Superar los desafíos de los programas AppSec en un entorno de trabajo remoto
Patrick Carey, Director de Marketing de Producto en Sinopsis
En las investigaciones de violación de datos de Verizon 2020 Reporte (DBIR), se encontró que el 43% de las filtraciones de datos están vinculadas a vulnerabilidades de aplicaciones; un número que se ha más que duplicado en comparación con el año anterior. Teniendo en cuenta los eventos recientes, incluido el brote de COVID-19 y el movimiento Black Lives Matter, es probable que esta situación se deteriore a medida que los ciberdelincuentes aprovechen rápidamente las emociones intensificadas para promover su propia agenda personal. De hecho, en las últimas semanas no se han visto más que informes de una intensificación de los ciberataques.
Es más, las pautas de distanciamiento social y la recesión de nuestra economía actual sin duda han introducido una gran tensión en la continuidad del negocio. Sin embargo, a pesar de la reducción de recursos para muchos, se espera que los equipos de seguridad de aplicaciones continúen creando y manteniendo software que esté a salvo de las manos de los malos actores. Esta es, sin duda, una tarea intimidante para la mayoría. ¿Entonces, qué puede hacerse?
La brecha de habilidades en ciberseguridad ha sido un problema crónico dentro de la industria, lo que dificulta encontrar un profesional de seguridad experto, incluso en un buen día. De hecho, según un reporte por ISC ^ 2, casi dos tercios de las organizaciones informaron una escasez de personal de ciberseguridad. Hoy en día, esto solo se ha agravado a medida que las restricciones de viaje y el cierre de oficinas impiden la realización de cualquier habilidad.
Para superar este obstáculo, es posible que las empresas deseen considerar los servicios de pruebas de seguridad de aplicaciones administradas. Esto puede ayudar a aliviar parte de la carga de los empleados y, en cambio, subcontratarla a equipos remotos de expertos cuando sea necesario. Con esta flexibilidad, las organizaciones también pueden beneficiarse de la rentabilidad.
El segundo paso importante a dar es garantizar que el equipo existente de desarrolladores reciba la formación adecuada en ciberseguridad. Estas personas forman la primera línea del ciclo de desarrollo de software. Sin embargo, de acuerdo con Investigación de Forrester, de 40 programas universitarios distintos de ciencias de la computación en los Estados Unidos, ninguno requiere que los estudiantes participen en codificación segura o cursos de diseño de aplicaciones seguras.
Como tal, las organizaciones son responsables de enseñar estas habilidades a los equipos de desarrollo de software. Si bien el distanciamiento social puede detener temporalmente las sesiones de capacitación presencial, el mundo de los cursos y recursos en línea permite que el aprendizaje a distancia sea posible. De hecho, el eLearning es útil para permitir que los empleados trabajen con cuidado en grandes cantidades de contenido a la velocidad que les conviene. Esto luego se puede combinar con videoconferencias que brindan a los empleados la oportunidad de hacer preguntas o revisar material de capacitación específico.
Ambas soluciones son útiles para abordar el factor humano de los programas de seguridad de aplicaciones. Sin embargo, las organizaciones también deberán evaluar las medidas de protección contra vulnerabilidades en las aplicaciones mismas. En muchos casos, esto podría ser simplemente una cuestión de aplicar mecanismos de defensa perimetral como firewalls de aplicaciones web (WAF). Sin embargo, para otras organizaciones que operan en línea, es necesario hacer más, ya que las aplicaciones web o móviles son en sí mismas el perímetro.
De acuerdo con la Informe de análisis de riesgos y seguridad de código abierto (OSSRA) 2020, estas aplicaciones normalmente se ejecutan sobre una base de código fuente abierto, el 91% de las cuales están desactualizadas o se han abandonado por completo. Si las organizaciones esperan evitar una conclusión similar a la del incumplimiento de Equifax en 2017, se debe prestar especial atención a la comprensión de los entresijos de cualquier línea de código; incluyendo qué componentes de código abierto existen dentro de él. Ejecutar una auditoría y posteriormente realizar análisis de vulnerabilidades puede hacer maravillas para prevenir la exposición de datos y sistemas confidenciales.
Al ayudar estratégicamente a los equipos de desarrollo de aplicaciones con soporte externo, invirtiendo en sus habilidades de seguridad y eligiendo estar al tanto de su cartera de código abierto, las organizaciones pueden tener éxito en la creación de software excelente y seguro. Trabajar de forma remota ya no tiene por qué ser una barrera para lograrlo.