En un informe reciente de Aberdeen, 8 de cada 9 organizaciones no tenían conocimiento de ningún problema de cumplimiento o vulnerabilidad en su base de código. En el caso de la única empresa que identificó problemas, lo que sabían solo representaba el 9,5 por ciento de los problemas reales que finalmente se descubrieron a través de una auditoría de software. Esto representa una brecha tanto para evitarlos como para solucionarlos cuando se trata de gestionar los riesgos de seguridad y cumplimiento.

Cerrar esta brecha es importante para ayudar a los equipos de ingeniería y a sus líderes a comprender mejor el impacto del software de código abierto en la capacidad de una organización para crear y ofrecer soluciones sin riesgos. Parte de la solución consiste en crear un proceso de ciclo cerrado para capacitar a los desarrolladores sobre la importancia de la seguridad y el cumplimiento, así como sobre cómo mitigar los riesgos, además de establecer las herramientas adecuadas para el descubrimiento y la corrección.

Si es desarrollador, líder de ingeniería o especialista en seguridad, escuche en este seminario web a nuestros expertos Alex Rybak, director de gestión de productos de Revenera, y a Matias Madou, director de tecnología de Secure Code Warrior, hablar sobre:

- La importancia de implementar una gobernanza continua durante todo el ciclo de vida del desarrollo del software.
- Por qué una lista de materiales de software (SBoM) es la mejor amiga de un líder de ingeniería.
- La forma en que el desarrollo de soluciones dignas de confianza comienza con el establecimiento de políticas interfuncionales acordadas para identificar y remediar el riesgo.
- Entran en vigor las normativas del sector que exigen un cambio estructural para respaldar el cumplimiento y la gestión de la seguridad.
- El papel que desempeñan ahora las empresas a la hora de garantizar la educación de los desarrolladores a través de programas como la microformación para una iniciativa de gestión de código abierto más sólida.

背景介绍

Envestnet, Inc. 是一家金融科技上市公司，拥有 5.3 万亿美元资产和超过 1850 万个投资者账户。Envestnet 的使命是通过创新的技术、解决方案和智能，增强顾问和金融服务提供商的能力，让每个人都能实现财务健康。Envestnet 已成为财富管理技术领域的市场领导者之一，其旗舰咨询平台整合了全球财富管理领域财务顾问所使用的服务和软件。

Envestnet 致力于数据管理最佳实践，包括通过持续的基于风险的合规措施对其财富管理平台进行持续监控，从而能够快速识别和修复任何合规问题或潜在故障。Envestnet 在提供服务时采用世界一流的安全措施，在保护客户数据方面处于领先地位。

了解 Envestnet 产品安全主管、《应用程序安全手册》作者 Derek Fisher 如何与Secure Code Warrior 合作，为其开发人员团队开发一种通过敏捷安全代码启用减少漏洞的整体方法。Derek 从事应用安全工作已有十多年，亲眼目睹了无数安全方面的成功和失败，并将其独特的专业知识用于为 Envestnet 的开发人员开发安全代码学习环境。

情况

德里克刚开始担任应用安全职位时，他希望能够超越 OWASP 十佳培训和基本合规性培训。他们有一些安全 SDLC 流程，但主要集中在查找漏洞上，不一定能从源头上解决这些问题。

德里克说："我们都非常熟悉任何组织的年度合规培训。这通常就是我所说的'Powerpoint 之死'，一堆幻灯片，最后可能还有一个assessment ......非常低效且耗时。我们有培训，但通常是基于合规性的培训，还有一些基于幻灯片/录音的特定安全培训。我们注意到，开发人员并没有很好地参与进来，也没有从这些材料中学习到什么，因此我们必须改变策略。

这种简单地通过被动的、以 OWASP 为重点的合规性培训来培训开发人员的传统策略让 Derek 和他的团队特别痛苦，因为他们无法衡量培训的效果，因此他们发现自己越来越多地把时间花在了漏洞管理上。



德里克认识到，必须从漏洞的源头--开发人员在生产中使用的不安全代码--入手，而仅仅使用更多的工具并不能解决问题。

相反，德里克和他的团队在 2020 年将重点转移到了漏洞缓解上，目标是从一开始就编写更安全的代码。德里克和他的团队采用了 "左移 "策略，在 SDLC 的更早阶段解决和修复漏洞，因为此时修复漏洞的成本要低得多。

