Gobernanza en DevSecOps: cómo medir y mejorar los resultados de seguridad

Después de implementar una estrategia de DevSecOps desde cero —incluidos el diseño seguro, las pruebas y el monitoreo, y la remediación basada en riesgos—, tendrás que enfocarte en el análisis y la gobernanza. Al fin y al cabo, las organizaciones necesitan medir y perfeccionar periódicamente sus procesos de seguridad para hacer madurar sus programas de DevSecOps. 

La gobernanza de los programas de DevSecOps y seguridad de aplicaciones respalda la creación y gestión de políticas y, mediante mediciones eficaces, permite a los líderes de seguridad evaluar su estado actual, definir una estrategia futura y medir las mejoras continuas a lo largo del tiempo. Al combinar la gobernanza con la gestión de riesgos, los equipos de seguridad de aplicaciones pueden priorizar tanto las aplicaciones como los problemas y, en última instancia, ayudar a sus organizaciones a alcanzar el nivel deseado de seguridad y riesgo.

Hablaremos sobre la importancia de la medición como parte de la gobernanza en DevSecOps y explicaremos por qué es crucial medir y mejorar continuamente los procesos de seguridad para reducir el riesgo y acelerar el desarrollo.

Cómo medir los resultados clave de seguridad 

El seguimiento de las métricas y los resultados de los procesos de DevSecOps permite a los líderes de seguridad cuantificar el riesgo y comprender mejor el impacto que ha tenido el enfoque DevSecOps en su reducción a lo largo del tiempo. Además, contar con objetivos claros e indicadores de progreso medibles es fundamental para fomentar un entorno en el que los equipos de desarrollo, seguridad y operaciones compartan la responsabilidad de la seguridad.

En última instancia, los KPI ideales para un programa de DevSecOps dependen de cada organización, pero algunos de los KPI de seguridad más comunes incluyen:

• Acumulación de problemas abiertos: La cantidad total de problemas abiertos permite conocer el riesgo actual de AppSec que requiere atención.  

• Antigüedad de los problemas: Hacer seguimiento del tiempo de exposición de los problemas abiertos es clave para identificar aquellos con mayor probabilidad de explotación.

• Tiempo medio de resolución (MTTR):  permite comprender la eficiencia de los procesos de remediación.

• Acuerdo de nivel de servicio (SLA): La colaboración entre equipos para establecer objetivos de nivel de servicio y luego traducirlos en SLA ayuda a verificar que la remediación de problemas cumpla con tus requisitos de cumplimiento.

• Tasas de pruebas en IDE y CLI: La frecuencia con que se realizan estas pruebas ayuda a medir la adopción de las pruebas de AppSec por parte de los desarrolladores durante la etapa de desarrollo.

• Tasas de pruebas en pipelines de CI/CD: Mide la adopción de las pruebas de AppSec en los pipelines de CI/CD.

Sin embargo, medir tanto el riesgo como su reducción es difícil, porque requiere correlacionar datos de múltiples fuentes para cada activo. Un marco unificado de gobernanza de seguridad, junto con una plataforma de gestión de la postura de seguridad de las aplicaciones (ASPM) que consolide los datos de seguridad de distintas herramientas, puede ayudar a las organizaciones a gestionar proactivamente el riesgo general. 

Un marco de gobernanza eficaz debe incluir registros de auditoría completos e informes optimizados para ofrecer precisión, información práctica y urgencia. Los datos recopilados de los procesos de seguridad también deben basarse en métricas útiles y pertinentes. Por ejemplo, las métricas de seguridad, como la gravedad del sistema común de puntuación de vulnerabilidades (CVSS) y las categorías de enumeración de debilidades comunes (CWE), no ofrecen el contexto necesario para tomar decisiones basadas en riesgos. Esto genera una falta de alineación con los desarrolladores y estimaciones poco claras del impacto para los líderes del negocio. 

Crear un modelo de riesgo y un marco de gobernanza claros y completos para todos los activos de software es fundamental para mantener la seguridad. Estos marcos deben definir objetivos de remediación específicos según la gravedad de los incidentes y ofrecer un enfoque estructurado para la gestión de riesgos. Al hacer seguimiento del progreso respecto de estos objetivos, los líderes de seguridad pueden asegurarse de que sus equipos aborden las vulnerabilidades de forma eficaz y mejoren continuamente.

