Cómo Dun & Bradstreet y Shutterstock crearon programas exitosos de promotores de seguridad

El mes pasado, organizamos una mesa redonda sobre cómo crear y ampliar un programa exitoso de promotores de seguridad. Los promotores de seguridad son desarrolladores que tienen un interés en la seguridad y un lugar en el equipo de desarrollo. Sirven de enlace entre los equipos de desarrollo y seguridad para colaborar e intercambiar conocimientos. Estos programas pueden ser fundamentales para entregar aplicaciones seguras de forma constante al ritmo que exige el negocio.

En esta sesión, Nitin Bhargava (vicepresidente y director global de Seguridad de Productos y Arquitectura en Dun & Bradstreet) y Christian Bobadilla (director de Seguridad de Productos y Aplicaciones en Shutterstock) nos acompañaron para compartir las lecciones aprendidas de sus respectivos programas. Estos son algunos de los momentos destacados y las principales conclusiones.

Cómo lograr que la seguridad con el enfoque «shift left» funcione

Shutterstock y Dun & Bradstreet adoptaron un enfoque de «shift left»: una incorporó a los desarrolladores antes al proceso de seguridad y la otra adelantó la seguridad en el proceso de desarrollo. Sin importar el enfoque, su objetivo es abordar dos problemas: la enorme escasez de talento en seguridad y el fortalecimiento de la seguridad de la empresa mediante la identificación y colaboración con personas apasionadas por el tema.

Al iniciar un programa de promotores de seguridad, Bhargava destacó tres aspectos en los que se enfocó en Dun & Bradstreet:

• Establecer expectativas con los equipos de desarrollo: Debes aclarar qué se espera de los equipos de desarrollo, cuánta responsabilidad deben compartir y qué porcentaje de su tiempo deberá dedicar un promotor de seguridad. Luego, debes comunicar con claridad los roles y las responsabilidades.

• Recopilar métricas: Es probable que hayas empezado con un mandato informal para probar un programa de promotores, pero si quieres ampliarlo a una parte más grande de la organización, necesitas métricas. Debes poder responderle al equipo directivo: «¿Qué valor aporta este programa?».

• Crear una comunidad sólida: Contar con una comunidad pequeña y unida es clave para compartir aprendizajes y sentirse comprometidos y motivados para que el programa tenga éxito.

En Shutterstock, Bobadilla adoptó un enfoque distinto para crear el programa: mantenerlo divertido e informal y organizar eventos y actividades, como una aldea de hacking, una sala de escape y una búsqueda del tesoro. Este enfoque tiene varias ventajas:

• Conocerse: Los desarrolladores llegan a conocer de verdad al equipo de seguridad. Si necesitan hablar sobre problemas de seguridad o reportar vulnerabilidades, saben con quién comunicarse y se sienten cómodos al hacerlo porque ya interactuaron en un ambiente informal.

• Aprender mientras se divierten: Además de pasarla bien, las personas aprenden sobre seguridad de forma práctica. Los eventos buscan despertar su curiosidad y, muchas veces, después se acercan para hacer preguntas.

• Involucrar a todos: Estos eventos no son solo para desarrolladores. Se invita a participar y aprender a otros equipos, como el legal, y así se crea una cultura en la que todos valoran la importancia de los principios de seguridad.

Este enfoque informal busca que las personas sientan que formar parte del programa es un privilegio, no una responsabilidad adicional.

Marcar la diferencia

La conversación pasó a los beneficios de colaborar con promotores de seguridad de los equipos de desarrollo. Bhargava explicó que, sin una persona asignada, puedes sentir que interactúas con distintas personas en distintos momentos. Eso dificulta que la comunicación sea fluida y eficaz. En cambio, identificar a un promotor en cada equipo ayudó a Dun & Bradstreet con la incorporación, las estrategias de corrección y la participación continua.

El programa también les ayudó a ampliar las medidas de seguridad en toda la organización. Bhargava afirma que, cuando pasas de 10 o 20 aplicaciones a miles en poco tiempo, necesitas que tu red de promotores funcione como una «extensión del equipo de seguridad de aplicaciones».

Bobadilla observó algo inusual mientras intentaba impulsar un cambio cultural en Shutterstock. Las personas empezaron a reportar problemas y correos de phishing de manera voluntaria, y a incluir al equipo de seguridad cuando trabajaban en una idea o función nueva. Antes no ocurría, y este cambio indicaba que la cultura de concientización sobre seguridad había evolucionado.

Consejos para nuevos programas de promotores de seguridad

Dun & Bradstreet y Shutterstock compartieron consejos útiles para iniciar un programa de promotores de seguridad en tu organización.

«Empieza poco a poco e identifica al menos a algunos socios o personas de la comunidad de desarrollo que realmente tengan pasión e interés por la seguridad», afirma Bhargava.

Agrega: «Define exactamente qué quieres que logren esas personas y cuánto tiempo les tomará de su trabajo habitual de desarrollo. A partir de ahí, puedes formalizar más el programa».

«Intentamos que las personas conozcan al equipo de seguridad desde el primer día, con una orientación sobre seguridad», afirma Bobadilla.

«No limites los eventos de seguridad solo a los desarrolladores. Si los abres a cualquier persona de la empresa, creo que verás que a personas de distintos equipos les importa la seguridad y que su participación ayudará a mejorar la empresa», agrega.

Asumir la responsabilidad colectiva por la seguridad

Para cerrar, otros participantes de la mesa redonda compartieron sus experiencias con los programas de promotores de seguridad. La opinión general fue que estos programas permiten cambiar la percepción para que la seguridad se adopte en lugar de evitarse. También ayudan a que los desarrolladores asuman la responsabilidad de su parte del desarrollo seguro, lo que a largo plazo permite que los equipos de desarrollo sean autosuficientes. En definitiva, se trata de hacer de la seguridad una habilidad clave para los desarrolladores, al igual que la calidad y el rendimiento.

Para obtener más información sobre los programas de promotores de seguridad, consulta nuestro nuevo informe técnico: Cómo crear un programa de promotores de seguridad.