Perspectives sur le code sécurisé

Existe una verdad algo incómoda, que los gobiernos, las grandes corporaciones e incluso algunos líderes de la industria tienden a pasar por alto: como sociedad, estamos en una batalla constante contra las ciberamenazas y actualmente estamos en el bando perdedor. ¿Cómo sabemos esto? Estas estadísticas cuentan una historia aleccionadora:

• Se estima que la ciberdelincuencia tiene un costo global de 6 billones de dólares de aquí a 2021
• Se produce un ciberataque cada 39 segundos
• El 24% de las filtraciones de datos son causados por un error humano
• Un alarmante 77% de las organizaciones no tener un plan de respuesta a incidentes de ciberseguridad que se amplía en toda la empresa y se aplica de manera uniforme entre los departamentos.

En lo que respecta a los especialistas en ciberseguridad, tenemos una escasez crítica de personal; es poco probable que se llene la brecha de habilidades y no hay ningún ejército secreto de AppSec que venga a rescatarnos. Lo sabemos desde hace años y tenemos que cambiar nuestro enfoque. En nuestro caso, el mejor ataque es una buena defensa, y podemos atacar primero si tenemos un buen plan.

Todo esto suena un poco deprimente, pero no es tan malo como algunos nos hacen creer. Tenemos un as bajo la manga y el clima de ciberseguridad nos presenta una oportunidad de oro. No necesita buscar más allá de sus equipos de desarrollo internos para encontrar al personal que vendrá a rescatar a la organización, pero su programa de seguridad debe respaldar su trayectoria para convertirse en ingenieros conscientes de la seguridad que estén preparados para compartir la responsabilidad de programar de forma segura.

Cualquier entrenamiento antiguo no servirá - ya lo hemos dicho lo suficiente, pero incluso la formación adecuada que involucre, desarrolle conocimientos contextuales y ayude a los desarrolladores a disfrutar de la seguridad podría ser mucho más eficaz si tan solo estuviera más adaptada a las necesidades de la empresa, las amenazas a las que se enfrenta y los requisitos de cumplimiento que ayudan a las empresas a mantener todos nuestros datos seguros.

Y ahí es donde nuestras funciones más recientes, Cursos, entra en juego. Por cierto, si tienes la referencia en el título, oficialmente eres viejo (o simplemente aprecias un clásico).

Aprendizaje específico de la organización: desarrolle la defensa, refuerce las habilidades de los desarrolladores

Tenemos todo tipo de opiniones sobre por qué algunos tipos de formación para desarrolladores son mejores que otros (es decir, no hay que aburrirlos hasta la muerte con horas de sermones en vídeo genéricos y secos, y esperar que florezca la pasión por la programación segura). Sin embargo, incluso con un aprendizaje competitivo diseñado para adaptarse a la mentalidad de los desarrolladores, es posible que el contenido sea un poco más amplio de lo que se necesita para cumplir con los requisitos particulares de una organización.

Un curso seleccionado que contenga los módulos exactos en los que tus desarrolladores deberían demostrar su competencia tendrá un gran impacto y les permitirá empezar a trabajar de inmediato en lo que respecta a las mejores prácticas de seguridad en su trabajo diario. Personalice los programas para que se adapten a los equipos de frontend, a los ingenieros de nube, etc., con la capacidad de analizar en profundidad las vulnerabilidades más importantes, en los lenguajes y marcos que sean relevantes para ellos. Los desarrolladores aumentarán sus habilidades con un contexto, puntos de contacto y experiencia continuos, mientras que la empresa se beneficiará de una conciencia precisa sobre los problemas que representan un mayor riesgo.

Personalice un curso para garantizar el cumplimiento

En todo el mundo se están imponiendo normas más estrictas relacionadas con la ciberseguridad, y el cumplimiento de la seguridad del software es una base excelente sobre la que construir una cultura de seguridad positiva y eficaz. No debería ser aburrido, y un buen programa de seguridad despierta un sentimiento de orgullo y responsabilidad en los desarrolladores, en lugar de quejarse y ponerse la palma de la cara.

Como punto de partida, es una muy buena idea poner a todos al día con el Top 10 de OWASP, pero para alcanzar realmente nuevos niveles de cumplimiento relevantes para la industria, puedes diseñar un curso personalizado en torno a los requisitos de las normativas específicas. Por ejemplo, una organización financiera podría adaptar un curso a los requisitos de cumplimiento de su software, de acuerdo con la Pautas de PCI-DSS que rigen las aplicaciones de procesamiento de pagos y tarjetas. Hay mucho en juego cuando te encargas de procesar y almacenar información confidencial, como los números de tarjetas de crédito, y conseguir la máxima especificidad con el aprendizaje de los desarrolladores evita el ruido, proporciona la formación adecuada en el momento adecuado y hace que la aptitud del equipo sea mucho más fácil de supervisar.

Así es como General Electric (GE) utiliza los cursos en sus equipos:

«Los cursos son una gran solución para nuestros ingenieros. Con la nueva función, que agrupa la ruta de aprendizaje, los vídeos y los puntos de control en un módulo personalizable, podemos diseñar el contenido en función de lo que necesitamos en cada momento. Las capacidades de cumplimiento y la flexibilidad brindan una oportunidad aún mejor para garantizar un proceso más ágil y flexible. Esta capacidad ha ayudado a General Electric a adaptar la formación pertinente a cada ingeniero de forma más rápida y sencilla que nunca».

Y recuerde, puede que se trate de una formación sobre cumplimiento curada, pero aun así se ofrece como una experiencia de aprendizaje pequeña, contextual y atractiva que es mucho más atractiva para los desarrolladores.

Una cultura de seguridad positiva basada en el respeto y la relevancia

La educación es un proceso que dura toda la vida, pero en el frenético mundo de DevSecOps, hay muchos platos que hacer girar. El tiempo reservado para la formación debe utilizarse con prudencia, con una ruta de aprendizaje viable que siga atrayendo y añadiendo valor.

Al seleccionar un curso personalizado que sea muy relevante, respetas el tiempo y el flujo de trabajo del desarrollador y, al mismo tiempo, trabajas para lograr una reducción mensurable de las vulnerabilidades y los riesgos de ciberseguridad para la empresa.

La relación entre los especialistas e ingenieros de AppSec suele estar plagada de malentendidos y tensiones, pero el aprendizaje estructurado con los cursos puede permitir a ambas partes ponerse de acuerdo con las prácticas recomendadas de seguridad. No cabe duda de que los desarrolladores apreciarán que el equipo de AppSec les dé la posibilidad de centrarse en las soluciones, ya que minimiza la carga que tienen que soportar y les ayuda a crear un estándar de código más elevado.

Elimine las debilidades, amplíe la higiene de seguridad a nivel empresarial

Todos somos humanos y, lamentablemente, cometemos errores. Esos errores pueden ser extremadamente costosos en el mundo digital, pero son asombrosamente comunes. Los de Symantec Informe sobre amenazas a la seguridad en Internet de 2019 confirmó que se robaron más de 70 millones de registros como resultado de la mala configuración de los cubos S3. Los errores de configuración de seguridad son una de las principales causas de las filtraciones de datos, y la causa principal son los errores humanos alrededor de una cuarta parte de ellos.

Estos problemas ocurren por varias razones, pero la falta de conciencia y capacitación en materia de seguridad es un factor importante para que los atacantes puedan aprovechar las pequeñas oportunidades. Para lograr una higiene de seguridad escalable que tenga un impacto positivo, debe contar con un curso personalizado para su empresa. No muestres piedad con tus enemigos y elimina cualquier oportunidad que tengan para causar el mayor dolor de cabeza que puedas encontrar.

