El desarrollador seguro: resumen sobre Security Champions

El podcast The Secure Developer (TSD), conducido por el fundador de Snyk, Guy Podjarny, trata sobre seguridad para desarrolladores y aborda temas que van desde herramientas hasta prácticas recomendadas. Incluye entrevistas con expertos en DevSecOps y promueve conversaciones sobre acontecimientos y tendencias actuales en el desarrollo seguro.

Últimamente, parece que todos hablan de construir una cultura de seguridad, identificar Security Champions y del futuro de los equipos de seguridad y sus champions.

Los programas de Security Champions empoderan a las personas de una organización para que asuman la responsabilidad de la seguridad, actuando como embajadores y promotores de las prácticas recomendadas de seguridad en toda la organización de desarrollo. 

Sin embargo, antes de implementar un programa de champions exitoso, debes construir una cultura de seguridad. 

Aquí repasaremos 5 episodios de TSD con algunas de las figuras más destacadas de la seguridad actual, entre ellas: Dev Akhwae, Siren Hofvander, Yashvier Kosaraju, Brendan Dibbell y Geoff Kershner, y sus opiniones sobre: 

1. Construir una cultura de seguridad.

2. Identificar y definir quiénes son tus Security Champions.

3. El futuro de los equipos de seguridad y los champions.

1. Construir una cultura de seguridad

«Esa relación cultural entre seguridad y el resto de la empresa, y entre ingeniería y seguridad como facilitadoras y fuerzas positivas, seguirá creciendo. Eso me entusiasma».

- Dev Akhwae, episodio 88

Construir una cultura de seguridad significa crear un conjunto compartido de valores, creencias y prácticas que prioricen la seguridad como parte integral del desarrollo y la implementación de software. 

Dev Akhawe, responsable de seguridad en Figma, explica en el episodio 88 que, por ser una organización relativamente pequeña, Figma tiene una cultura en la que el equipo de seguridad se esfuerza por ganarse la confianza de toda la organización y, por eso, trabaja de forma abierta. Akhawe y Figma consideran valioso exponer a los equipos a distintas áreas de la organización y aprovechar esa interacción entre departamentos para desarrollar mejores relaciones. Esto ha generado una mayor cohesión entre su equipo de seguridad y los desarrolladores. 

De manera similar, en el episodio 34, Siren Hofvander, de Cybercom, señala: «Los equipos de seguridad fallan cuando intentan imponer más seguridad a un equipo de desarrollo que probablemente ya tiene demasiada carga de trabajo».

Hofvander explica que los equipos de seguridad suelen pasar por alto que los equipos de desarrollo ya trabajan en seguridad, aunque esto no se note. Hofvander quiere que los equipos de seguridad reconozcan que los desarrolladores están bajo una presión considerable para cumplir con los plazos y el presupuesto. Los requisitos de seguridad adicionales pueden representar una carga importante que ralentice el desarrollo, aumente los costos y reduzca la productividad general. 

Como señala Guy en este episodio, «todo se reduce a ser el champion de los desarrolladores».

En lugar de agregar más medidas de seguridad, los equipos de seguridad deberían trabajar de cerca con los equipos de desarrollo para comprender sus flujos de trabajo y procesos, identificar posibles riesgos de seguridad e integrar medidas de seguridad en el proceso de desarrollo sin interrumpirlo. 

Al igual que Akhawe y Hofvander, en Snyk creemos que construir una cultura de seguridad depende de establecer relaciones abiertas y positivas entre los equipos de seguridad e ingeniería, porque sabemos que las organizaciones con una cultura de seguridad positiva crean productos resilientes y reducen su deuda de seguridad. 

Los expertos coinciden en que, una vez que tienes una cultura de seguridad, desarrollar un programa de Security Champions es una forma eficaz de promoverla en toda la organización. 

2. Identificar y definir quiénes son tus Security Champions

«Lo vemos como una especie de socio… realmente no queremos que seguridad sea un obstáculo… Es más bien una colaboración en la que trabajamos con ingeniería y llegamos a decisiones en conjunto… El programa de Security Champions nos ayuda a lograrlo a gran escala».

- Yashvier Kosaraju, episodio 66

Un programa de Security Champions conecta a los equipos de seguridad y desarrollo.

Ambos equipos se esfuerzan por entregar aplicaciones seguras al ritmo que exige el negocio. Sin embargo, tradicionalmente las prácticas de seguridad se incorporaban al SDLC a posteriori, lo que daba lugar a bloqueos de seguridad, retrabajo para los desarrolladores, frustración y una entrega general de productos más lenta.

Los Security Champions son una forma ideal de cubrir esta necesidad. Son desarrolladores con curiosidad por la seguridad que actúan como enlace entre dos equipos que tradicionalmente trabajan en silos.

La cuestión es que todos coinciden en que un programa de Security Champions fomenta una cultura de seguridad sólida; el problema es que cada quien estructura el programa e identifica y define de manera distinta quién o qué es un champion. 

