Análisis de vulnerabilidades: así es como debería hacerse

Todos sabemos que integrar la seguridad desde las primeras etapas es el enfoque adecuado para proteger nuestras aplicaciones. También sabemos que no es suficiente: los desarrolladores necesitan tener autonomía para hacerse cargo de la seguridad. Necesitan herramientas que se integren en su forma habitual de trabajar, además de orientación y apoyo del equipo de seguridad. Esto es especialmente importante con las vulnerabilidades más complejas: aquellas que no son fáciles de corregir, pero que son demasiado importantes como para ignorarlas.

La industria está repleta de herramientas que respaldan la integración temprana de la seguridad y ofrecen a los desarrolladores más visibilidad sobre las vulnerabilidades que podrían introducir en su código. En su mayoría, estas herramientas presentan la priorización como la solución ideal: la respuesta definitiva a las interminables listas de vulnerabilidades que abruman a los equipos de desarrollo.

Aunque puede ser suficiente para algunas organizaciones, un enfoque centrado en la priorización tiene sus limitaciones. No ayudará a resolver estas vulnerabilidades importantes, pero difíciles de corregir. Son precisamente estas vulnerabilidades las que ponen a prueba el modelo de integración temprana de la seguridad. Algunos equipos afortunados quizá cuenten con un desarrollador experimentado que pueda resolver la situación, pero en la mayoría de los casos, el equipo de seguridad de aplicaciones tendrá que intervenir. Para entonces, la vulnerabilidad ya está en producción.

Hace falta un enfoque distinto, uno que no deje solos a los desarrolladores en esa etapa crítica; que sepa qué preguntas hacer y dónde encontrar las respuestas; que pueda comprender por completo el contexto de la aplicación y evaluar el riesgo que supone la vulnerabilidad. En esta sesión, analizaremos este desafío específico e identificaremos las brechas en los programas de seguridad de aplicaciones que lo agravan. Compartiremos nuestro enfoque para hacer análisis de vulnerabilidades a escala y ofreceremos soluciones concretas. También trabajaremos con una vulnerabilidad común y la analizaremos en conjunto.