Ya estamos viendo un impacto sorprendente en nuestros clientes, incluido este proveedor líder de SaaS de contabilidad basado en la nube:

«La ruta de aprendizaje personalizada de los cursos ha supuesto un punto de inflexión. La especificidad de los lenguajes de programación y las vulnerabilidades proporcionan más control y flexibilidad para crear la experiencia de aprendizaje adecuada para cada desarrollador en función de las necesidades individuales y de la empresa. El uso de Courses junto con la plataforma de codificación segura más amplia de Secure Code Warrior ha transformado el compromiso de nuestros desarrolladores, ya que ahora están más interesados en mejorar sus habilidades de codificación segura para escribir un código mejor y más seguro».

Prepárate para DevSec. Obtenga más información sobre la nueva función de cursos de Secure Code Warrior aquí.

Con 2020 viendo un enorme aumento en el trabajo remoto, además de las continuas filtraciones de datos a gran escala y un enfoque cada vez mayor en las consecuencias de comprometer la privacidad en línea, nunca ha habido un enfoque público más centrado en la ciberseguridad. Como resultado, los gobiernos de todo el mundo han intervenido para remodelar y actualizar sus planes e infraestructuras de ciberseguridad, incluidas las estrategias y normativas que las empresas deben seguir a la hora de gestionar nuestros recursos digitales más preciados.

Las directrices de protección estratégica para la ciberseguridad no son un concepto nuevo, y organizaciones como NIST han influido en las políticas de los departamentos gubernamentales mundiales durante muchos años. A medida que avanzamos a un ritmo vertiginoso en el avance digital, a muchos les resulta difícil mantenerse al día con la cantidad de amenazas, los posibles vectores de ataque y los requisitos de cumplimiento que forman parte de un panorama en constante cambio.

Un reciente incumplimiento de 54.000 licencias de conducir de Nueva Gales del Sur como resultado de un bucket de S3 mal configurado y de fácil acceso en un servidor de terceros, ha puesto en peligro a miles de personas, y el investigador de seguridad que lo denunció admitió que es posible que los datos ya se hayan vendido en la web oscura. Lo triste es que se trata de una solución fácil y no habría sido posible si la seguridad hubiera sido una prioridad para los configuradores de la caché.

El Gobierno australiano publicó recientemente el Estrategia Australiana de Ciberseguridad 2020, destacando las nuevas iniciativas y el aumento de financiación de 1.670 millones de dólares que se utilizarán durante la próxima década para lograr su «visión de crear un mundo en línea más seguro para los australianos, sus empresas y los servicios esenciales de los que todos dependemos». Evidentemente, se trata de una revisión y un plan actualizado que acogemos con gran satisfacción, sobre todo si se tiene en cuenta que uno de los principales objetivos es:

«Acciones de las empresas para proteger sus productos y servicios y proteger a sus clientes de las vulnerabilidades cibernéticas conocidas«.

Si bien los organismos gubernamentales tienden a centrarse (como deberían) en las medidas de seguridad relacionadas con la infraestructura crítica de un país (áreas que están listas para un ataque organizado catastrófico), lo que faltaba en el pasado eran directrices para las empresas que recopilan y utilizan nuestros datos todos los días.

Ahora, cuando se trata de estrategias oficiales como esta, no siempre se trata de cerveza y bolos. Puede resultar un poco difícil de interpretar e impreciso en cuanto a los detalles, lo que deja en manos del equipo de seguridad de la organización la elaboración de un plan basado en directrices no específicas. Este problema no es exclusivo del gobierno de Australia, pero analicemos su nuevo lanzamiento.

Centrarse en la reacción, no en la prevención.

La Estrategia de Ciberseguridad de Australia actualizada es un avance más relevante con respecto a la última versión de 2016, con planes bastante completos para las empresas, especialmente para las pymes. La estrategia describe lo siguiente:

«El gobierno y las grandes empresas ayudarán a las pequeñas y medianas empresas (PYMES) a crecer y aumentar su conciencia y capacidad en materia de ciberseguridad. El Gobierno australiano colaborará con las grandes empresas y los proveedores de servicios para proporcionar a las pymes información y herramientas en materia de ciberseguridad como parte de «paquetes» de servicios seguros (como el bloqueo de amenazas, los antivirus y la formación en materia de ciberseguridad)».

Esto proporcionará a las pymes una base básica decente sobre la que proteger sus negocios de las ciberamenazas, pero es en gran medida un enfoque reactivo, y la atención se centra en las herramientas de detección, una parte relativamente pequeña del panorama de la ciberseguridad.

Sorprendentemente, también hay poca información sobre cómo las grandes empresas pueden protegerse y reducir sus vectores de ataque. Si bien muchos pueden formar parte de los planes para proteger la infraestructura crítica (como las telecomunicaciones y el transporte), servicios financieros, venta al por menor, y muchos otros mercados verticales tienen mucho que perder cuando se trata de un ciberataque exitoso. Quizás esto forme parte de la próxima legislación, pero aun así, es fundamental destacar la importancia de aplicar meticulosas mejores prácticas de ciberseguridad a nivel empresarial para lograr un cambio significativo y una disminución de los datos comprometidos y la ciberdelincuencia.

En general, cuando se considera la estrategia en su conjunto, se basa en un enfoque reactivo. La lucha contra los ciberataques, la desarticulación de los ciberdelincuentes activos y la garantía de su persecución, así como el intercambio de información de inteligencia con los aliados internacionales, son factores importantes, pero imagínese si la norma nacional de protección se centrara en la prevención. Además de las medidas de protección para la infraestructura crítica, si la seguridad fuera una prioridad en todas las empresas y cada persona que toque el código que crea nuestro mundo digital estuviera debidamente equipada para bloquear los ataques antes de que se produzcan, el ahorro de tiempo, dinero y angustia para las víctimas es inconmensurable.

La resiliencia es posible, pero hay que planificarla.

Del esfuerzo del Gobierno australiano por tomarse en serio la ciberseguridad se desprende claramente que se la ha identificado como un área de riesgo clave a nivel nacional. Como cualquier otro ataque malintencionado que tenga la capacidad de perturbar nuestro modo de vida, la resiliencia es absolutamente crucial, no solo para resistir un intento de este tipo, sino también para disuadir de que se produzca. A fin de cuentas, incluso los actores de las amenazas pueden ser perezosos y, si se ponen demasiados obstáculos para lograr su objetivo, optarán por un objetivo más fácil para alcanzar su objetivo.

Por el momento, nos enfrentamos a una escasez mundial de habilidades de ciberseguridad, y esto es algo que mantiene despiertos a los CISO de todo el mundo por la noche. Miles de millones de líneas de código, violaciones de datos constantes y a gran escala y un mayor riesgo de penalización (solo en Marriott) recibió una multa de 123 millones de dólares en virtud del RGPD por su violación de datos en 2018... y ellos tuvo otra infracción este año) ha creado más que nunca un abismo en la demanda de especialistas en seguridad que, siendo realistas, es poco probable que se cierre. Simplemente hay demasiado código y muy pocos recursos para garantizar que esté fortificado desde todos los ángulos.

Entonces, ¿deberíamos renunciar a la idea de que alguna vez nos mantendremos firmes frente a las ciberamenazas? No hay ninguna posibilidad. La resiliencia requiere utilizar todos los recursos disponibles y pensar un paso por delante. Y para muchas empresas, sus desarrolladores pueden desbloquear un poderoso método de fortificación justo cuando se escribe el código. Cuando se combina con una cultura de seguridad visible y positiva en toda la empresa, esto proporciona una base segura que es difícil de romper para muchos atacantes. Sin embargo, este método requiere tomar las sugerencias de la Estrategia de Ciberseguridad de Australia, como ejemplo, y profundizar en la forma en que se pueden personalizar para respaldar un cambio efectivo que sea relevante para la empresa.