Por ejemplo, en el episodio 79, Brendan Dibbell (ingeniero de seguridad de aplicaciones en Toast) comenta: «Cuando hablamos de un Security Champion, nos referimos a una persona que se hace cargo de parte del trabajo de seguridad cotidiano».

Sin embargo, Yashvier Kosaraju (episodio 66) define a los Security Champions así: «Cada equipo de ingeniería tiene un ingeniero que es su Security Champion, y además cuenta con un ingeniero de seguridad que es su socio dedicado en materia de seguridad. Este socio y el champion se reúnen periódicamente y conversan sobre lo que hacen los equipos de ingeniería y seguridad, qué revisiones necesitan, cómo puede ayudar seguridad, cómo trabajar de forma segura y cómo garantizar que estén creando soluciones sólidas y seguras».

En el episodio 74, Geoff Kershner (director de seguridad de Medallia) definió así a los champions: «Los equipos de ingeniería y desarrollo se organizan en torno a nuestros productos. Tenemos docenas de productos en nuestra plataforma… Si hay un equipo de informes, uno de API, uno de dispositivos móviles y equipos para todas esas áreas, cada uno tendrá un Security Champion, o un champion que pueda colaborar y desarrollarse a través de este programa».

Nuestra conclusión es que la idea de un programa de Security Champions se acepta ampliamente como una forma de promover una cultura de seguridad sólida en las organizaciones. Sin embargo, no existe una definición uniforme de lo que es un Security Champion ni de cuáles deberían ser sus responsabilidades. Dependerá en gran medida de cómo esté estructurada tu organización. 

Todos los expertos coinciden en que un Security Champion no es un especialista en seguridad a tiempo completo; es un desarrollador del equipo con curiosidad, que quiere desarrollar un conocimiento sólido de los principios de seguridad y está dispuesto a liderar iniciativas de seguridad en su equipo u organización. 

En definitiva, sin importar cómo definas o estructures tu programa de Security Champions, será fundamental para apoyar y fortalecer la cultura de seguridad de la organización e integrar la seguridad en el proceso de desarrollo de software.

3. El futuro de los equipos de seguridad y los champions

«…al menos eso espero; habrá menos necesidad de ingenieros de seguridad dedicados… Los desarrolladores y los equipos estarán mucho más capacitados para realizar su propio modelado de amenazas y pruebas de seguridad, interpretar fácilmente los resultados y llevar a cabo esos procesos de seguridad para crear solicitudes de fusión con actualizaciones de seguridad y realizar por sí mismos muchas de esas actividades».

- Nick Vinson, episodio 84

A Guy le gusta pedirles a sus invitados que «se adelanten cinco años… ¿qué creen que será lo más diferente en el trabajo de esa persona del futuro, en comparación con lo que hacen hoy?» 

En otras palabras, ¿qué futuro les espera a los equipos de seguridad y sus champions?

Para Vinson, el objetivo es que los desarrolladores adquieran mayor dominio de las prácticas de seguridad, lo que reducirá la necesidad de ingenieros de seguridad dedicados. Esta mayor capacidad para encargarse de tareas de seguridad permitirá a los desarrolladores y sus equipos incorporar fácilmente actualizaciones de seguridad en su trabajo y reducirá la necesidad de personal especializado.

De manera similar, para Kosaraju, el futuro de la seguridad y los champions consiste en mejorar las habilidades de los desarrolladores. Kosaraju cuenta que Twilio tiene un programa avanzado dentro de su programa de Security Champions, que incluye desafíos de distintos niveles de dificultad (categorías roja, azul y púrpura). Su objetivo es aumentar los conocimientos y las habilidades en seguridad. A medida que completan desafíos, los participantes obtienen beneficios y más responsabilidades en el programa, que busca empoderarlos para que tomen decisiones de seguridad fundamentadas en sus mayores conocimientos y habilidades.

Desarrollar un programa de champions ayudará a tu producto y a tu organización, y al mismo tiempo ampliará las habilidades de tus ingenieros: realmente todos salen ganando. 

Resumen: las GRANDES ideas

Los cinco episodios de este resumen destacan tres grandes ideas sobre la seguridad actual y el futuro de la seguridad y los Security Champions:

1. Desarrollar una cultura de seguridad en toda tu organización de desarrollo es fundamental. Para hacerlo de manera eficaz, se necesitará una mayor colaboración entre equipos de distintas áreas de la organización.

2. Los Security Champions son los desarrolladores de tu equipo que sienten curiosidad, pasión y están dispuestos a liderar. Darles oportunidades para ampliar sus habilidades beneficia al desarrollador, al código y a los resultados del negocio. 

3. El futuro de AppSec está en manos de los desarrolladores y la seguridad para desarrolladores.

Conoce más sobre cómo crear un programa de Security Champions.