Respuesta a la guía del Enduring Security Framework (ESF) para desarrolladores

En Snyk creamos la seguridad centrada en los desarrolladores. Creemos que involucrar a los desarrolladores en las prácticas de seguridad es clave para crear y ejecutar aplicaciones modernas. Por eso nos llamó tanto la atención la reciente publicación Recommended Practices Guide for Developers de la National Security Agency (NSA), la Cybersecurity and Infrastructure Security Agency (CISA) y la Office of the Director of National Intelligence (ODNI). Nos alegró que el gobierno publicara un documento de este tipo y pensamos que la información era buena, pero que no llegaba a ser una guía práctica para desarrolladores, sobre todo considerando esta cita del comunicado de prensa: «El desarrollador tiene una responsabilidad fundamental en la seguridad de nuestro software».

La Practice Guide aborda los temas adecuados sobre la seguridad de la cadena de suministro de software. Es amplia: trata la necesidad de un diseño seguro, pruebas de seguridad exhaustivas durante todo el ciclo de vida del desarrollo de software, nuevas herramientas para extraer la lista de materiales de software (SBOM), amenazas emergentes relacionadas con los entornos de compilación y desarrollo, y más. El documento contiene buenos consejos.

Sin embargo, la guía tiene algunos aspectos que es importante señalar, en particular, su presentación. Hoy en día hay alrededor de 27 millones de desarrolladores en el mundo, y es importante reconocer que usan distintos lenguajes de programación, prefieren diferentes herramientas y escriben código en entornos diversos. No existe un único perfil de desarrollador, sino muchos. Por mi experiencia, es poco probable que la mayoría de los desarrolladores lean una guía en PDF de 64 páginas, con dos páginas completas de siglas en el apéndice de 24 páginas. Además, para muchos desarrolladores fuera del gobierno (y para algunos dentro), el uso excesivo de la palabra «ciber» suele dar la impresión de que el contenido no es para ellos.

Compárenla con documentos que han influido en gran parte de la comunidad de desarrolladores: Twelve-Factor App (que codificó e influyó en las arquitecturas modernas), los 4 valores y los 12 principios del desarrollo ágil de software, y OWASP Top Ten. Quizás, más recientemente, los cuatro niveles del SLSA Supply chain Levels for Software Artifacts framework.

Estas son algunas sugerencias para mejorar futuras guías como esta, dirigidas a desarrolladores.

1. Acércate a los desarrolladores donde están. Los desarrolladores son curiosos, expertos y eficientes por naturaleza. La mayoría prefiere leer la documentación en formatos web, para poder consultar el contenido con sus herramientas de lectura favoritas. Los PDF son útiles, pero rígidos y más difíciles de usar.

2. Comunícate de forma que resulte natural para los desarrolladores. Con demasiada frecuencia, el reto de los expertos en seguridad que trabajan con desarrolladores no es el conocimiento, sino la comunicación. Las dificultades de comunicación (y, a menudo, los incentivos desalineados) dan lugar a la mentalidad de «nosotros contra ellos» que DevSecOps busca evitar. Como mencionamos, creemos que la Practice Guide cubre los temas adecuados. Pero presentar esa información de una manera que los desarrolladores puedan seguir, como en estas hojas de referencia, ayudaría a que tuviera un mayor impacto en el público al que se dirige.

3. Incluye ejemplos de la vida real. A los desarrolladores les encanta experimentar y probar ideas nuevas. Quieren ejemplos de código y herramientas nuevas que puedan probar por su cuenta, como los que compartimos en la reciente publicación del blog sobre paquetes maliciosos de PyPI. Darles ejemplos del mundo real con los que puedan experimentar es probablemente la mejor manera de motivarlos a ir más allá de leer información nueva y empezar a ponerla en práctica.

En Snyk, nos comprometemos a comunicar temas de seguridad como estos de una manera que, creemos, resulte accesible para los desarrolladores. Aquí tienes algunos ejemplos: una lección de Snyk Learn sobre modelado de amenazas y una hoja de referencia sobre revisión de código seguro, ambos temas mencionados en la Practice Guide. Sigue este blog y Snyk Learn: pronto compartiremos más contenido para desarrolladores sobre temas de seguridad de la cadena de suministro de software.