Para ello, es importante desglosar un par de consejos:

• Formación sobre sensibilización en materia de seguridad: se dirige específicamente a las pymes y, en el contexto de todo el informe, tiene como objetivo principal enseñar a todo el personal la higiene básica de la seguridad (por ejemplo, detectar correos electrónicos de suplantación de identidad, no hacer clic en enlaces desconocidos, etc.). Siendo realistas, debe ir mucho más allá y centrarse en funciones específicas, especialmente para quienes se dedican al código, como los desarrolladores. Es imperativo que la formación en materia de seguridad sea un componente de las medidas preventivas y del fomento de la resiliencia
• Educación: En un cambio refrescante, hay un plan detallado para abordar la escasez de habilidades de ciberseguridad durante la próxima década, haciendo hincapié en la formación en ciberseguridad desde la escuela primaria y secundaria hasta la educación superior. Esto es muy necesario si queremos construir las superestrellas de la seguridad del futuro, pero desde la perspectiva de abordar las necesidades empresariales en este momento, la formación práctica en codificación segura para la cohorte de desarrollo es una necesidad absoluta para empezar a reducir las vulnerabilidades comunes y debe formar parte de un programa de seguridad funcional.

Como expertos en seguridad, debemos hacer más para ayudar a las empresas de todo el mundo a entender la importancia de crear un programa de seguridad interna que vaya más allá de las simples medidas fundamentales de concienciación. Dedicar tiempo a mejorar las habilidades de los desarrolladores alivia la presión sobre los especialistas en AppSec, que tienen el exceso de trabajo, y garantizar que toda la organización esté tan concienciada con la seguridad como sea posible en el contexto de su función es vital para reducir el área de ataque del software a la superficie amenazada.

La mejora de las habilidades de los desarrolladores es un tiempo bien empleado, entonces, ¿por qué tantas empresas lo ignoran?

Una encuesta reciente de DDLS concluyó que hay muy poco sentido de prioridad en lo que respecta a la formación en ciberseguridad en las organizaciones australianas. De hecho, ni siquiera figuraba entre las tres principales prioridades de formación, a pesar de que el 77% de los encuestados califica el conocimiento de la ciberseguridad como «extremadamente» o «muy importante» en sus negocios.

No es de extrañar, entonces, que Australia esté esforzándose por cerrar la creciente brecha de habilidades y tenga mucho trabajo por hacer para crear una infraestructura más resiliente, desde los servicios esenciales hasta el comercio minorista y todo lo demás.

Aquí hay una enorme oportunidad para gobiernos para crear una certificación básica o regulación de habilidades de seguridad, y la estrategia alude a esto como una forma de trabajar con recursos limitados. Sin embargo, una vez más, esta parece ser una propuesta para el futuro, y tenemos las herramientas para empezar mucho antes si nos centramos primero en las áreas de alto impacto. Para mí, la esperanza reside en los equipos de desarrollo de cada organización y, si cuentan con las herramientas y los conocimientos necesarios para tener éxito, pueden eliminar de inmediato las vulnerabilidades más comunes y reducir significativamente el riesgo de que se produzca una violación de datos en su organización.

En 2019, El 24% de todas las filtraciones de datos se debieron a errores humanos - es decir, errores de configuración de seguridad, que suelen ser correcciones relativamente simples a nivel de código. Si la formación se convierte en una prioridad, junto con la creación de conciencia en materia de seguridad en toda la empresa, apuesto a que habría menos CISO que los CISO firmaran las notificaciones de infracciones a miles de clientes comprometidos.

Depuis des années, les responsables de la sécurité investissent massivement dans des programmes de codage sécurisé, mais une question fondamentale reste sans réponse : Savons-nous vraiment qui commet le code et qui possède les compétences requises pour écrire, réviser et finalement livrer un code sécurisé ?

Les approches traditionnelles "shift-left" laissent les entreprises aux prises avec d'énormes angles morts lorsqu'il s'agit de découvrir et d'intégrer les développeurs dans les programmes de codage sécurisé. Comme les administrateurs de programmes s'appuient sur des vérifications manuelles, des feuilles de calcul et des structures organisationnelles RH pour suivre les compétences des développeurs en matière de codage sécurisé, des "développeurs de l'ombre" qui contribuent au code dans des bases de code critiques mais qui n'ont pas de compétences en matière de sécurité font souvent leur apparition. Cette réalité compromet gravement les objectifs du SDLC sécurisé et complique la gouvernance, car il est difficile de prouver les compétences en matière de sécurité lors d'examens internes ou externes.

Secure Code Warrior's Trust Agent élimine ce risque, transformant votre programme de codage sécurisé en une défense vérifiable et contrôlée en permanence qui donne aux RSSI et aux responsables AppSec la confiance nécessaire pour prouver que leurs développeurs possèdent les compétences requises en matière de sécurité, à chaque engagement.

Contrôle et assurance continus avec l'agent fiduciaire

Sans une surveillance continue, les risques encourus par les développeurs restent cachés. Trust Agent offre une visibilité permanente en opérationnalisant la sécurité au niveau de la validation du code.

Découverte continue du développeur : Connaître votre champ d'application

Avant de pouvoir sécuriser votre base de code, vous devez savoir qui y touche.

Trust Agent analyse automatiquement vos référentiels intégrés pour découvrir tous les contributeurs de code actifs dans l'ensemble de votre base de code. Cela permet de relever un défi essentiel de l'intégration - un processus continu - et de répondre à la question suivante : savez-vous quand de nouveaux ingénieurs ou sous-traitants vous rejoignent, et s'ils reçoivent une formation immédiate et pertinente en matière de codage sécurisé ? En surveillant continuellement les commits, nous nous assurons que chaque développeur est immédiatement identifié et que son parcours de codage sécurisé peut commencer, éliminant ainsi les retards typiques de l'onboarding et garantissant la portée complète du programme.

‍

Compétence vérifiée : Contrôler le code, et pas seulement l'achèvement de l'apprentissage

Outre la découverte de tous les contributeurs au code, Trust Agent transforme les données d'apprentissage en preuves tangibles en surveillant en permanence les compétences de codage sécurisé appliquées en temps réel. Il permet une observation approfondie en mettant en corrélation chaque livraison de code avec les compétences vérifiées du développeur en matière de codage sécurisé spécifique à la langue.

Ceci est crucial pour des mandats tels que PCI DSS 4.0 (Exigence 6.2.2), qui demande spécifiquement une formation au code sécurisé tous les 12 mois dans le langage ou le cadre dans lequel les développeurs commettent le code. Trust Agent vous fournit les preuves auditables nécessaires pour prouver que les compétences en matière de sécurité sont alignées sur les langages et les cadres utilisés dans vos applications critiques.

En outre, Trust Agent fournit des informations immédiates sur votre position en matière de risque en identifiant les équipes ou les référentiels de code présentant des volumes élevés de livraisons de la part de développeurs n'ayant pas les compétences adéquates en matière de sécurité. Cette visibilité permet aux administrateurs de programmes d'assigner facilement la bonne formation aux bons développeurs sur la base des données les plus pertinentes en temps réel.

Gouvernance intégrée et contrôle des politiques

En fin de compte, la gouvernance doit être appliquée pour réduire réellement le risque de sécurité des développeurs. Trust Agent offre la possibilité de rendre la compétence en matière de sécurité obligatoire en déplaçant les contrôles directement dans les flux de travail de développement existants, avec la possibilité de définir des politiques de validation basées sur la tolérance au risque de votre organisation. Trust Agent automatise la gouvernance directement dans le flux de travail de validation, avec des portes de politique qui peuvent être configurées pour enregistrer, avertir ou bloquer les demandes d'extraction si le niveau de compétence en codage sécurisé d'un développeur est insuffisant. Cette gouvernance intégrée est la clé pour s'assurer que la sécurité est une exigence et non une suggestion facultative.
‍

Assurer l'avenir du développement

Le passage à des compétences vérifiables en matière de codage sécurisé ne vise pas seulement à passer des audits - au bout du compte, il s'agit de fournir un code innovant et sécurisé. Même ou surtout avec l'essor du développement assisté par l'IA, le principe fondamental demeure : les développeurs doivent être compétents en matière de sécurité pour réduire véritablement les risques. En faisant de la compétence des développeurs en matière de codage sécurisé une exigence mesurable, SCW Trust Agent est la pièce maîtresse qui permet à votre entreprise non seulement de respecter les obligations de conformité et de réglementation, mais aussi de renforcer fondamentalement son dispositif de sécurité de l'intérieur.

