Cumplimiento del RGPD y código abierto

La privacidad de los datos y los controles siguen siendo una tendencia que preocupa tanto a los consumidores como a las organizaciones. Tras años de preparación y debate, la Reglamento General de Protección de Datos (RGPD) finalmente fue aprobado por la Unión Europea y su aplicación comenzaría en mayo de 2018. A partir de entonces, las organizaciones que no lo cumplieran enfrentarían multas cuantiosas. El RGPD no solo afecta a las empresas que operan dentro de la Unión Europea: si recopilas datos de ciudadanos europeos, las nuevas reglas también se aplican a ti. Como se había previsto, la Unión Europea confirmó su decisión de imponer multas cuantiosas por incumplimiento: las empresas deberán pagar hasta el 4 % de sus ingresos globales o 20 millones de euros, lo que sea mayor. Una multa de esta magnitud podría hacer que muchas empresas quiebren.

Con las nuevas reglas del RGPD, la reciente filtración de datos de Equifax tendría que haberse gestionado de una manera muy distinta. Quizás Richard Smith, director ejecutivo de Equifax, no habría tenido que adelantar su jubilación si se hubiera notificado al público durante las primeras 72 horas de la filtración, en lugar de los 40 días que realmente tomó. En virtud del RGPD, Equifax ahora tendría que demostrar que “implementa medidas técnicas y organizativas para garantizar un nivel de seguridad adecuado al riesgo”, según el artículo 32. Además, la legislación del RGPD obliga a las organizaciones a adaptar continuamente su seguridad al estado de la técnica en su sector.

Como descubrió Equifax en carne propia, uno de los ámbitos que evoluciona más rápidamente dentro de las organizaciones es el uso de código abierto, del que se incorpora una gran cantidad para ganar agilidad. Sin embargo, por lo general, los desarrolladores no cuentan con la orientación ni la supervisión necesarias para saber si el código abierto representa riesgos de cumplimiento y seguridad para sus organizaciones, y mucho menos tienen tiempo para mantenerse al día con las últimas versiones y evitar vulnerabilidades.

La investigación de Verizon muestra que “la mayoría de los ataques aprovechan vulnerabilidades conocidas [en componentes de código abierto] que nunca se han corregido, a pesar de que había parches disponibles desde hacía meses o incluso años”. Heather Adkins, gerente de Seguridad de la Información de Google, también ha hablado específicamente sobre la importancia de mantener las dependencias actualizadas y con los parches aplicados: “Creo que es el costo de hacer negocios con software de código abierto. La realidad es que tenemos que estar al tanto. Aunque solo sean dos personas trabajando en un garaje, una de ellas debe encargarse de la seguridad, ya sea a tiempo parcial como responsable de TI o como desarrolladora principal de software”.

Por eso no sorprende que este problema se destaque en los 10 principales riesgos de seguridad de aplicaciones de OWASP para 2017: “A9: Uso de componentes con vulnerabilidades conocidas”. Las organizaciones ya no pueden darse el lujo de no convertirlo en una prioridad.

Algunas de las medidas técnicas que una organización puede implementar para garantizar un nivel de seguridad adecuado a sus riesgos consisten en usar herramientas de seguridad automatizadas y mejores procesos que permitan:

• Rastrear vulnerabilidades conocidas en las distintas pilas tecnológicas

• Ayudar a los desarrolladores a encontrar vulnerabilidades existentes, corregirlas fácilmente y evitar que aparezcan otras nuevas

• Integrarse en los flujos de trabajo y las herramientas de los desarrolladores

• Enfocarse en la experiencia de usuario de los desarrolladores para que adopten estas herramientas de forma masiva y permitir que la seguridad crezca al ritmo de los equipos de desarrollo, no de los equipos de seguridad

• Ser fáciles de usar, sin necesidad de conocimientos especializados en seguridad

Y precisamente ahí es donde entra Snyk, y por eso decidimos crear herramientas enfocadas en los desarrolladores. Snyk no se limita a informar sobre vulnerabilidades para que los desarrolladores las ignoren: las corrige automáticamente. Protege todo el ciclo de vida de las aplicaciones, desde la prevención temprana mediante hooks de commit, pasando por los controles de cumplimiento en CI/CD, hasta la supervisión de vulnerabilidades en aplicaciones PaaS y sin servidor implementadas.

Heather Adkins tiene razón: mantenerse al tanto de las dependencias para asegurarse de que estén actualizadas y sean seguras es parte del costo de hacer negocios. El costo de no hacerlo es mucho mayor.