Presentamos el informe 2022 sobre el estado de la seguridad del código abierto de Snyk y The Linux Foundation

El software de código abierto es un componente clave de las aplicaciones modernas. Ha marcado una nueva era en el desarrollo de software: promueve el intercambio libre de ideas en la comunidad de desarrolladores y permite crear software más funcional y rápido que nunca. Según la mayoría de las estimaciones, entre el 70 % y el 90 % de cualquier pieza de software moderno incluye código abierto.

Al igual que los desarrolladores de código propietario usan paquetes de código abierto para agilizar el desarrollo, quienes crean código abierto también lo hacen. Esto significa que las bibliotecas de código abierto suelen basarse en otras bibliotecas de código abierto —conocidas como dependencias indirectas o transitivas—, lo que crea un complejo árbol de dependencias. Desde el punto de vista de la seguridad, el software de código abierto incorpora muchas capas de código en tus aplicaciones —y puede haber vulnerabilidades en todas ellas (como vimos hace poco con Log4Shell). Gestionar este riesgo requiere una planificación cuidadosa y la implementación de políticas de seguridad que contemplen la posible superficie de ataque de las bibliotecas de código abierto. También es necesario que tu equipo cuente con herramientas confiables y eficaces para corregir las vulnerabilidades detectadas y mantenerse al día a medida que surjan otras nuevas.

Ante la proliferación del código abierto y la creciente complejidad de los árboles de dependencias, Snyk se asoció recientemente con The Linux Foundation para investigar cómo las organizaciones detectan, mitigan y reducen los riesgos de seguridad que plantea el software de código abierto. Hoy nos enorgullece presentar los resultados de esta investigación: el informe 2022 sobre el estado de la seguridad del código abierto.

Cifras clave de nuestra investigación

Este informe anual detalla los importantes riesgos de seguridad que surgen del uso generalizado del software de código abierto. Nuestra investigación reveló que muchas organizaciones no están preparadas para hacer frente a estos riesgos. En concreto, descubrimos que:

• El 41 % de las organizaciones no confía plenamente en la seguridad de su software de código abierto.

• La aplicación promedio en desarrollo tiene 49 vulnerabilidades y 69 dependencias.

• El tiempo necesario para corregir vulnerabilidades en proyectos de código abierto ha aumentado de forma constante: pasó de 49 días en 2018 a 110 días en 2021, más del doble.

• El 51 % de las organizaciones no tiene una política de seguridad para el desarrollo o el uso de software de código abierto.

• El 30 % de las organizaciones que no tienen una política de seguridad para el código abierto reconoce que nadie en su equipo es responsable de abordar su seguridad.

Quizás el hallazgo más importante sea que muchas organizaciones todavía no comprenden plenamente el alcance de las posibles vulnerabilidades en los paquetes de código abierto y no cuentan con las políticas necesarias para proteger sus aplicaciones de manera eficaz. El uso de paquetes de código abierto exige una nueva forma de abordar la seguridad de los desarrolladores que muchas organizaciones aún no han adoptado.

Este informe conjunto, el primero de su tipo, encontró evidencia generalizada de que la industria aún no comprende bien el estado actual de la seguridad del código abierto. Junto con The Linux Foundation, planeamos aprovechar estos hallazgos para seguir educando y brindando herramientas a los desarrolladores de todo el mundo, para que puedan seguir creando con rapidez y mantenerse seguros.

Sin duda, el uso del software de código abierto seguirá aumentando. Conocer los riesgos de los paquetes de código abierto y entender cómo protegerse frente a ellos puede ayudar a tu organización a usar la tecnología de código abierto de manera eficiente y segura. Encontrar las herramientas y políticas más eficaces para proteger el código abierto es un excelente punto de partida.

Acerca de este proyecto

El informe 2022 sobre el estado de la seguridad del código abierto es una iniciativa conjunta de Snyk y The Linux Foundation, con el apoyo de OpenSSF, Cloud Native Security Foundation, Continuous Delivery Foundation y Eclipse Foundation. El informe se basa en una encuesta realizada a más de 550 personas durante el primer trimestre de 2022 y en datos de Snyk Open Source, que ha analizado más de 1,300 millones de proyectos de código abierto.