但首先，他们需要解决开发人员对现有 App Sectraining 的参与度一直很低的问题。他希望在安全代码学习策略中避免仅仅实施 "复选框 "思维，而是为 Envestnet 的开发人员提供更有效、更敏捷的安全代码学习体验。

"当我看到 SCW 及其功能时，我就知道我们应该采用更注重实践、互动性更强的方法。 我希望工程师和开发人员从培训中走出来时，能对实际问题有更多的实际了解。 我们希望建立一种肌肉记忆，即'这是我以前在培训中见过的东西，我知道如何解决我看到的这个编码问题'。Secure Code Warrior 平台使我们能够提供这种环境，让工程师和开发人员能够进入其中，真正了解哪些是良好的安全编码实践，哪些是糟糕的实践，以及如何快速解决漏洞。

Derek Fisher，Envestnet 产品安全主管

行动

Derek 特别希望实施一项通过认证奖励安全代码高级技能的带薪战略。这个四级计划的重点是为安全意识打下坚实的基础（第一级和第二级），然后为开发人员成为安全卫士铺平道路（第三级和第四级）。这就解决了无法衡量开发人员如何保留安全代码概念的问题，同时确保具有安全意识的开发人员有一个职业发展途径，以提高他们的技能，应对更复杂的安全挑战。

他们在一个小型试点中进行了测试，并征求了参与测试的开发人员的反馈意见。反馈非常积极。德里克指出

"你并不总是能从这些事情中得到积极的反馈--我怎么强调都不为过--任何时候你在培训中得到积极的反馈都是不寻常的。这是一个很好的指标，说明这是一个正确的工具"。

Envestnet 在 2021 年春季举办了首次tournament ，并从开发人员参与的角度取得了更积极的成果。随后，Derek 为数据库、前端、API 和云开发人员推出了一系列集成到其 LMS 中的courses 。到 2021 年秋季 Envestnet 举办第二次tournament 时，参与的开发人员总数翻了一番。

据 Derek 称，Envestnet 通过tournaments 获得了巨大的吸引力，因为、

"我们都知道，竞争是一种动力。我们都希望确保我们的同行认可我们在某些方面做得有多好，这确实能激励人们参与并做好这些tournaments 。这一点以及与我们开发工具的整合让我们真正看到了Secure Code Warrior 的价值"。

Derek 和团队还努力将Secure Code Warrior 与 Jira 集成，这样当某些漏洞反复出现时，开发人员就可以直接在 Jira 票据中获取即时补救建议，而无需离开熟悉的环境。这就为开发人员提供了宝贵的上下文以及即时、按需的教育，让他们了解如何在需要时、在影响点解决该漏洞。Derek 的团队还与Secure Code Warrior 合作赞助了安全日活动，从而获得了更广泛的首席执行官支持，并加强了工程和安全在 Envestnet 成功中的重要性。有了这种高管和开发人员的支持，Envestnet 得以将其计划扩展到今天的规模。现在，Envestnet 已将其确定的所有安全冠军纳入该计划，整个团队中有 60% 的人已完成 1 级或 2 级认证。

成果

Envestnet 衡量成功与否的方法之一是考察那些经历过 SCW 学习经历的团队，衡量他们是否减少了漏洞的产生和/或更快地修复了漏洞。他们的发现令人印象深刻：

• 接受过南卡罗来纳大学教育的开发人员修复的漏洞比同龄人多 2.7 倍
• 100 名接受过 SCW 教育的开发人员在短时间内修复了 450 个漏洞
• 1 200 名接受过 SCW 教育的开发人员使 Envestnet 在各自队列中的补救措施增加了 120
• 在两个产品线的一年时间里，接受过 SCW 教育的开发人员以每人 4.5 个漏洞的比率解决了问题，而他们的同行仅以每人 1.82 个漏洞的比率解决了问题
• 2022 年，所有 "安全卫士 "都通过了他们的认证计划
• 有 60% 的安全意识开发人员通过了 1 级和 2 级培训，而且人数还在不断增加