Pour en savoir plus, réservez une démonstration ou contactez votre Customer Success Manager dès aujourd'hui !

‍

Las mismas 10 vulnerabilidades de software han causado más brechas de seguridad en los últimos 20 años que ningún otro. Sin embargo, muchas empresas siguen optando por la remediación posterior a la violación y al suceso, tratando de superar las ramificaciones humanas y empresariales de todo esto. Pero ahora, un nuevo estudio de investigación apunta a una nueva dirección dirigida por el ser humano.

‍A continuación, se analizan las ideas derivadas de un estudio realizado por Secure Code Warrior con Evans Data Corp titulado «Pasar de la reacción a la prevención: el rostro cambiante de la seguridad de las aplicaciones» (2021) que explora las actitudes de los desarrolladores hacia la codificación segura, las prácticas de código seguro y las operaciones de seguridad. Descargue el documento técnico aquí.

‍‍En el estudio que se publicará próximamente, se preguntó a los desarrolladores y gerentes de desarrollo sobre las actividades que asocian con la codificación segura. Las tres respuestas principales fueron:

• Uso de herramientas de escaneo en aplicaciones implementadas.
• Revisar manualmente el código en busca de vulnerabilidades.
• La práctica activa y continua de escribir software que esté protegido contra las vulnerabilidades.
  ‍

Entonces, ¿qué nos dice esto? Dos de las tres respuestas principales siguen centrándose en enfoques reactivos: la primera depende de las herramientas (escáneres) y la segunda de que el desarrollador (es decir, el ser humano) realice las comprobaciones manuales, en ambos casos después el código está escrito. Las vulnerabilidades detectadas con estos métodos deben enviarse al equipo de desarrollo para que las revise, lo que repercute en los plazos y los costes del proyecto.

Al mismo tiempo, dos de las tres actividades nominadas se basan en el elemento humano, un indicador de la creciente percepción de la seguridad como un problema humano. Sin embargo, de todas las actividades nominadas, la más reveladora es la número 3, que identifica el factor humano escribiendo software que esté protegido contra las vulnerabilidades en primer lugar. Esto pone de manifiesto un cambio hacia la izquierda: un enfoque proactivo y preventivo que incorpora la seguridad en el software desde el principio del ciclo de vida del desarrollo del software.

Reactivo puede equivaler a CARO

Según un estudio* de IBM, es treinta veces más caro corregir las vulnerabilidades en el código posterior al lanzamiento que si se encontraran y corrigieran desde el principio. Se trata de un poderoso incentivo para adoptar un nuevo enfoque proactivo y más humano de la defensa de la seguridad del software, que permita a los desarrolladores programar de forma más segura desde el principio.

Esto es lo que se podría llamar un defensa dirigida por humanos. Pero para que los desarrolladores empiecen a preocuparse por la seguridad, tiene que formar parte de su forma de pensar y programar todos los días. Se trata de un llamamiento a adoptar nuevos enfoques de formación que sean sumamente pertinentes para el trabajo diario de los desarrolladores y que los inspiren a querer aprender, algo que no puede decirse de los modelos de formación actuales.

Para crear una cultura de seguridad proactiva, se necesita una nueva formación que:

• convierte la codificación segura en una experiencia positiva y atractiva para los desarrolladores a medida que aumentan sus habilidades de seguridad de software
• anima a los desarrolladores a ver sus tareas de codificación diarias con una mentalidad de seguridad
• hace que la codificación segura sea intrínseca a su flujo de trabajo diario
  

Cuando estos hilos se unen, se evita que se produzcan vulnerabilidades en primer lugar, lo que permite a los equipos enviar código de calidad más rápido y con confianza. La buena noticia es que ya existe una plataforma de aprendizaje que «empieza por la izquierda» en el proceso de desarrollo de software, una plataforma que ya está dotando a los desarrolladores de las habilidades y herramientas necesarias para crear código de calidad desde el principio.
‍‍

‍

‍

‍

*IBM Software Group: minimizar los defectos del código para mejorar la calidad del software y reducir los costos de desarrollo
https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html

Una versión de este artículo apareció en Lectura oscura. Se ha actualizado y distribuido aquí.

Cuando hablo con los desarrolladores sobre seguridad, uno de mis mantras es que «el único código de calidad es el código seguro». Esto sigue siendo cierto; es posible que hayamos escapado a un desastre cuando el software vulnerable salió a la venta en la década de los 90, pero hoy no vale la pena correr el riesgo. A lo largo de los años, muchos han trabajado arduamente para inculcar en los desarrolladores una mentalidad consciente de la seguridad y, al hacerlo, es de esperar que la seguridad sea sinónimo de calidad en lo que respecta a la autoevaluación de su código.

Sin embargo, tras una reflexión (y un debate entre mis compañeros), quizás esté simplificando demasiado el concepto. Es totalmente posible crear código que sea realmente seguro, pero que muestre signos de una técnica de desarrollo incierta u otras áreas problemáticas que lo hagan menos que ideal.

Nuestra industria habla extensamente sobre la noción de «cambiar a la izquierda». En mi opinión, se trata de «empezar» por la izquierda, permitiendo que las cohortes de ingeniería compartan la responsabilidad de la seguridad (que es un aspecto de la calidad) y dándoles la posibilidad de borrar las vulnerabilidades comunes al alcance de la mano (literalmente). Sin embargo, a la luz de este dilema actual, parece que hay que ir un poco más allá.

El código de un cierto nivel de calidad es, por definición, también seguro, pero no todo el código seguro es necesariamente de buena calidad. ¿Empezar «a la izquierda de la izquierda» es la fórmula para garantizar estándares de codificación puros y seguros?

¿Qué aspecto tiene un código seguro de «mala calidad»?

Vamos a ver con lupa este fragmento de código:

Si analizamos este código desde una perspectiva de seguridad, este fragmento es seguro y no es un punto de entrada para que un atacante aproveche una vulnerabilidad de inyección SQL.

¿Es un ejemplo de código de alta calidad? La verdad es que no, lamentablemente. Un simple cambio en el argumento de int (ger) a un Cuerda El valor permite que la entrada del usuario de forma libre manipule la consulta, a diferencia de un número que no puede. Ese cambio (o copiar y pegar de forma fortuita la cadena sql desde otro lugar) crea inmediatamente un entorno en el que es posible que se produzcan vulnerabilidades en la inyección de SQL y todos los riesgos asociados a ellas:

En este caso, las medidas de seguridad tenían un alcance muy limitado, mientras que un desarrollador más minucioso (o experimentado) podría haber adoptado un enfoque diferente y haber considerado las implicaciones de una estructura argumental ineficiente. Un código de envío como este no solo es una mala práctica, sino que también es un mal ejemplo para otros miembros de la cohorte de desarrolladores.

La «triple amenaza» del software: ¿forma, función, parecido a una fortaleza?

Una «triple amenaza» en la industria del entretenimiento es una persona que puede actuar, bailar y cantar con un nivel de habilidad igualmente alto. Son las personas temidas y envidiadas en todas las audiciones, y son los unicornios de un espacio ya de por sí competitivo. Cada sector tiene su propia versión de un ejemplo excepcional y de primer nivel de sus productos y servicios, y el software no es la excepción.

Si pensamos en tres elementos clave en las aplicaciones que son difíciles de equilibrar con una calidad igual (alta), podrían ser la funcionalidad y la elegancia, además de una seguridad férrea y la rentabilidad si tenemos en cuenta la velocidad de entrega requerida. Ahora bien, este último atributo es, sin duda, un factor determinante para la eficacia con la que se aplican las otras dos opciones, y puede ser un catalizador para que la calidad general decaiga con el tiempo.

