5 formas de mejorar la seguridad durante la transformación digital

Las iniciativas de transformación digital han llevado el desarrollo de software a otro nivel. Los consumidores de hoy exigen una experiencia óptima y esperan que las aplicaciones modernas cumplan con sus altas expectativas. Por eso, en 2023, los desarrolladores deben adaptarse a entregas más rápidas, funciones más llamativas y mejor funcionalidad. 

Este crecimiento sin precedentes de la industria del desarrollo de software ha generado una enorme brecha entre los equipos de desarrollo y seguridad. Aunque la introducción de DevSecOps ayudó a que estos dos equipos empezaran a colaborar, el problema persiste.

¿Por qué? Porque DevSecOps se centró principalmente en integrar la seguridad en DevOps. Todo giraba en torno a cómo los equipos de desarrollo debían implementar la seguridad. Pero no capacitó ni preparó a los equipos de seguridad para trabajar con la complejidad de los entornos de desarrollo actuales.

Los equipos de seguridad y desarrollo siguen enfrentados

En resumen, los equipos de seguridad y desarrollo aún tienen prioridades, culturas y prácticas distintas. La transformación digital no hace más que aumentar la distancia entre ellos. Muchos profesionales de seguridad carecen de los recursos necesarios para aprender cómo funciona un proceso de desarrollo moderno, lo que dificulta la colaboración con los desarrolladores. Así es como esta brecha sigue manifestándose mientras la transformación digital y la seguridad continúan chocando: 

• Los desarrolladores reciben presión para trabajar más rápido, mientras que los equipos de seguridad les piden que reduzcan el ritmo para poder integrar soluciones de seguridad tradicionales en el SDLC.

• Los equipos de seguridad suelen necesitar más personal y recursos, mientras que los equipos de desarrollo siguen creciendo a medida que aumenta la demanda de transformación digital. 

• Los flujos de trabajo de desarrollo actuales requieren herramientas de seguridad ágiles que puedan gestionar proyectos grandes y funcionar en entornos complejos. Sin embargo, muchos equipos de seguridad aún usan soluciones tradicionales diseñadas para aplicaciones monolíticas grandes y en cascada, con evaluaciones de seguridad en las últimas etapas.

• Gracias a DevSecOps, muchos desarrolladores llevan tiempo teniendo acceso a capacitación y concientización sobre seguridad. Pero los equipos de seguridad todavía necesitan aprender sobre los procesos, sistemas, componentes, flujos de trabajo, objetivos y necesidades del desarrollo moderno.

Todos estos factores generan frustración en ambos equipos. Por un lado, los equipos de seguridad se preguntan por qué los desarrolladores no siguen las instrucciones. Por otro, a los desarrolladores les resulta difícil, si no imposible, cumplir con las exigencias del equipo de seguridad.

Janet Heins, experta en seguridad galardonada con la certificación CISSP, líder global de TI y asesora de iHeartMedia, resumió así la experiencia de los desarrolladores con la seguridad: "Le entrego mi código a alguien para que me diga qué fallas de seguridad tengo. Luego paso a otra cosa y, dos días después, vuelven con una lista de fallas que debo buscar, corregir y volver a enviar, cuando ya ni siquiera estoy trabajando en ese código. Es muy disruptivo."  

Richard Bird, director de seguridad de Traceable, ha observado esta tensión constante entre los equipos de seguridad y desarrollo: "No conozco ninguna empresa que tenga un desempeño de primer nivel en este ámbito. Creo que muchas empresas hacen un trabajo aceptable al equilibrar los desafíos y las tensiones entre los equipos de seguridad y desarrollo. Aun así, incluso las organizaciones DevSecOps de mejor desempeño tienen grandes dificultades con la fricción que provoca el tiempo que tardan los equipos de seguridad en resolver los problemas. Y, sobre todo, un desempeño apenas aceptable no basta ni de cerca para defenderse de los atacantes, y mucho menos para vencerlos."

En esta publicación, veremos 5 cosas que puedes hacer para reducir esa brecha. Para profundizar en el tema, consulta nuestra guía completa: Por qué los equipos de seguridad modernos necesitan transformarse (y cómo pueden hacerlo).

Cómo cerrar la brecha de seguridad durante la transformación digital

Debemos ir más allá de implementar DevSecOps en los equipos de desarrollo. También es hora de que los equipos de seguridad cierren la brecha desde su lado. Estos son algunos pasos prácticos para fomentar una mejor colaboración con los equipos de desarrollo: 

1. Aumenta la concientización

La capacitación debe darse en ambos lados. DevSecOps suele centrarse en capacitar a los desarrolladores en las mejores prácticas de seguridad. Los equipos de seguridad deben esforzarse en la misma medida. Los profesionales de seguridad deberían tomarse el tiempo para comprender las prioridades, los procesos, los sistemas, los flujos de trabajo y los objetivos del desarrollo, con la meta de convertirse en socios de confianza.

2. Elige las herramientas adecuadas

Las soluciones de seguridad deben ser fáciles de usar para los desarrolladores: sencillas de aprender, intuitivas y fáciles de integrar en los flujos de trabajo habituales. Los desarrolladores deben equilibrar varias prioridades a la vez; a menudo, la seguridad es una de sus últimas preocupaciones. Por eso, los equipos de seguridad deben buscar herramientas que los desarrolladores puedan usar con el mínimo esfuerzo, sin alterar sus procesos diarios. 

3. Haz las preguntas adecuadas

Elegir las herramientas de seguridad adecuadas es una cosa; incorporarlas a los SDLC de tu organización con la estrategia de seguridad apropiada es otra. Es esencial que los equipos de seguridad hagan las preguntas adecuadas al elegir las herramientas e integrarlas en los flujos de trabajo de desarrollo. Estos son algunos ejemplos de buenas preguntas para empezar:

• ¿Cuáles son las mejores formas de integrar nuestras soluciones sin problemas en los flujos de trabajo del equipo de desarrollo, sin afectar su ritmo?

• ¿Cómo pueden nuestras soluciones ofrecer a los desarrolladores resultados útiles, pertinentes y prácticos para resolver problemas?

4. Establece prácticas internas eficaces

Los equipos de seguridad también deberían establecer y definir las funciones de seguridad y desarrollo, y luego hacer seguimiento con métricas específicas. Define quién se encarga de cada tarea, quién es responsable de cada elemento del proceso de seguridad y, en general, cómo se ve el éxito de la colaboración entre seguridad y desarrollo. A muchos equipos les resulta útil usar cuadros de mando para hacer seguimiento de estas métricas. 

5. Celebra los logros

Cuando alguien del equipo de desarrollo haga algo significativo para mejorar la seguridad de sus procesos, ¡celébralo! Es una excelente manera de aumentar la concientización y animar a otros miembros del equipo a contribuir a las iniciativas de seguridad. 

Un cambio de mentalidad para los equipos de seguridad

Ante el panorama actual de amenazas, ya no es opcional que las organizaciones derriben las barreras entre los equipos de desarrollo y seguridad. Y seamos honestos: ninguno de los dos equipos quiere seguir lidiando con esta tensión. Por suerte, hay una manera de avanzar. Se trata de generar un verdadero cambio cultural en las funciones, las responsabilidades y la colaboración entre los equipos de desarrollo, DevOps/plataforma y seguridad. Este cambio de mentalidad ayuda a que todos estén en sintonía y permite que los equipos de seguridad trabajen junto con el desarrollo de software moderno, ahora y durante muchos años.

Descubre cómo transformar los equipos de seguridad descargando nuestra guía: Por qué los equipos de seguridad modernos necesitan transformarse (y cómo pueden hacerlo).