主要收获

德里克向那些刚刚开始安全代码学习之旅的人提出了这样的建议：

"我们在安全方面的工作就是降低组织的风险。 这是我们的'真北'，也是我们一直努力的方向。关键漏洞可能不是最高风险或对组织影响最大的问题。它可能是几个中级漏洞、一个低级漏洞和一个高级漏洞拼接在一起，形成一个影响更大的链条。随着时间的推移，累积的漏洞越多，风险就越大。通过Secure Code Warrior ，您可以保持领先地位，并采取积极主动的方法，通过敏捷的安全代码学习来减少潜在的漏洞链。"

• 不要只专注于测试漏洞和报告漏洞--这样做最终只会给开发人员制造噪音
• 相反，AppSec 应该成为开发人员的合作伙伴，并确保在实施安全代码学习策略之前得到他们的支持
• 罗马不是一天建成的。您的计划需要随着风险状况的变化、公司的变化以及技术和工具的变化而变化
• 最有效的长期战略是提高周围人的安全智商，以减少产生的漏洞总数

Antecedentes

Thales Group es una empresa multinacional francesa que diseña, desarrolla y fabrica sistemas eléctricos, así como dispositivos y equipos para los sectores aeroespacial, de defensa, transporte y seguridad. Viswanath S. Chirravuri es el director técnico de seguridad del software en Thales. Viswanath, o Vis, comenzó su carrera en el campo de la seguridad inicialmente como programador. Ahora es un líder sénior de seguridad en Thales, cuenta con más de 18 años de experiencia en el sector de la seguridad y cuenta con más de 30 certificaciones, entre las que se incluyen CISSP, PMP y GSE. Ha formado a más de 3000 profesionales del software en más de 18 países. Además, Vis ganó más de 10 monedas de desafío de SANS en torneos internacionales de ciberseguridad (como Netwars) y es miembro activo del Consejo Asesor del GIAC. Hablamos con Vis para saber cómo alineó a las personas, los procesos y la tecnología para desarrollar un exitoso programa de aprendizaje de códigos seguro en Thales.

Situación

Cuando Vis comenzó en Thales, entrenó a las unidades de negocio para que analizaran el origen de las vulnerabilidades descubiertas mediante pruebas de bolígrafo como una posible solución para reducir la acumulación de deudas tecnológicas. El equipo de seguridad de las aplicaciones recurrió a siete proveedores diferentes con los que trabajaban para reforzar su postura en materia de seguridad, desde herramientas IAST/DAST hasta herramientas para realizar pruebas con lápiz. Vis quería entender las tendencias del mercado y gestionar las amenazas de forma escalable para desarrollar estrategias de mitigación mediante una sólida integración entre los procesos y la tecnología. Esto implicó pasar de un enfoque basado exclusivamente en herramientas a una estrategia que tuviera un fuerte componente de aprendizaje. Se dio cuenta de que muchos de los desarrolladores no tenían experiencia en seguridad ni conocimientos de seguridad. Su enfoque inicial consistía en ofrecer formación presencial a los desarrolladores sobre temas como los 10 mejores puestos de OWASP, pero pronto se dio cuenta de que esta formación no iba a crecer con todos los viajes necesarios para impartir clases presenciales y la necesidad de llegar a miles de desarrolladores de todo el mundo. Vis señaló que:

«Siempre habrá un desequilibrio en la relación entre seguridad y desarrollo. Aunque tuviera una relación de seguridad de 1:1, respecto a los desarrolladores, no podría mantenerlos ocupados todo el tiempo. Para mantener a nuestros desarrolladores informados sobre los nuevos vectores de ataque, las mejores prácticas, los nuevos lenguajes y las vulnerabilidades descubiertas recientemente, necesitábamos promover el autoaprendizaje entre los desarrolladores y hacer que fueran capaces de hacerlo a su propio ritmo. Si necesitan ayuda, puedo ayudarlos, pero me di cuenta de que no podía ser la persona que les enseñara cómo solucionar todas las vulnerabilidades que encuentran».

