: los desarrolladores con formación de SCW corrigieron 2,7 veces más vulnerabilidades que sus compañeros, y aumentaron sus tasas de corrección en un 120%. Los desarrolladores formados por SCW también cerraron problemas de vulnerabilidad a un ritmo de 4,5 por desarrollador, en comparación con una tasa de 1,82 por desarrollador para sus compañeros que no contaron con el beneficio de esta formación.

Empezar desde la izquierda mejora los resultados financieros

Los programas ágiles de codificación segura pueden adaptarse a cada empresa, dependiendo del tipo de servicios financieros que presten, el tamaño de sus sistemas y sus requisitos individuales.

Las empresas deben mantener el cumplimiento, por ejemplo, con el Estándar de Seguridad de Datos para la Industria de Tarjeta de Pago (PCI DSS), el Estándar de Verificación de Seguridad de Aplicaciones (ASVS) de OWASP u otros requisitos. Y deben asegurarse de escribir siempre código seguro. Pero necesitan algo más que un programa de formación que simplemente cumpla con un trámite, ya que eso no será suficiente para enseñar métodos de codificación segura ni para alcanzar los niveles de eficiencia que se obtienen al contar con desarrolladores altamente capacitados y conscientes de la seguridad.

La formación práctica que respalda una estrategia de introducir código seguro al principio del SDLC y mantenerlo durante todo el ciclo de vida del producto reducirá el riesgo y acelerará el tiempo de comercialización, aumentando inevitablemente el ROI. A medida que los sistemas, los procesos e incluso los ciberataques se vuelven más sofisticados, la codificación segura es una necesidad urgente. Tiene el poder de marcar una diferencia crítica no solo en la seguridad, sino también en los resultados financieros de cualquier organización.

Integrations

Explore how Envestnet adopted an agile secure code learning platform and tripled developer effectiveness in vulnerability reduction.

Explore

CONCLUSIÓN

La codificación segura mejora la seguridad y la productividad mientras genera confianza

Las instituciones de servicios financieros trabajan con activos muy valiosos, como el dinero de las personas y su información personal altamente sensible, pero, en cierto modo, lo más preciado que pueden tener las organizaciones es la confianza. Es esencial para atraer y mantener clientes leales. Y dado que muchas transacciones financieras se gestionan digitalmente, esa fiabilidad y la seguridad del software dependen de un código de software seguro.

En entornos de nube híbrida complejos, las organizaciones financieras deben adoptar el enfoque "shift left", integrando la seguridad desde el inicio del ciclo de vida de desarrollo de software (SDLC). Esto implica capacitar a los desarrolladores para escribir código seguro y ser capaces de identificar vulnerabilidades en código generado por IA o de terceros.

Para muchas empresas, esto supone un cambio cultural, ya que los desarrolladores están acostumbrados a trabajar a toda velocidad y a implementar nuevas aplicaciones y servicios para satisfacer una demanda en constante crecimiento. La clave es crear una cultura de seguridad dentro de la empresa e involucrar a los desarrolladores con una formación en código seguro que sea ágil y práctica. Los beneficios de este enfoque son evidentes.

Fomentar un cambio cultural beneficioso para todos

La investigación de Secure Code Warriorha revelado que los desarrolladores que aprenden prácticas de codificación segura con SCW producen un 53% menos de vulnerabilidades que aquellos que no reciben dicha formación, lo que se traduce en un importante ahorro de tiempo y dinero.

Actualmente, los desarrolladores desperdician cerca de un tercio de su tiempo rehaciendo código, y el 67% admite haber publicado código a sabiendas de que contenía vulnerabilidades. Los clientes de SCW han experimentado mejoras de entre 2 y 3 veces tanto en la reducción de riesgos como en la productividad de los desarrolladores gracias al aprendizaje ágil.

Cuanto más se adelante el enfoque "shift left" en el SDLC, mayores serán los ahorros. Los costes pueden reducirse a la mitad si se abordan durante la fase de pruebas, pero pueden disminuir hasta 14 veces si se tratan durante la fase de codificación.

Una plataforma de formación ágil beneficia tanto a la empresa como a los desarrolladores. Los desarrolladores pueden avanzar en sus carreras adquiriendo nuevas habilidades, y la empresa se beneficia porque los desarrolladores cualificados tienen más probabilidades de permanecer en una organización que ofrece una formación eficaz y una experiencia laboral más gratificante.

No es casualidad que el 92% de los desarrolladores afirme querer más formación. Pero debe ser el tipo de formación adecuado. La formación tradicional basada en manuales (o presentaciones) suele provocar desinterés y una aceptación a regañadientes para cumplir con un requisito, pero se ha demostrado que una plataforma ágil como la de SCW logra captar el interés de los desarrolladores. La formación puede adaptarse a lo que están trabajando y a los lenguajes de programación que utilizan. Además, impartir la formación en microcápsulas específicas y fáciles de consumir, que aborden problemas reales a los que se enfrentan los desarrolladores, aumenta el valor de la formación y el nivel de compromiso.

La formación en código seguro puede ser la piedra angular de un cambio cultural hacia una organización que prioriza la seguridad, mejorando la ciberseguridad, el rendimiento y, en última instancia, la rentabilidad de una institución de servicios financieros.