¿Corre OWASP el riesgo de perder relevancia?

Mientras la Fundación OWASP se adentra en su tercera década de existencia, muchos expertos en seguridad de aplicaciones y colaboradores voluntarios de OWASP afirman que ha llegado el momento de que la organización lleve a cabo algunos cambios importantes para seguir siendo relevante. Esta semana, un grupo de más de 60 miembros destacados de OWASP envió una carta abierta dirigida a la Junta Directiva de OWASP y al director ejecutivo de la fundación, en la que se reclaman cambios sustanciales en la fundación. Muchos de estos cofirmantes eran responsables de proyectos emblemáticos de OWASP, colaboradores vitalicios y antiguos miembros de la Junta Directiva de OWASP.

«OWASP ya no impulsa la innovación», afirma Jeff Williams, cofundador y director técnico de Contrast Security, autor de la primera lista OWASP Top Ten, titular de la cátedra OWASP entre 2001 y 2011, y uno de los firmantes. «El código abierto ha cambiado, y OWASP debe adaptarse a estos cambios prestando un mejor apoyo a los colaboradores».

Entre los firmantes se encontraban también dos miembros actuales de la junta directiva, Glenn ten Cate y Mark Curphey. Aunque Curphey afirma que la carta es fruto de una colaboración conjunta dentro del grupo, también coincide plenamente con a Manifiesto que publicó el año pasado como parte de su exitosa candidatura a un puesto en la junta directiva de 2023. Como fundador de OWASP, Curphey llevaba algún tiempo sin participar directamente en la organización, pero siempre había sido un partidario y defensor de OWASP, al tiempo que se dedicaba a ejercer como profesional de la seguridad, líder de productos de seguridad y empresario en el ámbito de la seguridad de las aplicaciones.

Durante su campaña para la junta directiva, Curphey se centró en los tres puntos principales siguientes:

• modificar el modelo de financiación de OWASP para que se parezca más a la forma en que la Linux Foundation y su Open Software Security Foundation colaboran con los donantes para apoyar su proyecto,
• nombrar a un director de producto, cuya función sea poner en orden los proyectos (y dar prioridad a los de mayor impacto), así como renovar la página web de OWASP para que resulte más accesible para los desarrolladores, y
• cambiar la cultura de OWASP, eliminar la burocracia y aportar más transparencia sobre cómo los proveedores participan (o no) en la misión de OWASP.

La carta abierta sigue dando que hablar muchos de estos puntosmientras reclaman un cambio en la gestión que podría impulsar un esfuerzo drástico en la captación de fondos, que, según creen, podría reportar millones de dólares para contratar a desarrolladores y jefes de proyecto comprometidos.

OWASP entonces y ahora

Cuando se fundó OWASP hace ya mucho tiempo, en el año 2001, se trataba de una labor ardua y apasionada, impulsada por defensores de la seguridad de las aplicaciones que estaban preocupados por el creciente riesgo que suponían para Internet las aplicaciones web inseguras. Querían dar a conocer el problema más allá del círculo cerrado de los expertos en ciberseguridad. Así nació OWASP, con el objetivo de ofrecer formación y recursos no solo a los expertos en seguridad, sino también a los desarrolladores y a los responsables de las empresas.

La idea era proporcionar a las organizaciones directrices técnicas que permitieran a los desarrolladores mejorar sus prácticas de programación y reducir el riesgo de vulnerabilidades en el software que ofrecen. Así nació el OWASP Top 10, la aclamada lista del grupo Los 10 errores más peligrosos en aplicaciones, que se publicó por primera vez en 2003 y que, desde entonces, ha dado lugar a numerosas actualizaciones y sublistas, y que ha impulsado toda una serie de proyectos de código abierto relacionados con la seguridad, así como productos y servicios comerciales.

Muchas cosas han cambiado desde aquellos primeros años. La labor de sensibilización de OWASP sin duda ha dejado huella, y hoy en día el grupo ha crecido y da apoyo a más de 240 grupos locales y a decenas de miles de miembros y participantes en todo el mundo. Organiza toda una serie de eventos locales y globales, así como una serie de proyectos como el Top 10, el Modelo de Madurez de Garantía de Software (SAMM) y el Zed Attack Proxy (ZAP).

Sin embargo, el alcance del trabajo de seguridad de las aplicaciones que hay que realizar se ha ampliado considerablemente, ya que el mundo ha ido mucho más allá de las aplicaciones web y ahora está inundado de aplicaciones móviles, IoT y sistemas embebidos, dispositivos wearables y todo lo que hay entre medias, todo ello impulsado por el software.

