Resumen de SnykCon: cómo crear un programa de seguridad de aplicaciones centrado en los desarrolladores

Crear un programa de seguridad de aplicaciones puede ser abrumador. El flujo constante de contenido que anima a los equipos a adoptar un enfoque de seguridad desde el inicio es inspirador, pero no te ayuda a dar los primeros pasos. Observar a organizaciones con iniciativas maduras de AppSec puede hacer que la brecha parezca insuperable, mientras sigue siendo difícil encontrar un plan práctico. Como todo en el desarrollo de software, la seguridad de las aplicaciones es un camino. Un camino mucho más agradable si cuentas con algunos principios que te orienten.

Aunque el SnykCon del año pasado ofreció una gran cantidad de consejos y prácticas recomendadas de AppSec, dos charlas con clientes de Snyk se centraron en el proceso de crear y mantener una cultura de desarrollo seguro en tu organización. En una de ellas, Per Olsson (asesor de AppSec en Visma) compartió las lecciones que aprendió como desarrollador que se convirtió en asesor de seguridad. En la otra, nos sumamos a un panel con tres expertos en seguridad de distintas industrias para conversar sobre cómo crearon programas de seguridad eficaces desde cero.

Estas charlas dan pie a conversaciones sobre cómo recorrer las etapas, alcanzar los hitos y superar los desafíos de un programa de AppSec en desarrollo, y nos ofrecen una guía para crear una cultura de seguridad exitosa.

Cómo empezar tu programa de AppSec desde cero

¿Qué es AppSec?

Al crear un programa desde cero, es importante entender qué es la seguridad de las aplicaciones y cuáles son tus necesidades específicas. Olsson lo resumió bien al decir: «AppSec no se trata en absoluto de la seguridad de las aplicaciones». La seguridad empieza por las personas. Todas las personas que forman parte de una organización —desarrolladores, gerentes, equipos de control de calidad, diseño y asuntos legales— sientan las bases de un programa de seguridad. La mayoría de los incidentes de seguridad son resultado de errores humanos y, cuando los plazos son ajustados, los equipos pueden dar menos prioridad a la seguridad que a las funciones u otras tareas con un retorno de la inversión claro. Por eso, el primer paso es dar prioridad a la seguridad.

Empieza poco a poco

Un tema común entre todos los expertos de SnykCon fue empezar poco a poco. Los programas de seguridad de gran alcance no se crean de la noche a la mañana, y durante las primeras etapas de desarrollo debemos evitar compararnos con otros. El equipo de seguridad de Visma comenzó como un grupo de interés especial integrado por un gerente y varios desarrolladores. Tanto Nicholas Vinson (director de DevSecOps en Pearson) como

Gagan Bhatia (director de entrega de ciberseguridad en 10x Banking) recomendaron que los gerentes de proyectos integren a un ingeniero de seguridad con experiencia en un equipo pequeño de desarrolladores interesados. Juntos, podrán identificar requisitos y posibles amenazas. Es importante compartir prácticas de programación segura con todos los desarrolladores y darles libertad para encontrar formas creativas de integrar AppSec en el SDLC existente. El objetivo final debe ser un cambio cultural hacia la programación segura, y eso empieza con cada persona.

Cede el control

Por último, el equipo de seguridad debe renunciar a (parte de) su control. Debe orientar y apoyar a los desarrolladores, no vigilarlos. La cultura aislada que rodea a los métodos de seguridad tradicionales debe dar paso a la transparencia y la colaboración entre equipos. Cada equipo de una organización tiene necesidades, objetivos y métodos de entrega distintos. Si les das a los equipos de desarrollo herramientas y orientación prácticas, podrán hacerse responsables de sus programas de AppSec y reforzarán su compromiso con las prácticas de programación segura.

