Más allá de «shift left»: ampliar AppSec en todas las direcciones

Una semana antes de RSA 2024, Forrester predijo qué temas y tendencias ocuparían un lugar central en la conferencia. Destacó que veríamos un enfoque en la seguridad proactiva, definida como «un enfoque estratégico para controlar la postura de seguridad y reducir las brechas mediante una sólida visibilidad, priorización y remediación».

Asistí a la conferencia con esta predicción en mente. Sin embargo, me sorprendió lo que encontré. Lamentablemente, seguí viendo a muchos proveedores centrarse únicamente en la visibilidad de las vulnerabilidades, sin abordar los demás aspectos de la seguridad proactiva que Forrester menciona en la definición anterior.

Sin embargo, los equipos de seguridad y desarrollo de hoy necesitan adoptar un enfoque proactivo de seguridad. Muchos ya se sienten abrumados por la reactividad de los procesos existentes y deben lidiar con puntos ciegos en todo el SDLC. Los equipos de seguridad terminan enfocándose en los problemas equivocados y pasando por alto los más críticos. También pueden obstaculizar los procesos de desarrollo y dejar brechas abiertas a riesgos desconocidos. Un enfoque reactivo también obliga a los desarrolladores a lidiar con largas listas de alertas sin priorizar y medidas de seguridad demasiado rígidas. El creciente enfoque de la industria en las aplicaciones y el mayor uso de la IA solo agravarán todos estos problemas.

Los equipos de hoy necesitan una seguridad proactiva eficaz que incorpore una sólida priorización y remediación, en lugar de centrarse únicamente en la visibilidad. Además, la visibilidad debe enfocarse en el nivel adecuado: en los activos, como las aplicaciones, y no solo en una vista agregada de las vulnerabilidades.

Pero ¿cómo podemos, como industria, dejar atrás este enfoque que solo busca visibilidad? Quizás se trate de cambiar nuestra perspectiva sobre lo que significa shift left. No se trata simplemente de adelantar la seguridad en un continuo bidimensional del desarrollo de software, sino de adoptar un enfoque multidireccional. Durante RSA, empecé a pensar en este concepto como una brújula metafórica. ¿Y si, en vez de centrarnos en avanzar hacia la izquierda, ampliáramos la seguridad en todas las direcciones: norte, sur, este y oeste?

Seguridad de aplicaciones multidireccional

Si ampliamos la seguridad de las aplicaciones a todas estas áreas metafóricas, podemos obtener una mejor visibilidad y contexto de todo lo que sucede en el SDLC. Así podría funcionar este enfoque:

Norte

Los equipos de seguridad usan varias herramientas de pruebas de seguridad de aplicaciones (AST) en sus programas de AppSec, como las pruebas estáticas de seguridad de aplicaciones (SAST) y el análisis de composición de software (SCA). Por lo general, recurren a una solución de terceros para agregar y analizar todos los datos de vulnerabilidades que provienen de estas herramientas independientes y evaluar el éxito de su programa.

Sin embargo, muchas herramientas de agregación se centran únicamente en el número de vulnerabilidades, por lo que pasan por alto información contextual crucial, como el contexto integral de la aplicación y del negocio. Para comprender el desempeño de sus programas de seguridad de aplicaciones a lo largo del tiempo, los equipos deben ir más allá de las métricas habituales, como la cantidad de vulnerabilidades y el tiempo de resolución. En su lugar, deben analizar datos valiosos sobre los problemas, la cobertura y los activos específicos del negocio. Avanzar hacia el norte significa adoptar una «vista panorámica» de toda la aplicación y su contexto, en lugar de ver cada vulnerabilidad como un problema aislado.

Sur

Los equipos de desarrollo y seguridad también necesitan un mejor contexto sobre cada alerta de seguridad. Podemos pensar en esto como la dirección «sur» de nuestro enfoque multidireccional, pues implica profundizar en el contexto de seguridad en cada etapa del desarrollo. Las clasificaciones de riesgo tradicionales, como el Sistema de Puntuación de Vulnerabilidades Comunes (CVSS), no incluyen todos los datos necesarios para comprender realmente cuánto riesgo representa una vulnerabilidad para la organización y quién es responsable de remediar los problemas más urgentes.

En cambio, los equipos deben comprender los siguientes factores relacionados con cada alerta:

• ¿Qué nivel de criticidad para el negocio tiene la aplicación que contiene la vulnerabilidad?

• ¿Hay otros factores que influyan en la criticidad de las vulnerabilidades (por ejemplo, la seguridad de la infraestructura en la nube que brinda protección adicional al código en cuestión, etc.)?

• ¿Qué usuario generó el código en cuestión y está en la mejor posición para corregir los errores?

• ¿Qué tipo de activo contiene la vulnerabilidad? Esta información puede ayudar a los equipos de desarrollo a determinar la mejor manera de corregir el problema.

Este

Para obtener una mejor visión del riesgo, las organizaciones también deben enfocarse en la seguridad en tiempo de ejecución: la dirección «este» de nuestro enfoque. Este contexto ayuda a los equipos de seguridad a entender qué código usa la aplicación en tiempo de ejecución y qué activos representan poco o ningún riesgo porque no se utilizan cuando la aplicación está en funcionamiento. Este contexto de ejecución ayuda a los equipos a reducir aún más la lista de vulnerabilidades, ya que elimina los falsos positivos relacionados con vulnerabilidades que no representan una amenaza para la aplicación en funcionamiento.

Oeste (es decir, izquierda)

La industria lleva tiempo hablando del enfoque shift left para la seguridad. Sin embargo, este compromiso de corregir los problemas en las primeras etapas del ciclo de vida del desarrollo debe evolucionar junto con los procesos de desarrollo. La definición de «izquierda» seguirá evolucionando, y los equipos de seguridad deben adaptar sus herramientas y procesos para alinearlos con las herramientas y procesos que usan los equipos de desarrollo.

Por ejemplo, los equipos de seguridad de hoy descubren que deben avanzar más rápido porque los desarrolladores usan asistentes de código con IA para generar código a una velocidad sin precedentes. Para aplicar shift left de una manera compatible con estos cambios en el desarrollo, muchos equipos de seguridad usan herramientas de seguridad con IA para proteger esta rápida explosión de código nuevo sin frenar la innovación de los desarrolladores.

El enfoque de Snyk para la seguridad multidireccional

En Snyk, hemos creado un enfoque de seguridad de aplicaciones que abarca las cuatro direcciones. Esta estrategia multidireccional ha generado resultados positivos para nuestros clientes, como una mayor productividad de los desarrolladores y una reducción general del riesgo.

Nuestra oferta más reciente de gestión de la postura de seguridad de aplicaciones (ASPM), Snyk AppRisk Pro, incorpora mejores funciones de detección y priorización de riesgos, inteligencia mejorada en tiempo de ejecución, integraciones adicionales con plataformas de desarrollo, compatibilidad con herramientas de detección de secretos y completas capacidades de análisis de datos.

Obtén más información sobre Snyk AppRisk Pro hoy mismo.