Además, el entorno de desarrollo también ha cambiado radicalmente. Las prácticas de desarrollo modernas han adoptado métodos como la integración continua/entrega continua (CI/CD), DevOps y el desarrollo ágil para sustituir los patrones tradicionales de desarrollo en cascada. Los desarrolladores recurren en gran medida a arquitecturas de microservicios y combinan componentes de código abierto para crear su software.

Lamentablemente, a pesar de todos estos cambios, algunas cosas no han cambiado. Muchos de los problemas de ese primer Top 10 de OWASP siguen siendo igual de problemáticos hoy en día y siguen figurando en la lista, entre ellos los fallos de inyección, las configuraciones erróneas y los fallos de autenticación. Sin embargo, ahora estos problemas persistentes, que nunca han desaparecido, se ven agravados por el mayor alcance, la velocidad de desarrollo y la maraña de dependencias de la cadena de suministro de software que se han ido sumando a lo largo de los años.

Llamadas al cambio

En relación con estos factores, muchos miembros de OWASP sostienen que la organización sin ánimo de lucro no ha sabido seguir el ritmo de los cambios en el mundo del desarrollo de software. Afirman que la fundación no respalda las necesidades de la comunidad de OWASP, especialmente en lo que respecta a los proyectos insignia, que abarcan más de una docena de proyectos entre los otros 274 de OWASP.

«Lo que funcionaba en el pasado, ahora simplemente no funciona, y OWASP debe cambiar. Año tras año se han expresado preocupaciones y se han prometido cambios, pero año tras año no se ha hecho nada», se afirma en la carta abierta dirigida a la junta directiva de OWASP y al director general de la fundación. «La brecha entre lo que quieren nuestros proyectos y la comunidad que los rodea, y el apoyo que ofrece OWASP, es cada vez mayor».

Con la publicación de esta última carta, los cofirmantes afirman que algunos de los proyectos más eficaces de OWASP —aquellos en los que confían muchas empresas y productos que utilizan las empresas hoy en día— «operan de forma independiente y, en algunos casos, gestionan sus propios patrocinios, finanzas, sitios web, dominios, plataformas de comunicación y herramientas de desarrollo».

Los firmantes reclaman algunos cambios drásticos en los modelos de financiación y en la gobernanza para que el grupo vuelva a satisfacer las necesidades de los desarrolladores en el contexto de los modelos modernos de entrega de software. Han elaborado una lista de medidas que consta de cinco puntos principales y han instado a la Fundación y a la Junta Directiva a:

1. Elaborar un plan comunitario que dé prioridad a las iniciativas clave y haga referencia al plan de la OSSF
2. Modificar la estructura de gobernanza de la Fundación para «reflejar mejor las necesidades de toda la comunidad de seguridad»
3. Lanzar una campaña de financiación agresiva para recaudar entre 5 y 10 millones de dólares estadounidenses con el fin de remunerar a desarrolladores dedicados, gestores de la comunidad y personal de soporte
4. Mejorar la infraestructura centralizada y los servicios para la comunidad, con el fin de aliviar la presión sobre los proyectos
5. asumir un control más centralizado en la gestión de la cartera de productos y de las actividades de las secciones locales

Williams afirma que firmó porque considera que los cambios exigidos por el grupo son «lamentablemente necesarios».

«OWASP tiene una carencia flagrante: no cuenta con un plan financiero elaborado de abajo arriba en función de las necesidades de los proyectos», afirma. «Sin eso, es imposible recaudar donaciones de forma eficaz. Elaborar un plan de financiación ambicioso, aspirar a conseguir grandes aportaciones y asumir proyectos más ambiciosos es la única forma de hacer avanzar rápidamente a OWASP».

Las realidades del siguiente paso

La cuestión es si la fundación y la comunidad de OWASP están dispuestas y son capaces de llevar a cabo algunos de estos cambios. Según Chenxi Wang, antigua miembro de la junta directiva de OWASP, hay muchos puntos de la propuesta que son «urgentemente necesarios», ya que considera que OWASP se ha convertido en una organización que no hace mucho más que organizar eventos.

«Pero algunos de los otros puntos parecen demasiado ambiciosos para OWASP, que cuenta con una junta directiva formada por voluntarios y un pequeño equipo operativo. Por ejemplo, el punto relativo a la “gestión activa de la cartera de proyectos y de los capítulos” requeriría un esfuerzo considerable en el futuro, algo que la fundación no puede permitirse con los recursos actuales», afirma. «Además, la propuesta de financiar proyectos prioritarios requeriría un cambio en el modelo actual y podría dejar de lado a los proyectos más recientes».