Al principio, los directores de desarrollo se mostraron reacios a invertir tiempo en el aprendizaje seguro de código, ya que reconocieron que muchos desarrolladores comenzaban desde cero. Vis necesitaba gestionar la percepción de que el compromiso con el aprendizaje seguro del código podía interrumpir los ciclos de lanzamiento del software o ralentizar los sprints de misión crítica. Necesitaba encontrar una manera de motivar adecuadamente a la organización para que dedicara tiempo al aprendizaje ágil de código seguro. Vis adoptó una actitud en la que las personas eran lo primero para abordar las vulnerabilidades en su origen, «La gente suele decir que la seguridad le quita tiempo al desarrollo. Para mí, si uno desarrolla algo y es inseguro, para empezar fue una pérdida de tiempo. Siempre debes desarrollar software para que sea seguro y ahorrarte el tiempo de tener que corregir las vulnerabilidades que podrían haberse evitado fácilmente. Todos deberíamos tener el objetivo común de enviar un código fiable».

Acción

Vis tenía dos objetivos principales en mente: proteger su software y aumentar la conciencia de seguridad en los equipos de desarrolladores de Thales. Era fundamental implementar un programa que permitiera a los desarrolladores ser independientes y formarse a su propio ritmo. La estrategia de Vis consistía en crear una comunidad de seguridad con el tiempo, trabajar para vincular la codificación segura con las políticas corporativas y desarrollar un mandato para que la organización aprendiera código de forma segura. Al fomentar una cultura de comunidad que conectara a desarrolladores, evaluadores, arquitectos e ingenieros, vio un efecto multiplicador de la motivación. Surgieron defensores de la seguridad que sentían pasión por la seguridad y, como parte de su trabajo diario, ayudaron a dar a conocer las prácticas de codificación seguras en toda la organización. Vis evaluó a más de una docena de proveedores de formación en seguridad y se convirtió en cliente de SCW en 2019. Para Thales, fue una gran ventaja contar con un proveedor que cubriera todos los lenguajes y marcos de programación de su entorno, en lugar de una solución fragmentaria. Vis aprovechó el enorme volumen de contenido de Secure Code Warrior para crear cursos de formación y aprendizaje a su propio ritmo para que los desarrolladores del programa de seguridad pudieran acceder a:

«El top 10 de OWASP no consiste simplemente en diez cosas que debes saber. La profundidad y la diversidad de las vulnerabilidades que cubre OWASP, combinadas con la enorme cantidad de lenguajes de programación, pueden resultar abrumadoras. La amplia gama de desafíos y la cobertura que tenemos sobre estos temas fueron un factor clave a la hora de elegir SCW. Siempre están añadiendo cosas nuevas. La profundidad, la diversidad de temas, el contenido actualizado y el enfoque en los principios de diseño de código seguro realmente distinguen a SCW. Con ellos, no se trata de una formación de un solo uso, sino que hemos tenido la oportunidad de crear un programa continuo».

Vis y su equipo estructuraron cuatro niveles de implementación del programa de aprendizaje de código seguro, con diferentes hitos para cada función de ingeniería:

Es importante destacar que SCW se convirtió en la fuente de verdad para las correcciones de vulnerabilidades.. En lugar de confiar en las búsquedas de Google que podrían ayudarte a solucionar problemas, Vis publicó tanto las directrices del equipo de AppSec como las de la biblioteca de contenido de SCW para que los desarrolladores pudieran consultar una fuente fiable y auténtica para corregir las vulnerabilidades del código. Según Vis:

«Los desarrolladores no deberían tener la libertad de decidir cómo corregir una vulnerabilidad y, potencialmente, introducir una nueva vulnerabilidad en el proceso. Integramos los vídeos de SCW en nuestro LMS mediante la integración con SCORM de SCW para asegurarnos de que los desarrolladores aprendieran a corregir la vulnerabilidad de la manera correcta. Esto también nos permitió garantizar que se reconociera a los desarrolladores que ofrecían software seguro. Les pedimos que alcancen un cierto nivel de codificación segura y podemos hacer un seguimiento de las vulnerabilidades que resuelven y que no vuelven a introducir. De este modo, la empresa reconoce y valora el arduo trabajo que han realizado».

