Convertir el aburrido cumplimiento del PCI-DSS en un ejercicio significativo para todos: Parte 2: Concientización de los CISO y los desarrolladores
Esta es la segunda parte de una miniserie sobre el cumplimiento de PCI-DSS dentro de una organización. En este último capítulo, detallamos cómo los directores de tecnología de la información y los directores de seguridad informática pueden liderar desde arriba para reducir el riesgo cibernético y hacer que el proceso sea fluido, exitoso... y tal vez un poco divertido para los desarrolladores. (¿Te perdiste la primera parte? Compruébalo aquí y descubra cómo los especialistas de AppSec pueden aprovechar esta oportunidad para obtener mejores resultados de seguridad).
Las mejores prácticas del PCI-DSS son, sin duda, una responsabilidad compartida, pero los CISO y los CTO pueden aprovechar su considerable influencia para crear un programa de seguridad próspero y positivo desde arriba. Son el símbolo de la confianza en materia de ciberseguridad y del sentimiento afín de los usuarios finales, y centrarse en la toma de conciencia desde el principio tiene un poderoso efecto de goteo, ya que ayuda a los desarrolladores y a los profesionales de AppSec a obtener los conocimientos, las herramientas y el apoyo que necesitan para contribuir a una postura de seguridad sólida en la empresa.
Es importante cumplir con las normas, pero cuando todos están de acuerdo con el «por qué», ven los resultados y se nutren de la manera correcta, un programa puede trascender la legislación y convertirse en algo natural.
Los CTO y los CISO desempeñan un papel en la creación de confianza mutua
¿Has estado en un sitio recientemente y te lo has pensado dos veces antes de entregar los datos de tu tarjeta de crédito? A menos que se trate de la aplicación web que, aunque parezca poco fiable, sirve para hacer pedidos en línea en tu pizzería local, es probable que esto no sea algo con lo que te encuentres muy a menudo, especialmente cuando se trata de grandes empresas y nombres muy conocidos del comercio minorista online.
A menos que revelen una violación de datos, por supuesto.
El gigante mundial del alojamiento, Marriott, acaba de revelar su segunda infracción en el espacio de tres años, lo que provocó el robo de 5,2 millones de registros de clientes. Esta vez, todavía no parece que la información de pago haya formado parte del atraco, aunque la catastrófica brecha que cometieron en 2018 se solucionó ese problema; 383 millones de clientes se vieron comprometidos, con 5 millones de números de pasaporte no cifrados robados, así como 8 millones de números de tarjetas de crédito.
Si la confianza de los clientes en la marca Marriott no era ya tan baja como era posible, diría que está cerca de tocar fondo pronto. Este es el tipo de cosas que mantienen despiertos a los CISO por la noche, ya que se sienten como blancos fáciles en la guerra contra las ciberamenazas. Basta con echar un vistazo a Equifax, Yahoo, Sony y Target: estas son solo algunas de las grandes empresas que han sufrido infracciones a gran escala, lo que representa el robo de miles de millones de registros de datos, daños por cientos de miles de millones de dólares y agujeros con forma de cliente que se han abierto en sus corazones económicos. Es un desastre para la empresa (Target informó de un Caen beneficios de 440 millones de dólares en el trimestre siguiente a la violación de la ley en 2014), y aunque no se suele responsabilizar a personas individuales (al fin y al cabo, la seguridad del software debería ser una responsabilidad compartida), es algo que no querrías exactamente en un currículum que, por lo demás, sería brillante si trabajabas para estas organizaciones en ese momento.
La falta de un programa de seguridad sólido para lograr el cumplimiento en una organización que se ocupa de los pagos, los datos confidenciales y el oro intangible que es la confianza positiva de los clientes es un indicador de que una empresa no solo está en riesgo, sino que está muy rezagada en materia de innovación.
Todos deberían preocuparse por los problemas de confianza en la relación entre el cliente y la organización.
Además del estrés y la calamidad a los que se enfrentan los departamentos de TI, desarrollo y seguridad después de una violación, el factor de confianza es un elemento importante para el éxito a largo plazo de una empresa nueva o para el crecimiento continuo de una empresa ya establecida. Lo obvio es que puedes perder tu puesto de trabajo si la empresa se enfrenta a una recesión económica como resultado de la pérdida de la fe.
Las regulaciones del PCI-DSS obligan a las empresas a rendir cuentas y, como se indicó anteriormente, ignorar estos planes bien diseñados tiene enormes implicaciones, pero solo son tan buenas como el programa de seguridad que se esté implementando y las personas que trabajan en él. Si los tomas en serio, te mantienes alerta y eres un ejemplo para los demás, entonces te estás diferenciando de una manera muy positiva.