Alinear los procesos de seguridad con los objetivos de la organización

Después de recopilar datos de los procesos de DevSecOps, las organizaciones deben analizarlos para identificar posibles debilidades o cuellos de botella y definir una estrategia futura. Esto puede reducir el riesgo, mejorar las operaciones y habilitar nuevas capacidades de seguridad. Por ejemplo, integrar datos de herramientas de inteligencia de amenazas en los pipelines de DevSecOps permite a las organizaciones comprender mejor el panorama actual de amenazas y determinar indicadores de compromiso. Estos hallazgos pueden servir para crear una estrategia de defensa práctica a futuro.

Un marco de gobernanza eficaz también debe incluir políticas de seguridad de aplicaciones que cumplan con los estándares de seguridad y cumplimiento aceptados internamente. Los datos de los procesos de seguridad relacionados con el historial de amenazas, las vulnerabilidades, las iniciativas de remediación y otros aspectos pueden utilizarse para establecer políticas pertinentes. Luego, estas políticas pueden aplicarse de forma automática y consistente para mejorar la postura de seguridad general de la organización.

También es fundamental medir y revisar la cantidad y la frecuencia de las versiones bloqueadas por problemas de seguridad. Cuando estas métricas son elevadas, pueden indicar problemas relacionados con la cultura de seguridad, las políticas o las responsabilidades de los desarrolladores. Las organizaciones pueden reducir las fricciones en la adopción de DevSecOps al identificar estos puntos débiles.

Usar datos para mejorar continuamente los procesos de seguridad

Las ciberamenazas evolucionan constantemente, por lo que es importante que las organizaciones mejoren continuamente sus procesos de seguridad para anticiparse a los actores maliciosos. Al implementar pruebas de seguridad continuas, mejorar los procesos existentes y eliminar el tiempo que los desarrolladores pierden, las organizaciones pueden fortalecer sus estrategias de DevSecOps frente a nuevas amenazas y prioridades cambiantes del negocio.

Medir las mejoras a lo largo del tiempo puede motivar a los equipos de desarrollo y seguridad, además de impulsar nuevas inversiones en seguridad de aplicaciones por parte de los líderes del negocio. Al medir el impacto de las iniciativas de seguridad en el negocio, la seguridad se percibirá como un facilitador del negocio y no como un obstáculo para la innovación. Esto puede reforzar el valor de adoptar DevSecOps y aumentar el apoyo a futuras iniciativas de ciberseguridad.

Gobernanza de DevSecOps con Snyk

Snyk es una plataforma de seguridad enfocada en los desarrolladores que permite adoptar un enfoque de DevSecOps basado en riesgos. Nuestra plataforma integral protege todos los componentes de las aplicaciones modernas, incluidos el código, las dependencias de código abierto, los contenedores y la infraestructura en la nube. Snyk también se integra en todo el ciclo de vida del desarrollo de software (SDLC) y recopila datos de seguridad detallados para ofrecer una visibilidad profunda del riesgo. 

Snyk Analytics ofrece información clara y práctica sobre el rendimiento de tu programa de AppSec mediante paneles diseñados específicamente para destacar las métricas más importantes para ti. Así puedes consultar fácilmente tu postura de seguridad actual y tomar las medidas correspondientes.

• Issue Analytics te ayuda a enfocarte en las vulnerabilidades críticas y ofrece a tus equipos información para garantizar que se atiendan los problemas más urgentes.

• Application Analytics hace seguimiento del riesgo y la cobertura, lo que te permite detectar tendencias de riesgo.

• Developer Analytics monitorea la adopción de herramientas en tus equipos, así como la adopción de complementos para IDE y de CLI.

Personaliza e integra tus datos fácilmente mediante exportaciones CSV, las API de la plataforma Snyk y el uso compartido de datos de Snowflake. Esta flexibilidad te ayuda a mejorar tu estrategia de seguridad y demostrar el progreso, lo que genera confianza en tu equipo y entre las partes interesadas.

¿Buscas más consejos prácticos para medir y mejorar los resultados de seguridad de tu organización? Descarga 5 capacidades fundamentales para impulsar tu programa de DevSecOps. 

Agenda una demostración para conocer más sobre las herramientas de DevSecOps de Snyk, enfocadas en los desarrolladores.