«Seguridad» no es una mala palabra: cómo un enfoque positivo transformará su programa de seguridad

Publicado originalmente en Blog de DevSecCon.

Al haber estado en ambos lados de la valla, sé muy bien la tensión que puede surgir entre el equipo de desarrollo y los especialistas de AppSec cuando se trata de mantener las mejores prácticas de seguridad.

Es difícil; al final del día, la principal prioridad de un desarrollador es ofrecer funciones de software. Deben ser atractivas, funcionales y ayudar a mostrar el poder de la aplicación. Hoy en día, las prácticas de desarrollo ágiles son habituales, por lo que estas funciones deben completarse dentro de plazos estrictos... y la seguridad rara vez ocupa un lugar destacado en la lista de preocupaciones cuando hay mucho más en juego.

La seguridad es vista como el dominio del equipo de AppSec, que tiene la poco envidiable tarea de escanear el código (o, lo que es peor, revisarlo manualmente, línea por línea) e informar al equipo de desarrollo de que su código es inseguro o, de hecho, totalmente inutilizable. Son los palos a la antigua que destrozan su buen trabajo, frenan la innovación y, por lo general, suponen un quebradero de cabeza para los desarrolladores. Al fin y al cabo, muchos problemas de seguridad son soluciones bastante sencillas: quizás una sola línea de código podría reforzar una puerta trasera vulnerable en cuestión de minutos.

Pero este es el problema. Dado que la «seguridad» es sinónimo de experiencia negativa, los desarrolladores simplemente no están tan comprometidos con ella como deberían. Esas soluciones de una sola línea no están ocurriendo: al fin y al cabo, los chicos de AppSec se encuentran continuamente con los mismos problemas. Debe resultar bastante desalentador para ellos seguir señalando fallos en las inyecciones de SQL, más de veinte años después de que los descubriéramos por primera vez (y su subsiguiente solución).

Lo que hemos hecho hasta la fecha no funciona ni de lejos con la eficacia que esperábamos. Tenemos que centrarnos en reparar el puente entre los desarrolladores y los especialistas en AppSec, esforzándonos por lograr una cultura de seguridad positiva en la que los desarrolladores reciban las herramientas y la formación necesarias para tener un impacto real en el sector.

¿Quién sabe? ¡Puede que incluso se enamoren de él como yo!

La seguridad positiva es la forma más rápida y sencilla de mejorar la seguridad de las aplicaciones

City «y no, no se trata de un guau sobre los resultados intangibles. Es un ingrediente absolutamente vital en la receta del éxito de la codificación segura.

Los desarrolladores tienen la clave para mejorar la seguridad desde el principio de la producción, escribiendo código seguro en primer lugar. Si se crea una cultura de seguridad positiva y se consigue que los desarrolladores se entusiasmen con la seguridad de las aplicaciones, es posible eliminar las vulnerabilidades más comunes antes de que puedan escanearlas o revisarlas manualmente en el mundo de AppSec.

Es es treinta veces más caro corregir vulnerabilidades en un código que ya está comprometido, por lo que encontrar una formación que aproveche las fortalezas de los desarrolladores, despierte el interés y realmente funcione es un gran paso en la futura reducción de costos para identificar y corregir esas vulnerabilidades recurrentes.

Las iniciativas positivas centradas en los desarrolladores fomentan la cultura de seguridad adecuada.

Cuando todos están de acuerdo con las mejores prácticas de seguridad, una cultura de seguridad positiva es un subproducto positivo y vital.

Las iniciativas positivas y escalables centradas en los desarrolladores fomentan la cultura de seguridad adecuada. Involucrar a los desarrolladores con mentes creativas y que resuelven problemas es esencial para ganárselos, así como para garantizar que los nuevos empleados puedan cumplir rápidamente con las expectativas de seguridad del equipo. Ponte en contacto para obtener información general sobre cómo ha evolucionado la relación de seguridad entre los desarrolladores e ideas sobre cómo implementar un programa de concienciación sobre seguridad exitoso en sus propias organizaciones.