Sin embargo, ¿es necesario que todo el software funcione como Hugh Jackman o podemos salirnos con la suya con Nicolas Cage? Pongámoslo de esta manera: si consigues meter a Wolverine en tu equipo, lo harás lo mejor que puedas.

Martin Fowler hizo la pregunta: ¿Vale la pena la alta calidad? en el desarrollo de software, concluyendo que no solo «valió la pena», sino que en realidad fue más barato con el tiempo. La mayoría de los usuarios no se van a poner a analizar minuciosamente si el código es un desastre o si la seguridad es tan importante como todo lo demás. Sin embargo, quienes utilicen las herramientas perderán un tiempo precioso rehaciendo código torpe para añadir funciones más nuevas, o revisando las partes principales del proyecto para entender lo que está pasando o, en el peor de los casos, solucionando una vulnerabilidad que el equipo de AppSec ha conseguido recuperar y ha retrasado su producción. Dedicar tiempo ahora a crear código seguro y de buena calidad ahorra muchos problemas futuros, sin mencionar el costo de desentrañar un trabajo mal ejecutado.

Los desarrolladores expertos en seguridad escriben código que conserva su visión creativa y de resolución de problemas en la entrega de funciones, y se preocupan por eliminar los problemas de seguridad comunes que los ingenieros pueden controlar en su etapa del proceso. El código seguro no es muy eficaz de forma aislada, y por eso la idea de empezar «de izquierda a izquierda» ayudará a fomentar una cultura de seguridad como algo natural para los desarrolladores, ya que les permitirá ofrecer funciones increíbles con un riesgo reducido.

Comenzar «a la izquierda de la izquierda» es fundamental para una experiencia de usuario segura.

La seguridad ha sido una consideración en la experiencia del usuario del software durante mucho tiempo, pero es evidente que el éxito ha sido desigual. Se explicaron los errores de configuración de seguridad 21% de las filtraciones de datos basadas en la nube el año pasado, con errores cometidos por aficionados, como almacenar contraseñas en texto sin formato, que provocaron graves pérdidas de productividad, ingresos y confianza de los clientes para las empresas afectadas.

Eso, y los propios usuarios pueden ser su peor enemigo cuando se trata de proteger sus propios datos. Demasiada gente siguen utilizando la palabra «contraseña» como contraseña o utilizan la misma combinación en varias cuentas confidenciales.

No conozco a ningún desarrollador que se ponga manos a la obra cuando le dicen que tiene que trabajar en una pantalla de inicio de sesión, y no es de extrañar: es un equilibrio delicado diseñar un flujo de seguridad que sea sólido y funcional y en el que los usuarios puedan navegar de una manera que tenga sentido para ellos, con la menor interrupción posible.

Si pones demasiados pasos y restricciones complejos, es posible que los usuarios se desconecten para no volver nunca (lo que sería un desastre para una nueva aplicación), lo que sería demasiado confuso y podrías terminar causando un dolor de cabeza al equipo de soporte al responder a las consultas de los usuarios que intentan acceder a sus cuentas. Si lo pones demasiado fácil, estarás fallando en lo que respecta a la seguridad.

Una experiencia de usuario segura y exitosa debe integrar una seguridad estricta en un flujo que tenga sentido, presentado de manera que no reste valor a todo lo demás que es atractivo del software. No cabe duda de que puedes cumplir el objetivo de programar una función de inicio de sesión segura, introduciendo todo tipo de requisitos complejos de contraseñas, CAPTCHA, minijefes y cuatro oleadas de zombis, pero si se trata de un desastre total que repele a los usuarios, es que no da en el blanco.

Siente las bases para la excelencia del software.

Como desarrollador, sé que la gran mayoría de nosotros nos enorgullecemos de nuestro trabajo y queremos hacer lo correcto. Los obstáculos molestos, como las limitaciones de tiempo, los cambios repentinos en el objetivo actual o las correcciones urgentes, pueden interrumpir el flujo y provocar errores, pero la cruda verdad es que muchos ingenieros de software no están preparados para el éxito.

Comenzar «a la izquierda de la izquierda» es un concepto que prioriza a los desarrolladores y requiere que las organizaciones se tomen en serio la idea de mejorar su cohorte de ingenieros. Los desarrolladores preocupados por la seguridad valen su peso en oro, y el apoyo en forma de formación, suministro de las herramientas adecuadas y la oportunidad de ser asesorados por desarrolladores más experimentados fomentará un entorno en el que el código se elabore con una mentalidad que priorice la seguridad, con la precisión y la atención al detalle necesarias para llevar el software al siguiente nivel.

¿Estás listo para encender el fuego de la codificación segura que llevas dentro? Enfréntate al desafío.

‍

Es esa época especial del año (al menos para nosotros) en la que reflexiono sobre nuestra última vuelta alrededor del sol y lo que se ha hecho en los trescientos sesenta y cinco días anteriores para prepararnos para un nuevo año de crecimiento, lecciones e inevitable imprevisibilidad.

Si bien no creo que nadie pudiera haber presagiado los giros y vueltas del año pasado (al fin y al cabo, creo que la mayoría de nosotros nos enfrentamos a más curvas que los Dodgers de Los Ángeles), todavía estamos aquí. El correr del tiempo no supuso un freno repentino a los puntos débiles del año que no se puede nombrar, pero a mi alrededor veo la inquebrantable capacidad de recuperación de las personas, las empresas y nuestra industria.

Entonces, ¿qué avances hemos logrado en nuestro objetivo de proteger el código en toda la galaxia?

Hemos potenciado nuestra gama de productos.

La plataforma de formación Secure Code Warrior siempre será el corazón y el alma de nuestras ofertas, pero nuestras principales prioridades son esforzarnos por crear más variedad y más herramientas elegidas por los desarrolladores.

Queremos inspirar a los desarrolladores a adoptar un enfoque de codificación segura y preventiva que permita a todos los equipos ofrecer software de calidad con confianza.

Me enorgullece detallar lo que nuestro equipo de productos se ha esforzado tanto por implementar; se han fijado metas increíbles durante todo el año:

• Adquisimos Adversary.io e integramos su tecnología, su equipo increíblemente capacitado y sus clientes empresariales en menos de 9 meses.
• Alcanzamos el increíble hito de apoyar más de 50 lenguajes de programación, que incluye la infraestructura como pilares del código, como Docker, Ansible, Terraform, Kubernetes, Powershell y CloudFormation, así como nuevas incorporaciones, como Rust y Go.
• Aportar los conocimientos de seguridad al desarrollador mediante el lanzamiento de productos completamente nuevos extensiones para GitHub Actions and Issues, además de Atlassian JIRA Cloud & Server, que proporciona aprendizaje contextual justo donde los desarrolladores juegan sin necesidad de cambiar de tarea
• Guía de código de calidad en tiempo real en el IDE con Sensei, ahora disponible en Mercado de JetBrains para que todos los desarrolladores detecten errores de seguridad, apliquen las mejores prácticas, compartan conocimientos y eviten problemas de rendimiento y deudas técnicas
• Facilitar que las empresas interactúen con los desarrolladores y escalen la codificación segura mediante la publicación Cursos, una función completamente nueva que permite seleccionar rutas de aprendizaje para los objetivos que son más relevantes para una organización y sus objetivos de seguridad. También hemos añadido Misiones, una interesante mejora de la plataforma insignia, que pone a los desarrolladores en el asiento del piloto de un exploit. Es el siguiente paso de un enfoque de aprendizaje escalonado para ofrecer a los desarrolladores una base viable y duradera para el éxito.

... y si conoces a algún principiante en programación, debería echar un vistazo a la aplicación gratuita Secure Code Bootcamp y comenzar su viaje hacia la seguridad.

Llegamos, nos expandimos, influimos.

