Nunca es demasiado temprano: el estudio BSIMM8 de Synopsys promueve la evaluación comparativa en las primeras etapas de las iniciativas de seguridad del software
Para Synopsys, la tendencia a que más empresas adopten la seguridad del software no es más que algo positivo. Habiendo defendido durante mucho tiempo la importancia de integrar la seguridad en el software, su último informe BSIMM (Building security in Maturity Model) será un estímulo para que la industria esté sentada y prestando atención. Synopsys diseñó el modelo BSIMM en 2008, como una herramienta integral para medir y evaluar iniciativas de seguridad de software. Un modelo basado en datos y una herramienta de medición desarrollada a través del estudio y análisis cuidadosos de iniciativas de seguridad de software, el BSIMM incluye datos del mundo real de más de 100 organizaciones. El BSIMM es un estándar abierto que incluye un marco basado en prácticas de seguridad de software, que una organización puede utilizar para evaluar sus propios esfuerzos en seguridad de software.
El estudio se recopila de la comunidad de seguridad más grande hasta la fecha; 109 empresas y describe el trabajo de 4.769 profesionales de seguridad de software. Su trabajo guía y maximiza los esfuerzos de seguridad de casi 300.000 desarrolladores en aproximadamente 95.000 aplicaciones. Las firmas BSIMM8 representan verticales de la industria que incluyen servicios financieros, proveedores de software independientes (ISV), nube, atención médica, Internet de las cosas (IoT) y seguros. Las indicaciones del informe son que la seguridad del software se está convirtiendo en una prioridad comercial crítica con más organizaciones que comparan sus esfuerzos al principio de su ciclo de vida de SSI y utilizan los resultados estratégicamente para mejorar su postura de riesgo a lo largo del tiempo.
«Con el aumento de ataques ampliamente distribuidos y cada vez más disruptivos dirigidos a software vulnerable, estamos viendo un cambio del enfoque reactivo de ‘penetrar y parchear’ hacia estrategias más proactivas que empoderan a las organizaciones para construir software seguro sistemáticamente desde cero», dijo el Dr. Gary McGraw, vicepresidente de tecnología de seguridad de Synopsys. «Las organizaciones están comenzando a comprender que pueden mitigar el riesgo de manera más efectiva si establecen una iniciativa de seguridad de software, evalúan sus fortalezas y debilidades desde el principio a través de instrumentos como el BSIMM y concentran sus esfuerzos en las prácticas y actividades más apropiadas».
A continuación se incluyen algunos hallazgos clave del informe:
- Las organizaciones utilizan BSIMM para impulsar sus SSI. BSIMM8 introduce empresas en las primeras etapas del ciclo de vida de SSI, como lo demuestra una ligera disminución en el puntaje de madurez promedio (33.1, por debajo de 33.9 en BSIMM7) y la edad promedio del grupo de seguridad de software (3.88 años, por debajo de 3.94 en BSIMM7) del Población BSIMM. La evaluación comparativa de SSI es uno de los primeros pasos fundamentales en el viaje de la seguridad del software.
- Las firmas BSIMM maduran con el tiempo. Las empresas que han participado en múltiples evaluaciones BSIMM muestran una clara tendencia de mejora, con puntajes que aumentan en un promedio de 10,3 o 33,4 por ciento. La evaluación comparativa es un ejercicio eficaz para guiar a las organizaciones por el camino óptimo hacia la creación de software seguro de forma coherente.
- La madurez varía según la industria. Cada industria prioriza ciertas actividades sobre otras, y cada industria y organización individual tiene un camino diferente hacia la construcción de la seguridad. En promedio, las empresas de nube, servicios financieros e ISV son más maduras que las empresas de atención médica, IoT y seguros. Los servicios financieros y las empresas en la nube tienen puntuaciones notablemente más altas en las prácticas de cumplimiento y políticas, mientras que las empresas de IoT tienen las prácticas de entorno de software más maduras.
Entonces, si bien ha habido mejoras y desarrollos significativos en el campo de la seguridad del software, todavía queda un largo camino por recorrer para garantizar que la nueva tecnología esté a salvo de la creciente superficie de ataque. Para completar los resultados completos del informe, haga clic aquí.