¿Cómo puede la calidad del software ayudar a mejorar la seguridad de la información?

Todos sabemos que, así como el Internet de las Cosas (IoT) y la transformación digital hacen la vida más conveniente y productiva, estas tecnologías también atraen amenazas cibernéticas de gran alcance para todos: no solo para grandes empresas, sino también para pequeñas empresas y personas físicas.Descubre cómo la calidad del software puede ayudar a mejorar la seguridad de la información.

Desde el robo de cuentas bancarias o datos financieros de los consumidores, hasta el hackeo de servicios públicos o incluso plantas nucleares, las amenazas están en todas partes. Como resultado, la seguridad se ha convertido en una preocupación para la mayoría de las empresas, y los CTOs, CIOs y desarrolladores de software deben estar atentos al desarrollo de programas de calidad, lo cual implica un fuerte enfoque en la seguridad de la información.

La seguridad como principal desafío

De hecho, los altos requisitos de seguridad en los sistemas IoT industriales representan el desafío número uno para los desarrolladores."En el entorno tecnológico actual, probar la seguridad de las aplicaciones en busca de vulnerabilidades y errores en el código debe ser una práctica estándar, sin importar el tamaño de la organización o su industria", dice Chris Wysopal, cofundador y CTO de Veracode, una empresa de seguridad de software.

Una investigación reciente de Veracode con responsables de decisiones en ciberseguridad reveló que el 83% de los encuestados afirmaron haber lanzado código antes de probar o resolver problemas de seguridad relacionados con errores.Además, un informe de IBM titulado "El estado de la inseguridad en aplicaciones móviles" encontró que un tercio de las empresas ni siquiera prueba sus aplicaciones móviles para detectar vulnerabilidades.

Es alarmante que, aunque los ataques a activos corporativos aumentan cada año, el desarrollo seguro de software aún está atrasado y frecuentemente es ignorado.

¿Qué impide que un atacante invada un sistema y robe información?

Tanto las amenazas como las soluciones están en el software. Muchos desarrolladores ya son conscientes de esta realidad.

Una de las mejores defensas es desarrollar software de forma segura, con foco en calidad, pruebas y revisión de código.De hecho, los desarrolladores —ya sean internos o tercerizados— pueden ser la primera línea de defensa de una empresa, siempre que mantengan una mentalidad enfocada en la seguridad.

¿Cómo verificar el proceso de desarrollo de software?

Existen varias formas para que los desarrolladores prueben y verifiquen el código. Por ejemplo:

• Uso de herramientas de pruebas estáticas de seguridad

• Pruebas dinámicas de seguridad

• Inspecciones visuales

  
  

Algunos expertos incluso simulan el papel de un atacante (enfoque conocido como white hat testing), buscando las mismas vulnerabilidades que los hackers explotarían para eludir controles de seguridad.

Evolución del enfoque hacia la seguridad

Antes del año 2000, cuando comenzaron a llegar los computadores personales, las revisiones de código eran poco comunes.Hoy en día, se espera que todos los profesionales las realicen de forma sistemática, y los desarrolladores se están capacitando cada vez más para asumir responsabilidades mayores en la seguridad de las aplicaciones.

Según un estudio de Veracode (diciembre de 2016):

• 40% de los desarrolladores ya incorporan pruebas de seguridad durante la etapa de programación

• 21% lo hacen en la fase de diseño

Cuanto antes se detecten los errores, más baratas y efectivas son las correcciones.

¿Cuál es el gran obstáculo? La falta de talento

Aunque enfocarse en la seguridad es fundamental, la escasez de profesionales calificados hace que sea difícil mantenerse al día frente a las amenazas crecientes.

Encontrar y retener buenos desarrolladores ya es un reto, y aún más difícil es encontrar talentos que también estén enfocados en la seguridad.

¿Una solución? Tercerizar, pero con criterio

Aunque encontrar desarrolladores con mentalidad de seguridad es difícil, sí existen proveedores especializados con ese enfoque.

Al tercerizar, asegúrate de contratar un equipo confiable que realmente priorice la seguridad.Desde el primer contacto, pregunta:

• ¿Cómo priorizan la seguridad?

• ¿Qué métodos de pruebas y control de calidad utilizan?

• ¿Pueden dar ejemplos concretos?

• ¿Están al día con las mejores prácticas actuales?