Nos gusta abordar la codificación segura de forma un poco diferente y, naturalmente, esperamos que este espíritu se haga popular en toda la industria. Es importante que los desarrolladores reconozcan su poder a la hora de librar una buena batalla contra los ciberatacantes, y conseguir que disfruten aprendiendo sobre seguridad es un objetivo primordial.

Miles de desarrolladores de todo el mundo se unieron a nuestros torneos virtuales, y solo en 2020 se celebraron más de 80. Estuvimos encantados de que la gente jugara como parte de Universo GitHub, mundial Cisco eventos, y DevSeccon.

Revisamos nuestros datos y vimos que cientos de miles de usuarios únicos jugaron en nuestra plataforma en 2020, lo que es alucinante si pensamos en el punto en el que empezamos hace seis años.

Me alegró mucho ver que habíamos aumentado nuestro alcance de manera significativa entre las empresas de la lista Fortune 1000, cada una de las cuales estaba dispuesta a probar algo nuevo como parte de sus programas de seguridad. Hemos encontrado sinergias, en particular, con las empresas de tecnología, muchas de las cuales optaron por el trabajo remoto y valoraron las opciones de formación a distancia.

Team Awesome se hizo más grande y más fuerte juntos.

Una de las mayores evoluciones que tuvimos como empresa el año pasado fue la adquisición de Adversary, una empresa de ciberseguridad con sede en Islandia. Teníamos mucho en común: una postura similar sobre el enfoque de la ciberseguridad centrado en las personas, unos valores alineados y unos productos complementarios. Dimos la bienvenida a su equipo al nuestro, adquiriendo una experiencia y un talento inestimables entre grandes personas.

También dimos la bienvenida a John Wilson como vicepresidente sénior de Ventas Globales, beneficiándonos de su amplia trayectoria de 25 años impulsando el crecimiento y convirtiendo a las empresas de ciberseguridad y tecnología en la nube en líderes del mercado. Sus amplios conocimientos técnicos han sido una fuerza innovadora en empresas como Symantec, Qualys, BlackBerry y Verizon, y no podríamos estar más contentos de que haga su magia con nosotros.

La falta de oficinas físicas no nos impidió incorporar a sesenta nuevos empleados en cinco países y asegurarnos de que pudieran empezar a trabajar de inmediato con soporte virtual, presentaciones y, por supuesto, el codiciado paquete de regalos para empleados entregado en su puerta.

Continuamos creciendo en todos los departamentos, todos con la misma importancia para lograr nuestra misión global de habilitar un código de calidad a gran velocidad. Sin embargo, todavía parece que acabamos de empezar.

2021, el año de cambiar la conversación.

Hace tiempo que tengo la sensación de que la sociedad simplemente no se preocupa lo suficiente por la ciberseguridad, y solo cuando ocurre algo increíblemente drástico podemos ver cómo se mueve la aguja en materia de acción y conciencia.

Cuando se produjo la enorme brecha de SolarWinds a finales del año pasado, están saliendo a la luz más detalles. Aún no se conoce el alcance total de los daños, pero este incidente podría ser el catalizador de un cambio generalizado. Los departamentos del gobierno estadounidense ya están revisando sus programas de seguridad, y el ciberespionaje es un tema muy candente entre quienes tienen mucho que perder.

Todavía podemos poner un poco de diversión en todo lo que hacemos, pero ahora es el momento de ponernos manos a la obra y trabajar para cambiar realmente la conversación.

Todos los desarrolladores que se preocupan por la seguridad hacen que nuestro mundo sea un poco más seguro frente a los ciberataques, y nuestro objetivo siempre será proporcionarles los conocimientos necesarios para tener éxito (y tal vez incluso que les encante). Nos esforzamos todos los días para crear herramientas que los desarrolladores elijan usar para aprender sobre seguridad y crear código de la más alta calidad. El código seguro debe ser el estándar, y todos podemos echar una mano para hacerlo realidad.

Según un estudio de IBM, es treinta veces más caro corregir las vulnerabilidades después del lanzamiento en comparación con encontrarlas y corregirlas inicialmente. Teniendo esto en cuenta, no es sorprendente que los CIOs con visión de futuro estén implementando prácticas de codificación seguras. Esto significa capacitar y equipar a los desarrolladores para que escriban un código que sea más seguro desde el principio, lo que los convierte en la «primera línea de defensa» de su organización. Para medir el impacto real de esta tendencia, Secure Code Warrior se asoció con Evans Data Corp* y se ocupó de un estudio reciente sobre las actitudes de los desarrolladores hacia la codificación segura, las prácticas de código seguro y las operaciones de seguridad. Esta investigación revela que la implementación de prácticas de código seguro es transformadora para las empresas en varios frentes diferentes. Descargue su copia del documento técnico here.

Codificación segura con más confianza y atención plena

Sin lugar a dudas, la implementación de prácticas de codificación seguras aumenta la conciencia de seguridad de los desarrolladores de manera que beneficie a sus empleadores. Nuestro estudio revela que el 55% de los desarrolladores afirma que una buena formación ha aumentado su confianza en sus técnicas de codificación, y el 53% afirma que una buena formación les ha permitido ser más cuidadosos a la hora de depurar y probar su propio código. Un 53% igual cree que se ha preocupado más por la seguridad a la hora de escribir código.

¿Qué nos dice esto? Nos indica que, con un poco de mejora de sus habilidades, los desarrolladores pueden transformarse en su primera línea de defensa.

Selección de herramientas más inteligentes y mayor velocidad de liberación

Cuando preguntamos a los gerentes sobre los impactos de la formación en código seguro, sus puntos de vista reflejaban sus responsabilidades gerenciales. El 43% de los gerentes estuvo de acuerdo en que la capacitación en código seguro ha ayudado a sus organizaciones a ser más cuidadosas al depurar y probar su código. El 47% reveló que una buena formación les ha permitido ser más selectivos con las opciones de herramientas que brindan más seguridad. Pero quizás lo más importante es que el 44% indicó que la formación y las técnicas de código seguro han ayudado a ahorrar tiempo y a acelerar los lanzamientos de software, una ventaja sustancial cuando la velocidad de comercialización lo es todo.

Mejora de la productividad en todos los ámbitos

Cuando preguntamos a los desarrolladores cómo la codificación segura ha ayudado a la productividad, más de la mitad consideró que había ayudado a aumentar la calidad de la codificación y del diseño de las aplicaciones.

El 63% afirmó que reduce la repetición del trabajo al evitar las vulnerabilidades recurrentes. El 70% afirmó que ayudó a eliminar los errores que provocan modificaciones o parches. El 56% afirma que ha mejorado la productividad en la depuración y las pruebas. Podemos observar que la transformación está en marcha en varias etapas del ciclo de vida del desarrollo de software.

Team Dynamics and code quality

Las prácticas de código seguro también tienen un impacto en la dinámica del equipo. Si bien de forma individual, los desarrolladores aprenden a programar de forma más segura, su código no existe en el vacío. Su código a menudo depende del trabajo de otros y viceversa. La implementación de prácticas de codificación seguras hace que los desarrolladores compartan y busquen conocimientos de codificación seguros, lo que impulsa una mejor comunicación entre los desarrolladores, los desarrolladores y la administración, y el equipo de desarrollo y las partes interesadas.

• El 60% de los desarrolladores encuestados cree que el empleo de prácticas de código seguro ha aumentado su comunicación con otros desarrolladores
• El 45% afirma que el contacto con la dirección ha aumentado.

Los gerentes se hacen eco de estas opiniones, aunque desde una perspectiva diferente. El 62% de los gerentes encuestados afirman que las prácticas de código seguro requieren que dediquen más tiempo a administrar a las personas y ayudan a aumentar la velocidad de las publicaciones de código.

Para las organizaciones que implementan prácticas de código seguro, el aumento de la comunicación tiene un impacto transformador en la dinámica del equipo, lo que repercute positivamente en la calidad del código y en la velocidad de comercialización.

