Cuatro formas en que las empresas pueden aumentar la demanda de capacitación en seguridad de software

COMENTARIO

Si bien la ciberseguridad siempre ha sido un área crítica para las empresas que escriben su propio software, nos acercamos rápidamente a una tormenta casi perfecta de diversas fuerzas que están elevando el perfil de riesgo de estas empresas a niveles sin precedentes. Organizaciones que no responden con la implementación Seguro por diseño Las tácticas de programación para todo lo que producen corren el riesgo de ser arrastradas por el nuevo océano de amenazas y peligros.

Todos sabemos eso La situación de amenaza ha empeorado constantementecon todo, desde el crimen organizado hasta grupos respaldados por estados-nación que ahora compiten con atacantes solitarios y atacantes profesionales.

Pocas organizaciones pueden responder con éxito cada vez que son atacadas por una amenaza sofisticada, y mucho menos pagar millones en costos de limpieza. Pero la situación es aún más crítica ya que la escasez de profesionales en ciberseguridad es más aguda que nunca. A Estudio de Korn Ferry Se estima que en 2030 habrá 85 millones de puestos de trabajo vacantes en todo el mundo. Y dado que los campos técnicos que requieren habilidades avanzadas –como la ciberseguridad– estarán entre los más afectados, las empresas no pueden simplemente contratar nuevos candidatos para mejorar su postura de seguridad.

Finalmente, el entorno regulatorio comienza a cambiar de maneras potencialmente desfavorables para quienes escriben código. Impulsada por la profunda preocupación de los consumidores cansados ​​de que sus datos sean robados debido a malas prácticas de seguridad, la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) publicó recientemente sus datos. Plan estratégico 2023-2025. El plan CISA exige que la tecnología se diseñe para minimizar la cantidad de vulnerabilidades antes de que se lance al público. Si bien las recomendaciones del plan son actualmente sólo sugerencias, existe una posibilidad muy real de que algunos de sus elementos se codifiquen como ley.

Enfrentando el desafío de una tormenta de seguridad perfecta

Aunque varios factores hacen que la situación sea más compleja que nunca, las empresas que crean su propio software se encuentran en una posición única para enfrentar el nuevo desafío aprovechando un recurso increíble que ya tienen a su disposición: sus desarrolladores. Al empoderar, mejorar y recapacitar a sus desarrolladores, las empresas pueden ayudar a mejorar su postura de seguridad, escribir código más seguro con menos vulnerabilidades y cumplir con los requisitos regulatorios antes de que dejen de ser negociables.

A continuación presentamos cuatro formas en que las empresas avanzadas e inteligentes ya están logrando este importante objetivo.

Determinación de los criterios de éxito reales.

El entrenamiento sin objetivos claramente definidos es mínimamente efectivo para mejorar las habilidades. Al implementar un buen programa de capacitación en ciberseguridad, debe centrarse específicamente en impulsores y objetivos comerciales predeterminados. Por ejemplo, según nuestra experiencia, el cumplimiento, la mitigación de riesgos y la productividad son los tres impulsores comerciales más comunes. Para definir mejor un buen programa de capacitación, se deben identificar con precisión los objetivos deseados después de la capacitación.

Identificar campeones de seguridad

Un experto en seguridad no es necesariamente el mejor programador, aunque tener estas habilidades puede resultar útil. Los mejores profesionales de la seguridad son aquellos del equipo de desarrollo que tienen un interés activo en la seguridad y el deseo de ayudar a otros a aprender las mejores prácticas y técnicas más recientes.

Las empresas más exitosas dedican tiempo a identificar a sus defensores, pero los programas sin defensores corren el riesgo de nunca alcanzar objetivos comerciales definidos a largo plazo.

Implementar incentivos

La verdad es que los programas de capacitación y mejora de habilidades, al menos inicialmente, impondrán mayores cargas de trabajo a los desarrolladores que ya están ocupados. Esto puede ser particularmente cierto para aquellos profesionales de seguridad que ayudan a anclar el programa. Por lo tanto, ofrecer incentivos y recompensas muestra cuán valiosas son las contribuciones de los desarrolladores para la empresa y cuánto se valoran.

Hay diferentes tipos de incentivos. Sí, los presupuestos siempre son ajustados, pero suponiendo un solo incumplimiento o éxito Una filtración de datos puede costar más de 4 millones de dólaresInvertir una fracción de esa cantidad en las personas que trabajan para evitar este destino es una decisión acertada. También hemos descubierto que muchos desarrolladores responden aún mejor a cosas como que se les conceda acceso privilegiado a mejores proyectos, nuevos puestos de trabajo y más libertad para operar con menos restricciones a medida que mejoran sus habilidades.

Medir el éxito

Incluso con un programa bien planificado, pueden surgir obstáculos inesperados o áreas que necesitan optimización. En primer lugar, la mejor medida del éxito es la participación de los desarrolladores. Suponiendo que todo el programa no se haya hecho obligatorio (lo cual desaconsejamos: los desarrolladores deberían querer completar la capacitación y recibir incentivos para participar), entonces la tasa de participación será un factor importante a medir.

Además, debería poder medir su éxito en el logro de objetivos comerciales claramente definidos. Por ejemplo, si los escaneos revelan menos vulnerabilidades en el código escrito después de la capacitación y su objetivo es la reducción de riesgos, el programa de capacitación cumplirá con sus objetivos comerciales principales.

Varios factores están impactando negativamente a las empresas que desarrollan software hoy en día, haciendo que parezca casi imposible capear una tormenta tan perfecta. Sin embargo, aquellos que miran a sus comunidades de desarrolladores y las apoyan con programas de capacitación específicos pueden surgir de la tormenta y tener éxito donde otros pueden fracasar.