Cómo ha evolucionado AppSec en 2021: la perspectiva de Reddit

A medida que las organizaciones siguen dependiendo del software para sus procesos empresariales esenciales, la seguridad de las aplicaciones es una prioridad cada vez más importante. Snyk organizó recientemente una mesa redonda con Reddit para hablar sobre la seguridad de las aplicaciones en 2021.

En esta publicación, resumiremos la conversación entre Guy Podjarny, presidente y cofundador de Snyk, y Spencer Koch, Security Wizard en Reddit. Reddit cuenta con más de 600 ingenieros y su equipo de seguridad aprovecha la seguridad de Snyk Open Source, la gestión de vulnerabilidades de Snyk Container, la seguridad de Snyk Infrastructure as Code y la API de Snyk para ampliar AppSec a más de 1,000 repositorios.

Cómo influye el tamaño de una organización en AppSec

Los objetivos de la seguridad de las aplicaciones son los mismos, sin importar el tamaño de una organización:

• Definir requisitos de seguridad

• Encontrar vulnerabilidades antes de que se exploten y evitar que vuelvan a ocurrir en el futuro

• Mejorar la experiencia de los desarrolladores con datos y pruebas de seguridad

Dicho esto, Koch considera que la forma de implementar AppSec depende del tamaño de la organización y del equipo de seguridad.

“Creo que la diferencia entre una empresa grande y una pequeña está en dónde centras tu atención para hacer el trabajo”, dice Koch. “El trabajo es el mismo, tanto si estás en una gran empresa como en una startup pequeña. Tienes que cambiar tu enfoque sobre cómo implementar los recursos que tienes”.

Por ejemplo, los equipos pequeños no tienen el tiempo ni los recursos para implementar herramientas de seguridad que requieran un trabajo de ingeniería personalizado. Las organizaciones más pequeñas deben centrarse en elegir una herramienta, ya sea de código abierto o comercial, que se pueda implementar rápidamente y administrar de forma centralizada, y que cubra la mayoría de sus casos de uso, todo con recursos limitados.

Por otro lado, una organización más grande puede elegir herramientas de seguridad que se ajusten mejor a los requisitos empresariales y a una gran variedad de casos de uso, aunque requieran más trabajo inicial y continuo. Las organizaciones más grandes no solo tienen presupuestos mayores, sino que también suelen contar con varias capas de aprobaciones y administración, por lo que la implementación puede tardar meses (o más). A menudo, las organizaciones más grandes quieren asegurarse de hacerlo bien desde el principio, aunque eso tome más tiempo, ¡y tiene sentido! Sin embargo, nunca subestimes el valor de iterar rápidamente y probar algo nuevo para ver si funciona: todas las organizaciones son diferentes.

Cómo lidiar con stacks tecnológicos fragmentados

Una decisión clave que deben tomar la mayoría de las organizaciones es si darles a los desarrolladores libertad para adoptar las tecnologías que quieran o limitar los nuevos lenguajes, frameworks y demás mediante un modelo estricto de gobernanza. Aunque darles más libertad a los desarrolladores puede parecer una buena idea, cada vez que las organizaciones adoptan tecnologías adicionales, su stack tecnológico puede fragmentarse más y aumentar los componentes de infraestructura y el trabajo de ingeniería necesarios para mantenerlo.

“Ahora hay una tendencia a decir que AppSec ha muerto, pero no es así”, dice Koch. “La política interna de las empresas seguirá existiendo y habrá unidades de negocio que querrán hacer las cosas a su manera. Así que el problema de los stacks tecnológicos fragmentados y la proliferación de productos que compiten entre sí seguirá presente. Los ingenieros de AppSec se encargarán de garantizar que los controles implementados funcionen como deben y cumplan los objetivos generales de seguridad de la información”.

