Tres aspectos para crear un programa de seguridad eficaz

Esta es una publicación invitada de Alex Bovee, CEO y cofundador de ConductorOne, una empresa de seguridad de identidades.

En el panorama tecnológico actual, que avanza a un ritmo acelerado y evoluciona constantemente, crear un programa de seguridad eficaz es fundamental para cualquier organización. Tuve el privilegio de recibir a Guy Podjarny, CEO y cofundador de Snyk, en All Aboard, un nuevo pódcast producido por ConductorOne.

Durante nuestra conversación, hablamos sobre cómo ampliar los controles de seguridad en un entorno que prioriza la nube, cómo medir el éxito de tu programa de seguridad y nuestras predicciones sobre el impacto de las condiciones macroeconómicas actuales en el comportamiento de compra en el sector de la seguridad.

A continuación, compartimos algunos momentos destacados de nuestra conversación. Para escucharla completa, consulta el episodio aquí (también disponible en Apple Podcasts y Spotify).

Ampliar los controles de seguridad con shift left

El enfoque “shift left” ganó popularidad por su eficiencia. Encontrar un problema durante las etapas de desarrollo es cien veces más barato y eficiente que detectarlo en auditorías posteriores. Durante la última década, el ritmo de adopción de software cambió drásticamente y “la capacidad de mantenerse al día con el software, por separado, prácticamente ha desaparecido”, dijo Guy.

Adaptarse a este marco no fue sencillo, pero los beneficios prometidos de una mayor eficiencia y equipos más ágiles y productivos hacían que cualquier dificultad inicial valiera la pena. Al final, tanto los desarrolladores como los líderes quieren crear e innovar a un ritmo más rápido que la competencia. Es importante que los equipos de seguridad vean sus responsabilidades desde esta perspectiva. “Los mejores equipos de seguridad se ven a sí mismos como una plataforma”, comenta Guy. “Tienen éxito cuando permiten que los desarrolladores creen aplicaciones seguras más rápido”.

En seguridad, el desarrollo ágil podría equivaler a acercar las barreras de protección y los controles al momento en que los usuarios toman decisiones. “Les ayudas a tomar una decisión segura o evitas que puedan tomar una decisión insegura”, explica Guy. Los equipos de seguridad deben encontrar formas creativas de incorporar sus conocimientos y experiencia en el flujo de desarrollo y dar a los usuarios las herramientas para crear valor para el negocio.

Cómo medir el éxito de tu programa de seguridad

Hay 3 formas prácticas de medir el éxito de tu programa de seguridad:

1. Mediante indicadores clave de rendimiento (KPI) medibles: ¿Cuánto tardamos en responder a un incidente? ¿Cuántos problemas detectados en etapas posteriores se identificaron con anticipación? ¿Cuántas personas o equipos de desarrollo participaron y realizaron pruebas con éxito, en comparación con quienes no las hicieron? Al diseñar el programa de seguridad que crees más adecuado para tu organización, necesitas distintas formas de medir y comprobar que funciona.

2. Analiza los resultados de los controles de seguridad: ¿Cuántas vulnerabilidades tenemos? ¿Con qué rapidez podemos corregirlas? Evaluar los resultados es útil porque también es una forma relativamente sencilla de medir el estado de seguridad. Además, es importante porque, si no hay resultados, tampoco hay KPI que se desprendan de este incidente.

3. La eficacia, el aspecto más difícil de medir, pero el mejor indicador: ¿Qué tan bien protege el programa de seguridad contra los atacantes? Es lo más difícil de medir, pero la mejor manera es mediante una validación externa. ¿Cuántos informes de programas de recompensas por errores recibieron? ¿Cuántos equipos de red team participaron? ¿Cuántos problemas encontraron? Nunca será una evaluación totalmente exhaustiva —sería demasiado costoso—, pero sí es una verificación adicional eficaz para tus activos más sensibles. Se trata de reducir los riesgos, pero también de mejorar la productividad de los desarrolladores: ¿con qué rapidez se corrigen los problemas?

Enfocarse en la productividad y la eficiencia

Los equipos de seguridad también se están convirtiendo en desarrolladores. El concepto de “camino pavimentado”, popularizado por Netflix, propone que, como equipo de plataforma, crees un camino con todos los controles necesarios y animes a los equipos a seguirlo. Los desarrolladores pueden apartarse de ese camino, pero entonces deberán cumplir requisitos adicionales y asumir más trabajo para demostrar por su cuenta el cumplimiento de las normas de seguridad.

Cuando existe un camino pavimentado, es menos probable que los usuarios opten por otra alternativa. En las soluciones modernas, una experiencia de usuario sin fricciones importa cada vez más. En seguridad de identidades, por ejemplo, a menudo vemos brechas de seguridad causadas por autorizaciones excesivas. ¿Por qué? Porque es complicado rastrear, auditar y revocar privilegios en toda la organización. Como resultado, los privilegios y las credenciales quedan dispersos. Cofundé ConductorOne para resolver este problema, que conocí de primera mano durante la última década de trabajo en productos de seguridad.

Las condiciones macroeconómicas actuales también garantizan que habrá un choque entre el impulso desde la dirección para consolidar y la búsqueda de eficiencia y reducción de costos, esta última con un sesgo inherente hacia la descentralización. Guy dice: “Creo que 2023 es un año para que muchos lugares pongan los pies en la tierra”.

Demostrar el valor de una solución para reducir riesgos y mostrar cómo ayuda a mejorar la productividad será aún más decisivo en las decisiones de compra. Se preferirán las herramientas prácticas, capaces de hacer más o integrarse con más soluciones usando menos recursos.

Al volver al tema anterior de la medición y la falta de referencias establecidas, Guy comenta: “En el sector de la seguridad sigue habiendo mucho margen para la subjetividad, más que en muchos otros. A veces las personas aciertan y otras no. Pero ahora todos nos vemos obligados a reflexionar lo suficiente sobre este tema. Y eso es una tendencia positiva”.