Resultados

Vis y su equipo publican un boletín mensual sobre código seguro en el que pueden reconocer a los mejores estudiantes de la empresa. Utilizan el SCW para analizar los puntajes de las evaluaciones, la participación en los torneos y los desafíos jugados a fin de amplificar ese logro. Esto también motiva a otros desarrolladores a aprender. Los KPI que estableció inicialmente se centraron en reducir el número total de vulnerabilidades en 2 años. Tras implementar el SCW, observó una línea de tendencia decreciente. Estas vulnerabilidades no se vuelven a introducir a nivel del código fuente. Vis lo expresa de esta manera:

«Los KPI que presentamos a nuestra gerencia reflejan la selección bien informada que hicimos. Nos enorgullece contar con una formación en código seguro que brinda confianza empresarial a nuestros clientes. Se nos reconoce por nuestro completo programa de formación sobre código seguro y nuestros clientes y colegas nos respetan. Tener un programa como este añade mucho valor a su empresa».

Conclusiones clave

Vis reconoció que las personas, los procesos y la tecnología tienen un papel que desempeñar en cualquier iniciativa de seguridad. Al centrarse en la seguridad del software, en los conocimientos de los desarrolladores y en cumplir con las normas, es posible crear un programa de código seguro con un aprendizaje ágil que reduzca las vulnerabilidades del código fuente con el paso del tiempo. Vis ofrece estas recomendaciones a los profesionales de su campo que buscan desarrollar habilidades de seguridad en los equipos de desarrolladores.

El qué, el cuándo y el por qué deberías incluir más a tus desarrolladores.

‍

IAG Group es el nombre detrás de muchas de las principales compañías de seguros de la región Asia-Pacífico, que suscriben pólizas para millones de clientes por un importe de aproximadamente 11 400 millones de dólares australianos en primas al año. Bianca Wirth es la directora de educación y concienciación sobre seguridad corporativa del Grupo IAG. Consciente de la necesidad de que el equipo de desarrollo tuviera una conciencia y unas prácticas estrictas en materia de seguridad, se propuso crear un entorno realmente innovador y óptimo en el que el equipo pudiera aprender técnicas fundamentales de codificación segura.

ENTER: Juego de códigos

El desafío

Los desarrolladores suelen tener poco tiempo, con múltiples entregas y proyectos a punto de ebullición. Sin embargo, mantenerse al día con las mejores prácticas de seguridad es de suma importancia para cualquier organización, y mucho menos para una que tenga millones de perfiles de datos confidenciales de clientes a los que mantenerse a salvo de los piratas informáticos. Bianca y su equipo se fijan objetivos claros para hacer que sus iniciativas de ciberseguridad sean más sólidas. Determinaron que la prioridad era minimizar la superficie de ataque de las aplicaciones desarrolladas por el INIAG, y abordarían este objetivo educando a los desarrolladores para que identificaran y corrigieran las vulnerabilidades críticas y de alto riesgo. No cabe duda de que existen cursos prolongados de formación sobre programación segura, pero pueden resultar laboriosos y tediosos y alejar al personal clave de los proyectos de desarrollo con plazos de entrega estrictos, lo que genera presión en toda la empresa. Se hizo evidente la necesidad de mejorar rápidamente las habilidades del equipo de desarrollo, con un impacto mínimo en la carga de trabajo y las operaciones. Y dado que los desarrolladores de Australia y Nueva Zelanda trabajaban en sistemas que no eran necesariamente los mismos, no fue poca cosa.

«Este año, realicé un cambio en nuestro código fuente que eliminó una vulnerabilidad de inyección de SQL. Por su conocimiento de esto, doy crédito a Game of Codes. Incluso es útil tener en cuenta la codificación segura. La competencia es una buena forma de motivar a las personas a que den lo mejor de sí mismas... porque, seamos sinceros, la seguridad no es un tema que le guste a todo el mundo, por lo que es una buena forma de hacer que la gente participe». R, desarrollador de IAG

La implementación

Bianca diseñó una estrategia para implementar una experiencia de entrenamiento gamificada y trabajó en conjunto con su equipo y Secure Code Warrior en la implementación de torneos y capacitaciones para promover las habilidades de sus desarrolladores internos. Para ello, era fundamental establecer una estrategia de comunicación sólida, así como tener en cuenta las diferentes motivaciones y personalidades del personal a la hora de adoptar una plataforma completamente nueva y utilizarla al máximo de su potencial:

«Diseñamos un plan de comunicación que consiste en cómo comunicaremos al personal y a las principales partes interesadas los puntos que necesitan saber, los mensajes clave y los incentivos que también les estamos ofreciendo para que respondan. La mayoría de las personas realmente disfrutan de la experiencia gamificada. Solo depende de sus personalidades, su motivación y lo que los impulsa. Por eso intentamos satisfacer una gama completamente diferente de motivaciones para las personas. Para algunos, les encantan los premios, para otros, el aspecto de los logros en sí mismo es un factor suficiente». ella dijo

Bianca e IAG mostraron de manera experta la plataforma de aprendizaje gamificada de Secure Code Warrior, transformando su torneo en una divertida experiencia de competición conocida como el «Juego de códigos», en la que el personal se alojaba en casas de temática medieval (con productos de marca para los jugadores) que se enfrentaban cara a cara en una batalla digna de su homónimo producido por HBO.

El torneo incluso se ha llevado a la escena internacional, y pronto se lanzará el próximo partido entre Australia y Nueva Zelanda. Esto brinda a IAG la oportunidad de identificar a los principales campeones de seguridad de ambos países, así como de garantizar que los equipos estén mejorando sus habilidades juntos.

El resultado

Game of Codes es, en efecto, un programa de formación especializado. Su implementación como un torneo interactivo y divertido garantizó que el personal mantuviera la participación de diversas maneras, pero el objetivo principal del ejercicio siguió siendo el de dotar a los desarrolladores de las habilidades necesarias para identificar y eliminar las vulnerabilidades de alto riesgo en las aplicaciones desarrolladas por IAG.

Al garantizar que tanto los desarrolladores como los equipos de seguridad trabajen con una mentalidad que priorice la seguridad, además de estar equipados no solo para identificar, sino también para corregir las vulnerabilidades desde el principio, IAG prevé reducir los costosos ejercicios de pruebas de penetración y la presión sobre el equipo que los lleva a cabo.

Además de seguir desarrollando esta competencia vital, Game of Codes también ayudó a construir relaciones, inyectando un sentido de camaradería y competitividad amistosa entre los equipos involucrados, al tiempo que ayudó a las personas a sentirse más seguras de sus habilidades de codificación seguras al ver cómo se les medía en un entorno de torneo en el que se anotan puntos.

Bianca declaró que el apoyo interno al programa fue inmenso, con una acogida positiva por parte de la suite ejecutiva. Esto también dio lugar a un programa de embajadores, en el que podían participar personas interesadas en promover el programa y defender la seguridad dentro de la organización:

«Ha sido una exposición fantástica para algunos desarrolladores y una excelente promoción de sus habilidades. También se están beneficiando de ello en sus propios trabajos, algo que es importante comprobar».

Lejos de ser «solo un juego», o simplemente una forma más agradable para que los gerentes de departamento aprendan sobre cumplimiento, Game of Codes ofrece una solución atractiva y de alta retención que convierte rápidamente a los novatos en campeones de la seguridad, lo cual es esencial para minimizar el riesgo de una violación a gran escala.

Y el mejor consejo, de la propia Bianca:

«Si implementas un programa y esperas que la gente simplemente lo use, no va a funcionar. Tienes que diseñar un programa en torno a él en el que puedas iniciar y motivar un cambio de comportamiento. Lo que creamos fue básicamente un programa de gestión de cambios para desarrolladores, centrado en la seguridad».

«Tras las sesiones de formación sobre Game of Codes, me doy cuenta de que me interesa más la seguridad y pienso en la seguridad a la hora de crear pruebas de automatización. Soy evaluador sénior en un equipo ágil y estas sesiones de formación me han motivado a aprender más sobre las pruebas de seguridad y a considerarlas una posible especialización». A. Probador sénior de IAG

DATOS RÁPIDOS

• Además del aprendizaje gamificado, IAG también utiliza Secure Code Warrior como una herramienta de prueba de habilidades para la contratación de desarrolladores.
• Están en proceso de extender el programa al 100% de su equipo de desarrollo, y el 55% ya está activo en el sistema.
• Han desarrollado un conjunto clave de métricas internas que les permiten medir el éxito del programa a la hora de minimizar los riesgos y reducir los costos a lo largo del tiempo.
  ‍

‍

‍