Transformation of reactive to preventiva

Por último, el código seguro afecta a la forma en que los desarrolladores y los administradores de desarrollo aplican las medidas de seguridad y las métricas correspondientes.

En la actualidad, el 81% de las organizaciones sigue confiando en métricas reactivas, como el recuento de defectos y las métricas de los escáneres, para determinar la calidad de la seguridad.

Sin embargo, estas actividades reactivas se complementan cada vez más con métricas proactivas o preventivas o ceden paso a ellas. El 67% de las organizaciones ahora mide el conocimiento de los desarrolladores sobre los 10 principales de OWASP como una métrica de preparación para la seguridad. Otras métricas proactivas que se utilizan cada vez más incluyen:

• Medir la competencia de los desarrolladores en torno a la seguridad de las aplicaciones
• Preapproved code use
• Cumplimiento de los requisitos reglamentarios.

El 90% de los desarrolladores ahora prestan atención a estas medidas preventivas. Sin embargo, si bien el conocimiento y la implementación de prácticas de codificación seguras van en aumento, aún queda mucho camino por recorrer para aprovechar todo su potencial.

¿A dónde ir desde aquí?

Como defensores del cambio en la codificación segura, Secure Code Warrior adopta un enfoque dirigido por personas para ayudarlo a transformar a sus desarrolladores en su primera línea de defensa y en su enfoque de seguridad general de reactivo a proactivo. Nuestra plataforma de aprendizaje comprobada ofrece formación práctica y contextual en 52 categorías lingüísticas y marcos específicos, con desafíos similares a los que enfrentan los desarrolladores en el mundo real. Gracias a nuestra amplia experiencia, sabemos que los desarrolladores prefieren el método de aprender haciendo a la lucha que supone un aprendizaje estático basado en la teoría. Si quieres ver el impacto transformador que esto puede tener en tus equipos y en su capacidad para publicar código de calidad con confianza, reserve una demostración ahora.

‍

*Pasar de la reacción a la prevención: la cara cambiante de la seguridad de las aplicaciones. Secure Code Warrior y Evans Data Corp. 2020
1. IBM Software Group; minimizar los defectos del código para mejorar la calidad del software y reducir los costos de desarrollo - https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html

‍

Publié à l'origine dans CSO Online

En tant que hacker éthique (semi-retraité), professionnel de la sécurité et féru d'informatique, on peut dire que je m'intéresse beaucoup à la technologie. Je m'intéresse à la façon dont elle a été conçue, à ce qu'elle fait et à la manière dont elle va améliorer certains aspects de notre vie ou la rendre plus efficace. Je regarde constamment "sous le capot" des appareils, découvrant certains des meilleurs (et des pires) exemples de code qui existent. Récemment, j'ai examiné comment mon système de climatisation pouvait être contrôlé à distance à l'aide d'une application Android (imaginez ma surprise lorsque j'ai découvert que n'importe qui sur le réseau WiFi pouvait contrôler cet appareil sans aucune authentification).

La sécurité des logiciels est toujours au centre de mes préoccupations, tout comme le danger très réel que représente notre mode de vie de plus en plus numérique et axé sur le partage d'informations personnelles. Après tout, nous nous trouvons dans un territoire largement non réglementé, non supervisé et ignoré. Nous sommes dans le Far West.

En tant que société collective, nous ne regardons pas sous le capot de la technologie que nous utilisons tous les jours. En fait, la plupart d'entre nous n'ont aucune idée du degré de sécurité des logiciels utilisés dans la myriade d'applications, de services et d'objets de plus en plus connectés que nous achetons et utilisons. Ce n'est même pas que nous leur fassions intrinsèquement confiance, nous n'y pensons tout simplement pas du tout.

Sony PlayStation Network (PSN), Ticketmaster, Yahoo !, Facebook, Target : chacune de ces entreprises largement répandues a été victime d'une violation de données. Les vulnérabilités de leurs logiciels ont été exploitées et des millions et des millions d'enregistrements de clients ont été exposés. Ces exemples ne représentent qu'une fraction des violations mondiales qui ont eu lieu au cours des dix dernières années. Elles sont la conséquence coûteuse d'une mauvaise sécurité logicielle qui permet aux malfaiteurs de voler nos précieuses informations.

Lorsque la plupart des gens pensent aux violations de données, ils pensent aux violations de la sécurité de l'information. Elles sont certes un cauchemar pour l'entreprise victime de la violation et un inconvénient pour les personnes dont les données personnelles ont été affectées, mais sérieusement, quel est le problème ? Si la sécurité continue d'être ignorée, les conséquences sont-elles vraiment si graves ? Jusqu'à présent, rien de bien grave ne s'est produit : les violations de données ont de graves conséquences pour les entreprises qui en sont responsables, mais c'est leur problème, n'est-ce pas ? Elles perdent des marchés, elles perdent la confiance des consommateurs ; en fin de compte, c'est à elles qu'il incombe de régler le problème et de payer les dégâts.

La sécurité des logiciels devrait être une priorité pour toutes les organisations.

Il y a une raison assez simple pour laquelle la sécurité des logiciels n'est pas la préoccupation numéro un de toutes les organisations disposant d'une équipe de développement : il n'y a pas encore eu assez de victimes et les risques ne sont pas suffisamment connus.

Morbide ? Peut-être. Mais c'est la vérité. La réglementation, les normes de construction et l'attention portée à la modification des lois sont prises en compte (par exemple par les agences gouvernementales) lorsqu'il y a un coût humain réel.

Prenons l'exemple d'un pont. Les ingénieurs civils (un métier vieux de plusieurs centaines d'années) considèrent la sécurité comme un élément essentiel de la construction d'un pont. Leur approche va bien au-delà de l'esthétique et de la fonctionnalité de base. Chaque pont construit doit respecter des règles de sécurité strictes, la profession d'ingénieur civil et la société dans son ensemble ayant appris au fil du temps à exiger un niveau de sécurité élevé. Aujourd'hui, un pont qui ne répond pas aux exigences de sécurité est considéré comme dangereux et inutilisable. C'est une évolution à laquelle nous devons encore parvenir dans le domaine de l'ingénierie logicielle.

Prenons un exemple plus moderne, celui de l'industrie du jouet. Dans les années 1950, la production et les ventes de jouets ont connu un essor considérable grâce au baby-boom de l'après-guerre. Il est intéressant de noter que le nombre de visites aux urgences pour des incidents liés aux jouets a également augmenté au cours de cette période. Les flèches des jouets provoquaient des blessures aux yeux, les petits jouets (et les pièces détachables des jouets plus grands) étaient ingérés, et les fours à jouets commercialisés pour les petites filles étaient capables de chauffer à des températures plus élevées que les fours domestiques ordinaires.

C'était un peu le Far West, avec peu de réglementation, à l'exception de quelques interdictions isolées et de rappels de produits dans les circonstances les plus désastreuses. Les fabricants de jouets étaient essentiellement libres de produire les jouets qu'ils souhaitaient, les problèmes de sécurité étant généralement signalés après que plusieurs incidents aient été signalés. Ce n'est qu'après l'adoption de lois telles que la loi de 1969 sur la sécurité des jouets de Richard Nixon que les tests et l'interdiction subséquente des jouets dangereux sont devenus la norme, aux États-Unis et dans le monde entier. Bien que des accidents puissent toujours se produire, le processus général de fabrication des jouets adopte aujourd'hui une politique de "sécurité d'abord", et nos enfants courent beaucoup moins de dangers potentiels.

Dans le domaine de la sécurité des logiciels, nous sommes actuellement au Far West. Hormis les lois et réglementations évidentes relatives à la protection de la vie privée (en particulier récemment avec le GDPR) et à la protection des données des clients, ainsi que la législation sur le signalement obligatoire des violations dans certains pays, très peu de choses sont dites et faites dans le monde des affaires ou dans la communauté en général sur le niveau de sécurité intégré dans les logiciels. Même ces lois concernent davantage la responsabilité de l'entreprise que le logiciel lui-même qui est réglementé ou qui doit répondre à une norme de sécurité obligatoire.

