Desarrollo seguro: ¿qué es y por qué es importante?

Hay varias razones por las que una empresa es víctima de una fuga de datos en la actualidad. Quizás estaba infectada con malware que se propagó mediante ingeniería artificial. Quizás sea culpa de una mala configuración en un servidor en la nube. Sin embargo, la mayoría de estos incidentes continúan ocurriendo por una razón demasiadamente simple: la falta de cuidado de los desarrolladores durante la producción de sus aplicaciones y sistemas web.

¿Has oído hablar del concepto de desarrollo seguro? Es una estrategia que ha tenido  cada vez más aceptación y se está convirtiendo en un estándar dentro de las empresas que trabajan con el desarrollo de softwares. El desarrollo seguro no es más que un conjunto de prácticas, procesos y herramientas que tienen como objetivo crear un producto que sea seguro desde el principio, tomando en cuenta las preocupaciones de ciberseguridad y adoptando la clásica estrategia de “más vale prevenir que curar”.

Históricamente hablando, la seguridad de la información es una práctica reactiva, y no proactiva. Las aplicaciones y los sistemas generalmente se crean lo más rápido posible y sin ningún cuidado con los errores, que se resuelven más tarde cuando alguien los encuentra. Esta es una estrategia ineficaz hoy en día y puede resultar en incidentes de exposición cibernética que son bastante perjudiciales tanto para la parte financiera como para la imagen de la empresa en cuestión.

Privacidad en primer lugar

Históricamente, el desarrollo de software y aplicaciones no respetaba los estándares de ciberseguridad. Debido al afán de poner un producto en el mercado (muchas veces bajo presión de la gerencia) con todos los recursos posibles, los programadores terminan cometiendo errores que pasan desapercibidos, pero que, en el futuro, pueden convertirse en puertas de entrada para los ciberdelincuentes.

Existen varias posibles vulnerabilidades en una aplicación o sistema web: autenticación insuficiente, falta de criptografía, parámetros que permiten la inyección de código malicioso, mala configuración de los servidores web, etc. Generalmente, después del desarrollo, este tipo de problema suele identificarse solo cuando un actor externo (malicioso, como los delincuentes, o benigno, como los piratas informáticos éticos) encuentra una vulnerabilidad.

De ahí surgen más problemas. A veces, incluso es necesario sacar el producto del mercado para realizar las reparaciones necesarias, además de hacer frente a posibles agentes maliciosos que ya se hayan aprovechado de la brecha para espiar a sus usuarios. En tiempos de la Ley General de Protección de Datos (LGPD), este es un riesgo que definitivamente no puede permitirse asumir.

Ciclo continuo

Como dijimos anteriormente, lo ideal es que el desarrollo seguro no sea más que una serie de procesos que deben adoptarse a lo largo del ciclo de desarrollo de un proyecto, teniendo siempre la seguridad y la privacidad como prioridades. En primer lugar, tenemos la etapa de Gobernanza, donde se plantean los requisitos y necesidades de protección de datos en relación con la naturaleza de la aplicación o sistema que se creará.

Es en la etapa de construcción cuando, según el diseño del producto final, el equipo necesita “predecir” qué riesgos son susceptibles y escribir algunas defensas con anticipación. En la etapa de codificación, lo importante es mantener un cronograma de pruebas rígido, realizando auditorías y observando, en los primeros momentos, si el programa puede ser víctima de algún tipo de ataque.

Finalmente, en la fase de pruebas se realizan análisis más profundos, como examinar la aplicación o el sistema final con la ayuda de un red team, que intentará explotarlo desde la misma perspectiva que un ciberdelincuente. En cuanto a la etapa de operación, se espera que el producto ya esté disponible en el mercado y orientado a la evaluación y actualización continua, para asegurar que la incorporación de más funcionalidades no se conviertan en obstáculos y que no surjan nuevas brechas.

En resumen, el desarrollo seguro es la mentalidad de pensar en la seguridad y en la privacidad al comienzo de un proyecto de desarrollo, incorporando defensas dentro del código fuente y no solo implementando soluciones de seguridad cuando el producto está listo. Es una estrategia fundamental para reducir la incidencia de ciberataques y garantizar la privacidad de sus usuarios.