Play Video: Lessons learned from building a developer-first AppSec program

Perfecciona un enfoque maduro de AppSec

Mejora continua

Una vez que tu programa esté en marcha, comienza el proceso de mejora. A medida que crece la confianza entre los equipos de seguridad, desarrollo y gerencia, se pueden evaluar las herramientas y los flujos de trabajo. Olsson lo hizo entrevistando a los equipos de desarrollo con los que trabajaba. Esto permitió que el equipo de seguridad en crecimiento aumentara su eficiencia, verificara que el plan de seguridad respondiera a las necesidades de los desarrolladores y detectara amenazas que habían pasado desapercibidas. A medida que las tareas de seguridad se desplazan hacia las primeras etapas, la automatización y las pruebas continuas respaldan nuestro programa de AppSec al proporcionar datos consistentes.

Define el éxito

A menudo, a los equipos de seguridad en crecimiento les cuesta cuantificar sus logros. A diferencia de la entrega de funciones, las iniciativas de seguridad no siempre ofrecen resultados visibles de inmediato (¿cómo mides todas las brechas que no has sufrido?). Y aunque las herramientas proporcionan muchos datos, puede ser difícil ponerlos en contexto. Al empezar a definir qué hace que un programa de seguridad sea exitoso, es importante «saber algo que ayer no sabíamos», dijo Stefan Steglich (gerente de producto de seguridad de aplicaciones en Skybetting & Gaming).

Las formas de medir el éxito deben respaldar el mensaje de tu programa, no al revés. Además, asegúrate de celebrar los primeros logros. Ya sea que recibas comentarios positivos sobre el programa en general o aumente la interacción con las herramientas de seguridad elegidas, es importante detenerse y reconocer todo lo que has avanzado.

Métricas prácticas

En cuanto a las métricas prácticas, Vinson recomienda dar seguimiento a tres tipos: requisitos de diseño, métricas operativas y evaluaciones de madurez de seguridad. Los requisitos de diseño son el resultado del modelado de amenazas. Estas métricas permiten determinar si tu programa de AppSec aborda todos los riesgos potenciales identificados y ayudan a descubrir nuevas amenazas a medida que surgen. Las métricas operativas son estadísticas de vulnerabilidades. Ya sean resultados de análisis SAST, la cantidad de correcciones u otros datos, estas métricas muestran tendencias de vulnerabilidades y ayudan a que nuestros requisitos de diseño sean más precisos. Por último, una evaluación de madurez de seguridad pone en contexto las métricas anteriores y el programa en su conjunto. Esta evaluación más amplia ayuda a determinar en qué punto del camino de AppSec nos encontramos y si estamos listos para avanzar. Los datos sobre necesidades pendientes, la capacidad del equipo para realizar tareas de seguridad y la adopción de principios de seguridad en todos los niveles son fundamentales para planificar los siguientes pasos.

Play Video: Building an AppSec Program from the Ground Up

AppSec debe apoyar a los desarrolladores

Ya sea que tu equipo de seguridad tenga una sola persona o cien, los desafíos son similares. Definir un plan de seguridad, desarrollar métricas adecuadas y explicar todo esto a los miembros del equipo es un proceso continuo que nunca termina del todo. Las herramientas que elegimos para respaldar nuestros programas de AppSec en desarrollo influyen mucho en su eficacia. Es probable que los programas generalizados o basados en modelos teóricos no se adapten a un enfoque de seguridad personalizado. Las herramientas de análisis que proporcionan muchos datos pueden ser útiles para los expertos en seguridad, pero no necesariamente para los desarrolladores a quienes queremos empoderar.

Por eso Snyk se diseñó pensando en los desarrolladores. Nuestra plataforma ayuda a las organizaciones a proteger sus aplicaciones en un solo lugar, tanto para los equipos de seguridad como para los de desarrollo. Si puedes encontrar y corregir vulnerabilidades mientras programas (en tan solo cinco minutos), puedes eliminar los cuellos de botella de tus procesos de AppSec. Inicia hoy tu prueba gratis y descubre cómo ayudamos a millones de desarrolladores a programar rápido y mantenerse seguros.