Impulsando el éxito significativo de las iniciativas empresariales de seguridad mediante el diseño

Ha sido alentador presenciar la Diseño seguro El movimiento SBD gana impulso en todo el mundo, ya que los Estados Unidos, Australia, Nueva Zelanda, Canadá, Singapur, Japón, Alemania y el Reino Unido se comprometen a incluir directrices similares en sus estrategias de ciberseguridad más amplias, y muchos de estos países también contribuyen a las recomendaciones originales.

Desde abril de 2024, más de 200 empresas, entre ellas Secure Code Warrior, han firmado el Compromiso de seguridad mediante el diseño, lo que indica un compromiso más amplio de la industria con estándares más altos de calidad y seguridad del software. Consideramos que estas directrices representan un momento crucial para los líderes en ciberseguridad que, por primera vez, cuentan con el apoyo de los gobiernos de todo el mundo para lograr un cambio cultural significativo en el desarrollo de software. Si bien estas recomendaciones todavía no son obligatorias si no se aplica a los proveedores de software que venden directamente al gobierno de EE. UU., considero que no se trata solo del futuro, sino de una magnífica oportunidad para empezar a luchar contra los actores de amenazas. Un aspecto fundamental de las directrices es esforzarse por eliminarlas categorías de vulnerabilidades, y el enfoque de todo el sector en este objetivo podría hacer que tuviéramos el impacto positivo más significativo y positivo en la seguridad digital en décadas.

Creemos que este movimiento es fundamental, y nuestro último artículo de investigación, Evaluación comparativa de las habilidades de seguridad: racionalización de Secure by Design en la empresa es el resultado de un análisis profundo de iniciativas reales de Secure by Design a nivel empresarial y de la derivación de enfoques de mejores prácticas basados en hallazgos basados en datos.

Medición del ROI de las iniciativas organizacionales de seguridad mediante el diseño

Una revisión de las prácticas de desarrollo de software establecidas desde hace mucho tiempo no es una tarea fácil. Los CISO suelen enfrentarse a desafíos cuando intentan demostrar el rendimiento de la inversión (ROI) y el valor empresarial de las actividades de los programas de seguridad, tanto a nivel personal como empresarial, y muchos expresan su creciente frustración por la reducción del presupuesto y la falta de aceptación de las nuevas iniciativas cibernéticas por parte de los altos ejecutivos. Sin embargo, una propuesta respaldada por datos marcará la diferencia en este sentido.

En los últimos años, la ausencia de un punto de referencia de habilidades que permita a las organizaciones evaluar su desempeño en relación con los estándares de la industria ha sido un desafío clave. Esto ha hecho que sea increíblemente difícil diseñar e implementar programas de seguridad que afecten a las áreas correctas y fomenten la mejora continua del grupo de desarrolladores, un elemento crucial para el éxito de las prácticas de seguridad del software.

La clave para que las iniciativas de seguridad mediante el diseño funcionen no es solo dar a los desarrolladores las habilidades necesarias para garantizar la seguridad del código, sino también garantizar a los reguladores que esas habilidades existen. Por eso, decidimos analizar la preparación del equipo de desarrolladores, y los resultados podrían sorprender.

Cómo las empresas que intentan acelerar sus iniciativas de SBD pueden aprovechar el puntaje de confianza

Es prácticamente imposible mejorar de manera eficiente sin una idea sólida de por dónde se empieza y hacia dónde hay que ir. Sin embargo, cientos de clientes empresariales utilizan de forma eficaz Puntuación SCW Trust—un punto de referencia global que cuantifica las competencias de seguridad de los equipos de desarrolladores— para proporcionar estos puntos de datos útiles y granulares. Estos conocimientos dan forma a programas de seguridad altamente efectivos e impulsados por los desarrolladores que conducen al éxito de las iniciativas de seguridad desde el diseño.

El análisis revelado en nuestro libro blanco muestra que las organizaciones de las principales industrias de infraestructura crítica están progresando en la preparación de sus desarrolladores para avanzar en sus iniciativas de SBD. También descubrimos que los equipos de desarrolladores de estos sectores tienen una postura de seguridad promedio.

El análisis de Secure Code Warrior sobre la mejora de las habilidades de los desarrolladores en los sectores de infraestructura crítica se basa en la información de más de 20 millones de puntos de datos de 600 clientes empresariales y más de 250 000 desarrolladores activos de todo el mundo. El análisis reveló que:

• El número total de desarrolladores que participan actualmente en iniciativas de mejora de las capacidades de SBD centradas en los desarrolladores es inferior al 4% de todos los desarrolladores a nivel mundial;
• La industria de servicios financieros obtuvo el puntaje de confianza más alto, de 336;
• La mayoría de las iniciativas de mejora de capacidades de Secure by Design a gran escala tienen éxito, mientras que las iniciativas de menor escala tienden a estar dispersas. Sin embargo, cuando se les asigna un mandato, se ha demostrado que ofrecen un retorno de la inversión (ROI) mensurable en menos tiempo;
• Cuando las iniciativas de mejora de las capacidades están firmemente establecidas, los riesgos introducidos por los desarrolladores en las aplicaciones son considerablemente menores. El análisis reveló que los desarrolladores que participan en grandes iniciativas de mejora de las capacidades (más de 7000 desarrolladores en una sola empresa) pueden reducir las vulnerabilidades de forma previsible entre un 47 y un 53%.

La solución | Conclusión

SCW Trust Score es una herramienta poderosa en el arsenal de cualquier líder de seguridad, que permite un análisis exhaustivo de áreas específicas dentro de una organización. Los informes se pueden filtrar según los idiomas, los equipos o las categorías, lo que genera informes personalizados que permiten a las empresas abordar las necesidades específicas de los desarrolladores o equipos e identificar las áreas en las que se necesita formación o asesoramiento adicional. Al fin y al cabo, la seguridad es un esfuerzo sin fin; una evaluación comparativa eficaz del rendimiento ayudará a identificar las oportunidades de mejora continua.

El desarrollo y la implementación acelerados del software, junto con un panorama de ciberamenazas cada vez más amenazador y unos reguladores cada vez más exigentes, han colocado la ciberseguridad en primer plano. Las organizaciones, si aún no lo han hecho, deben priorizar el desarrollo de una cultura empresarial que priorice la seguridad.