Algunos CISO están convirtiendo la escasez de habilidades de seguridad en una oportunidad

Cuando me dirijo a San Francisco esta semana para asistir a RSA, me estoy preparando para muchas conversaciones con los CISO. Puede que le sorprenda, pero la conversación con muchos CISO en estos días no es satisfactoria.

Saben que los riesgos de seguridad están aumentando, pero muchos no ven la oportunidad de mejorar la seguridad y, en cambio, creen que sus organizaciones tienen más probabilidades que nunca de ser víctimas de una violación de datos o un ataque de ciberseguridad.

Uno de los temas más comunes en mis conversaciones habituales con los CISO es su preocupación por la problemática escasez de habilidades de ciberseguridad.

«Nuestro equipo de seguridad no es lo suficientemente grande para el tamaño de nuestro equipo de ingeniería o empresa».

«Nuestro equipo de seguridad sigue siendo cazado furtivamente por empresas extranjeras que ofrecen paquetes salariales extraordinarios y la oportunidad de trabajar y explorar otros continentes».

«Nuestros expertos en seguridad están demasiado ocupados combatiendo incendios como para seguir desarrollando sus habilidades».

Este tema está respaldado por varios informes de investigación, incluida una encuesta del Ponemon Institute de 2017, en la que la «falta de personal interno competente» encabezó todas las demás formas de preocupación por la ciberseguridad de los CISO en 2018.

No es probable que esta brecha crítica en materia de seguridad desaparezca pronto, especialmente en mercados como Australia, donde los talentos más brillantes suelen trasladarse al extranjero y las leyes de inmigración dificultan cada vez más la incorporación de expertos en seguridad extranjeros al país.

Una de las cosas interesantes de la escasez de habilidades en Australia es que la falta de capacidad para contratar expertos calificados ha llevado a centrarse positivamente en el desarrollo de habilidades de seguridad nacional. Como se supone que Benjamín Franklin dijo: «De la adversidad surgen las oportunidades». Los gobiernos, las instituciones educativas, las empresas y las empresas emergentes de Australia están trabajando en programas para desarrollar una variedad de habilidades de seguridad a nivel local.

Un área en la que la adversidad de las habilidades de seguridad definitivamente ha generado oportunidades es en el desarrollo de habilidades de codificación segura dentro de los equipos de desarrollo internos y subcontratados. Dado que la mayoría de las principales brechas de seguridad del mundo pueden atribuirse a errores de codificación y que, por término medio, las brechas cuestan 3,6 millones de dólares, la seguridad del software es sin duda una parte importante del desafío de seguridad. Uno de los gastos más importantes (y cada vez más) de los presupuestos de seguridad de las aplicaciones se destina a identificar y corregir la seguridad reactiva de las aplicaciones, ya que a menudo se producen los mismos errores de siempre año tras año.

Capacitar a los desarrolladores para que escriban código seguro desde el principio es una oportunidad para que los CISO tomen un control proactivo de la difícil situación de seguridad y, además, existe la posibilidad de lograr mejoras rápidas, fáciles y mensurables» tanto para los equipos de seguridad como para los de desarrollo.

No significa reemplazar a los expertos en seguridad por desarrolladores, pero sí implica involucrar a los desarrolladores en cuestiones de seguridad, hacer que la seguridad forme parte de su mentalidad diaria y enseñarles a programar de forma segura de una manera divertida, eficaz y eficiente. El resultado será que la escasa experiencia en seguridad se dedicará mejor a encontrar y corregir los errores más complejos y problemáticos que a tratar las vulnerabilidades de siempre.

Para algunos CISO, todo esto puede parecer demasiado bueno para ser verdad o demasiado difícil de implementar, pero la verdad es que no es ninguna de esas cosas. En Secure Code Warrior, hemos visto a más y más CISO aprovechar esta oportunidad y transformar la vida laboral de los equipos de seguridad y desarrollo en el proceso.

Un grupo de CISO que ha liderado la campaña mundial para desarrollar una mentalidad y habilidades sólidas en materia de seguridad entre sus desarrolladores de software son los bancos australianos. Los bancos australianos fueron los primeros en adoptar este enfoque en 2016 y 2017. Los seis principales bancos del país ahora alientan e involucran activamente a sus equipos de desarrollo para que desarrollen habilidades de codificación seguras a través de nuestro entorno de aprendizaje en línea, autodidacta y gamificado. Los bancos también revisan periódicamente las métricas y los informes en tiempo real para verificar los puntos fuertes y débiles de sus desarrolladores y equipos.

De este enfoque se desprenden resultados tangibles y positivos, incluida la reducción de la aparición de vulnerabilidades comunes, una mayor conciencia de los desarrolladores sobre la seguridad y una mejor relación entre los equipos de seguridad y desarrollo. Las empresas que invierten en enseñar a sus desarrolladores a programar de forma segura reducirán la presión sobre sus actuales talentos de seguridad y reducirán su exposición a las inseguridades del software.

Si es un CISO (o conoce a uno) que se siente deprimido por la situación de seguridad en su organización, le animo a que piense en una forma sencilla de obtener algunos puntos positivos y tangibles de mejora de la seguridad. Capacite a sus desarrolladores para que aprendan a programar de forma segura de una manera relevante, positiva y divertida. Sus equipos de seguridad y desarrollo se lo agradecerán y, además, reducirá los costes y las demoras con la innovación y el desarrollo de productos. Apuesto a que allanará el camino para muchas conversaciones positivas sobre seguridad _...

Capacitar a los desarrolladores para que escriban código seguro desde el principio es una oportunidad para que los CISO tomen un control proactivo de la difícil situación de seguridad y, además, existe la posibilidad de lograr mejoras rápidas, fáciles y mensurables» tanto para los equipos de seguridad como para los de desarrollo.