En su opinión, la propuesta exige cambios drásticos en el modelo de financiación, el modelo comunitario y la forma en que se distribuyen los fondos.

«Hacer todo esto de golpe resultará demasiado disruptivo», afirma Wang. «Un enfoque gradual es la única forma de lograrlo».

Por su parte, el director ejecutivo de la Fundación OWASP, Andrew van der Stock, afirma que también está de acuerdo con muchos de los puntos de la carta. Al día siguiente de la publicación de la carta, las propuestas se presentaron en la reunión mensual de la junta directiva de la Fundación. Afirma que la reunión transcurrió satisfactoriamente y está de acuerdo en que, en el marco de su deber fiduciario, la junta directiva debe establecer, en cualquier caso, un plan con prioridades.

«Aparte de la forma en que se presentó, no hay nada en ella con lo que no estemos de acuerdo», afirma sobre la carta. «Creo que elaborar un plan en un plazo de 30 días es, sin duda, factible. Mi mayor preocupación es, en realidad, que no logremos alcanzar los cinco objetivos en el plazo que los proyectos esperan de nosotros».

También se pregunta si los estatutos actuales de la junta directiva y la voluntad de los miembros de pago de la comunidad OWASP permitirán el tipo de cambios en la gobernanza y la financiación que desean los cofirmantes. Por ejemplo, OWASP no está estructurada como la organización OSSF, que actualmente cuenta con una junta directiva formada por miembros que adquieren sus puestos mediante la afiliación de sus empresas y pagan una cantidad considerable para conservarlos. OWASP cuenta actualmente con unos 7 000 miembros de pago, además de las 80 000 personas que participan en la comunidad a través de eventos, reuniones de capítulos y proyectos. Entre estos miembros de pago se incluyen particulares que pagan 50 dólares al año, miembros vitalicios que pagan 500 dólares y patrocinadores corporativos que pagan 5.000 dólares o más, en función del nivel de apoyo que deseen aportar.

«No creo que nuestra comunidad apoyara este cambio. Es una de esas cosas que, en mi opinión, resultarán un poco poco realistas», afirma van der Stock, quien añade que este tipo de cambios requerirían una modificación de los estatutos de OWASP, que ya se encuentran en las últimas fases de revisión para convertirlos en unos estatutos de organización sin ánimo de lucro «bastante estandarizados», como respuesta al descubrimiento, hace aproximadamente un año, de que los estatutos originales no eran válidos según la Ley General de Sociedades de Delaware. Este mero trámite rutinario ya requirió un proceso exhaustivo que incluyó una votación por parte de todos los miembros».

No obstante, van der Stock afirma que OWASP podría prosperar sin duda alguna si la junta directiva encontrara la forma de recaudar más fondos.

«Si pudiéramos recibir entre 5 y 10 millones de dólares al año, podríamos hacer muchas cosas. Si pudiéramos conseguir que la gente trabajara a tiempo completo en los proyectos, estos se llevarían a cabo mucho más rápido y probablemente con una calidad mucho mayor», afirma, señalando que, en la actualidad, la fundación solo cuenta con cinco empleados en plantilla. «Creo que el único punto de fricción y lo único que podría ser objeto de controversia es el modelo de gobernanza. Creo que nuestra comunidad tendría mucho que decir al respecto».

Esta es también la preocupación de Williams.

«Me preocupa que, dadas las estructuras de gobernanza actuales, OWASP no pueda responder a la carta», afirma.

Sin embargo, según Curphey, la reunión de la junta directiva fue un buen punto de partida para exponer la propuesta de los Changemakers y plantearse los próximos pasos.

«La reunión de la junta directiva ha sido positiva», afirma. «Aún queda un largo camino por recorrer, pero ya veremos. Tuve que marcharme antes para asistir a otra reunión de la junta directiva, pero cuando me fui, me sentí muy satisfecho con los avances y con la voluntad de la actual junta directiva de adaptarse y cambiar».

¿Por qué deberían preocuparse los CISO por esto?

La gran pregunta para los CISO y los expertos en seguridad es si estas disputas internas en OWASP les importan realmente. Según Wang, las decisiones y medidas que adopta hoy la fundación no afectan necesariamente de forma directa a los CISO en este momento. Pero podrían tener un efecto en cadena a largo plazo que influya en el tipo de opciones tecnológicas de las que dispondrán para ayudar a los desarrolladores a largo plazo.

«Esto podría traducirse en un mayor apoyo a las nuevas tecnologías, lo que, en última instancia, podría influir en la forma en que los profesionales utilizan dichas tecnologías», afirma.