Con un stack tecnológico fragmentado, muchas grandes empresas no aprovechan las economías de escala porque siempre habrá trabajo adicional para los desarrolladores y los ingenieros de seguridad. Por ejemplo, aplicar controles de seguridad puede requerir numerosas herramientas y procesos de análisis estático o escaneo de código para lograr la compatibilidad con distintos conjuntos de tecnologías. Esto significa que las empresas deben decidir cuánto quieren invertir en mantener stacks tecnológicos no estándar, especialmente cuando funciones relacionadas con el desarrollo, como la seguridad, generan trabajo adicional.

Las empresas deben equilibrar la capacidad de los desarrolladores para elegir sus propias tecnologías con el posible aumento del trabajo relacionado con la seguridad de las aplicaciones, la deuda técnica y la infraestructura de soporte, estableciendo procesos uniformes y coherentes. Cada organización tiene prioridades distintas, por lo que se trata de sopesar las ventajas y desventajas teniendo en cuenta el largo plazo.

La importancia de las herramientas de seguridad de aplicaciones fáciles de usar para desarrolladores

Para impulsar la adopción, es fundamental que los desarrolladores —y otros equipos responsables del éxito de la empresa— sientan que usar herramientas de seguridad de terceros ayuda a que el proceso de desarrollo avance sin problemas y mejora la calidad del producto. Así, elegirán adoptar herramientas de seguridad no porque la organización se los exija, sino porque son fáciles de usar, sencillas y beneficiosas dentro de sus flujos de trabajo actuales.

“La filosofía de Snyk es ser una empresa de herramientas para desarrolladores que aborda la seguridad”, dice Podjarny. “La forma de lograr que los desarrolladores adopten la seguridad es ponerlos en el centro, pero también debe haber un equilibrio para satisfacer los requisitos de los equipos de seguridad de las aplicaciones”.

Para muchos equipos de seguridad, la clave para impulsar la adopción es que las herramientas se perciban como un apoyo para mejorar la calidad, no como un obstáculo. Si las organizaciones parten de prácticas recomendadas de seguridad bien definidas, pueden elegir herramientas fáciles de usar para desarrolladores e implementar automatización para que la adopción en toda la organización sea la opción más sencilla.

El alcance de AppSec en 2021

Los profesionales de seguridad que participaron en la mesa redonda coincidieron, en general, en que la seguridad de las aplicaciones debe abarcar todas las áreas de vulnerabilidad relacionadas con las aplicaciones, desde la infraestructura y la seguridad en la nube hasta las configuraciones de contenedores y redes. Esto significa que, a medida que más tecnología se convierte en software para facilitar y acelerar el desarrollo, el papel de los equipos de AppSec crece y evoluciona.

“La forma en que siempre he estructurado mis equipos es centrarme en la seguridad ofensiva como una capacidad”, explica Koch. “En lugar de enfocarse en habilidades separadas, como seguridad de aplicaciones, infraestructura o nube, desde la perspectiva ejecutiva tiene sentido agruparlas, ya que las tecnologías subyacentes y su uso en la organización siguen evolucionando”.

Sin embargo, las grandes empresas con una enorme cantidad de activos o tecnologías especializadas que proteger pueden obtener mejores resultados si separan estas funciones en equipos más pequeños para mejorar la profundidad de la cobertura. Dicho esto, los datos de cada una de estas áreas son valiosos e interdependientes, así que, incluso cuando hay equipos separados, las vulnerabilidades suelen compartir patrones similares. Además, el objetivo sigue siendo el mismo para cada una de estas funciones, por lo que generalmente se trata de una cuestión de estructura organizativa y política interna.

Como AppSec sigue evolucionando cada año, Snyk organiza webinars con regularidad para conocer distintas perspectivas de profesionales de seguridad del sector. Estas mesas redondas son una oportunidad para que Snyk comprenda las necesidades de los equipos de seguridad de las aplicaciones y de los desarrolladores, de modo que la empresa pueda seguir adaptando sus productos a las necesidades de seguridad de organizaciones como Reddit y muchas más.