Nous y parviendrons, mais il faudra peut-être d'abord emprunter la voie de la destruction.

Gartner estime que 8,4 milliards d'appareils connectés à l'internet seront utilisés d'ici 2020, ce qui représente une augmentation de 31 % par rapport à 2016. Ce chiffre inclut l'électronique grand public, ainsi que des appareils médicaux et des équipements spécifiques à l'industrie. Cela fait beaucoup d'opportunités pour un pirate informatique.

Imaginez que le logiciel du stimulateur cardiaque d'une personne ne soit pas sécurisé. Un pirate informatique pourrait s'y introduire et potentiellement arrêter le cœur de sa victime (vous trouvez cela ridicule ? Les médecins ont désactivé le WiFi du pacemaker de Dick Cheney pour éviter qu'il ne soit assassiné par piratage). Un four à micro-ondes ou une bouilloire connectés pourraient exploser à distance (ainsi que tous les appareils de l'internet des objets dont nous bénéficions dans nos maisons), ou les freins d'une voiture électrique connectée pourraient être désactivés. Cela peut sembler un film d'action hollywoodien tiré par les cheveux, mais si le logiciel de l'un de ces éléments avancés de la technologie connectée peut être violé, nous avons vraiment une catastrophe potentielle sur les bras - tout comme les menaces que nous avons déjà couvertes avec les ramifications explosives des cyberattaques dans l'industrie du pétrole et du gaz.

Nous pouvons anticiper les conséquences désastreuses des piratages malveillants à mesure que nos vies deviennent de plus en plus dépendantes du numérique. Tout commence par l'enthousiasme des développeurs pour le codage sécurisé et par la volonté de développer une culture et un état d'esprit solides en matière de sécurité au sein des équipes de développement.

Votre révolution logicielle commence ici. Le secteur bancaire est le premier à adopter la formation par le jeu dans la lutte contre le mauvais code, dans le cadre d'une approche véritablement innovante qui bouleverse la formation traditionnelle (ennuyeuse). En fait, chacune des six plus grandes banques d'Australie fait actuellement participer ses développeurs de cette manière, en stimulant leur esprit de sécurité. Découvrez ce que notre client, IAG Group, a fait avec son prochain niveau tournament.

Cuando me dirijo a San Francisco esta semana para asistir a RSA, me estoy preparando para muchas conversaciones con los CISO. Puede que le sorprenda, pero la conversación con muchos CISO en estos días no es satisfactoria.

Saben que los riesgos de seguridad están aumentando, pero muchos no ven la oportunidad de mejorar la seguridad y, en cambio, creen que sus organizaciones tienen más probabilidades que nunca de ser víctimas de una violación de datos o un ataque de ciberseguridad.

Uno de los temas más comunes en mis conversaciones habituales con los CISO es su preocupación por la problemática escasez de habilidades de ciberseguridad.

«Nuestro equipo de seguridad no es lo suficientemente grande para el tamaño de nuestro equipo de ingeniería o empresa».

«Nuestro equipo de seguridad sigue siendo cazado furtivamente por empresas extranjeras que ofrecen paquetes salariales extraordinarios y la oportunidad de trabajar y explorar otros continentes».

«Nuestros expertos en seguridad están demasiado ocupados combatiendo incendios como para seguir desarrollando sus habilidades».

Este tema está respaldado por varios informes de investigación, incluida una encuesta del Ponemon Institute de 2017, en la que la «falta de personal interno competente» encabezó todas las demás formas de preocupación por la ciberseguridad de los CISO en 2018.

No es probable que esta brecha crítica en materia de seguridad desaparezca pronto, especialmente en mercados como Australia, donde los talentos más brillantes suelen trasladarse al extranjero y las leyes de inmigración dificultan cada vez más la incorporación de expertos en seguridad extranjeros al país.

Una de las cosas interesantes de la escasez de habilidades en Australia es que la falta de capacidad para contratar expertos calificados ha llevado a centrarse positivamente en el desarrollo de habilidades de seguridad nacional. Como se supone que Benjamín Franklin dijo: «De la adversidad surgen las oportunidades». Los gobiernos, las instituciones educativas, las empresas y las empresas emergentes de Australia están trabajando en programas para desarrollar una variedad de habilidades de seguridad a nivel local.

Un área en la que la adversidad de las habilidades de seguridad definitivamente ha generado oportunidades es en el desarrollo de habilidades de codificación segura dentro de los equipos de desarrollo internos y subcontratados. Dado que la mayoría de las principales brechas de seguridad del mundo pueden atribuirse a errores de codificación y que, por término medio, las brechas cuestan 3,6 millones de dólares, la seguridad del software es sin duda una parte importante del desafío de seguridad. Uno de los gastos más importantes (y cada vez más) de los presupuestos de seguridad de las aplicaciones se destina a identificar y corregir la seguridad reactiva de las aplicaciones, ya que a menudo se producen los mismos errores de siempre año tras año.

Capacitar a los desarrolladores para que escriban código seguro desde el principio es una oportunidad para que los CISO tomen un control proactivo de la difícil situación de seguridad y, además, existe la posibilidad de lograr mejoras rápidas, fáciles y mensurables» tanto para los equipos de seguridad como para los de desarrollo.

No significa reemplazar a los expertos en seguridad por desarrolladores, pero sí implica involucrar a los desarrolladores en cuestiones de seguridad, hacer que la seguridad forme parte de su mentalidad diaria y enseñarles a programar de forma segura de una manera divertida, eficaz y eficiente. El resultado será que la escasa experiencia en seguridad se dedicará mejor a encontrar y corregir los errores más complejos y problemáticos que a tratar las vulnerabilidades de siempre.

Para algunos CISO, todo esto puede parecer demasiado bueno para ser verdad o demasiado difícil de implementar, pero la verdad es que no es ninguna de esas cosas. En Secure Code Warrior, hemos visto a más y más CISO aprovechar esta oportunidad y transformar la vida laboral de los equipos de seguridad y desarrollo en el proceso.

Un grupo de CISO que ha liderado la campaña mundial para desarrollar una mentalidad y habilidades sólidas en materia de seguridad entre sus desarrolladores de software son los bancos australianos. Los bancos australianos fueron los primeros en adoptar este enfoque en 2016 y 2017. Los seis principales bancos del país ahora alientan e involucran activamente a sus equipos de desarrollo para que desarrollen habilidades de codificación seguras a través de nuestro entorno de aprendizaje en línea, autodidacta y gamificado. Los bancos también revisan periódicamente las métricas y los informes en tiempo real para verificar los puntos fuertes y débiles de sus desarrolladores y equipos.

De este enfoque se desprenden resultados tangibles y positivos, incluida la reducción de la aparición de vulnerabilidades comunes, una mayor conciencia de los desarrolladores sobre la seguridad y una mejor relación entre los equipos de seguridad y desarrollo. Las empresas que invierten en enseñar a sus desarrolladores a programar de forma segura reducirán la presión sobre sus actuales talentos de seguridad y reducirán su exposición a las inseguridades del software.

Si es un CISO (o conoce a uno) que se siente deprimido por la situación de seguridad en su organización, le animo a que piense en una forma sencilla de obtener algunos puntos positivos y tangibles de mejora de la seguridad. Capacite a sus desarrolladores para que aprendan a programar de forma segura de una manera relevante, positiva y divertida. Sus equipos de seguridad y desarrollo se lo agradecerán y, además, reducirá los costes y las demoras con la innovación y el desarrollo de productos. Apuesto a que allanará el camino para muchas conversaciones positivas sobre seguridad _...

Capacitar a los desarrolladores para que escriban código seguro desde el principio es una oportunidad para que los CISO tomen un control proactivo de la difícil situación de seguridad y, además, existe la posibilidad de lograr mejoras rápidas, fáciles y mensurables» tanto para los equipos de seguridad como para los de desarrollo.