La conciencia lo es todo.
Un programa de concienciación sobre seguridad que fracase hará que la mayoría de los intentos por cumplir con la PCI sean casi inútiles. La concienciación en materia de seguridad en toda la organización constituye la parte más importante de las directrices de mejores prácticas; incluso ofrecen sus propios módulos de formación sobre cómo se puede implementar esto en funciones interfuncionales y cómo se ve esto en las empresas que lo están haciendo bien.
A medida que avanzamos hacia DevSecOps como el estándar de referencia actual en el desarrollo de software seguro, en el que la seguridad como responsabilidad compartida es fundamental, las empresas deben dedicar tiempo, dinero y esfuerzo a garantizar que todos, incluidos los proveedores y contratistas, sean conscientes de la seguridad y sigan las mejores prácticas.
Un desarrollador que se preocupa por la seguridad es un desarrollador que cumple con las normas (y lograrlo no tiene por qué ser aburrido)
Cuando se trata de convertirse en un desarrollador PCI-DSS «certificado», no hay muchas opciones obvias. ¿Por qué? Probablemente porque no puede ser un ejercicio «único».
El AVISPA La organización es una de las mejores del planeta cuando se trata de aprender a frustrar las vulnerabilidades más comunes, y sus 10 principales figuran formalmente en las directrices de PCI-DSS para desarrolladores. Sin embargo, mantener la seguridad como prioridad y perfeccionar las habilidades requiere tiempo y un esfuerzo continuo. Y nadie quiere que esto sea aburrido y que suponga una pérdida de esfuerzo.
Una cultura de seguridad positiva no es algo «bueno» en una organización; si se toman la seguridad en serio, entonces tiene que formar parte del funcionamiento diario de la empresa.
Los desarrolladores están en primera línea de batalla cuando se trata de detener las vulnerabilidades. ¿Están recibiendo el soporte, las herramientas y la formación para cumplir con su parte del acuerdo de seguridad en cumplimiento del PCI-DSS?
La verdad es que la formación adecuada es más fluida; no debería parecer una conferencia y debería ser muy relevante para el trabajo que se realiza todos los días. Además, este tipo de formación práctica es una oportunidad para mejorar sus habilidades, un cambio profesional que solo tiene aspectos positivos para los desarrolladores que se toman en serio la tarea de detener las vulnerabilidades y trabajar con el resto del equipo para producir un código de calidad superior.
¿Quiere poner a prueba sus habilidades de codificación segura ahora mismo? Elige tu misión.
Esta es la segunda parte de una miniserie sobre el cumplimiento de PCI-DSS dentro de una organización. En este último capítulo, detallamos cómo los directores de tecnología de la información y los directores de seguridad informática pueden liderar desde arriba para reducir el riesgo cibernético y hacer que el proceso sea fluido, exitoso... y tal vez un poco divertido para los desarrolladores.
Matias Madou, Ph.D. セキュリティ専門家、研究者、CTO兼共同設立者（Secure Code Warrior ）。Ghent大学でアプリケーションセキュリティの博士号を取得し、静的解析ソリューションに焦点を当てた。その後、米国Fortify社に入社し、開発者が安全なコードを書くことを支援せずに、コードの問題を検出するだけでは不十分であることに気づきました。開発者を支援し、セキュリティの負担を軽減し、お客様の期待を上回る製品を開発することを志すようになった。Team Awesomeの一員としてデスクワークをしていないときは、RSA Conference、BlackHat、DefConなどのカンファレンスでプレゼンテーションをするのが好きである。
Secure Code Warrior ソフトウェア開発ライフサイクル全体を通じてコードを保護し、サイバーセキュリティを最優先事項とする文化を構築するために、貴組織をSecure Code Warrior 。AppSec管理者、開発者、CISO、セキュリティ関連担当者など、あらゆる立場の方々に対し、不安全なコードに関連するリスクを軽減するお手伝いをいたします。
デモを予約する
Matias Madou, Ph.D. セキュリティ専門家、研究者、CTO兼共同設立者（Secure Code Warrior ）。Ghent大学でアプリケーションセキュリティの博士号を取得し、静的解析ソリューションに焦点を当てた。その後、米国Fortify社に入社し、開発者が安全なコードを書くことを支援せずに、コードの問題を検出するだけでは不十分であることに気づきました。開発者を支援し、セキュリティの負担を軽減し、お客様の期待を上回る製品を開発することを志すようになった。Team Awesomeの一員としてデスクワークをしていないときは、RSA Conference、BlackHat、DefConなどのカンファレンスでプレゼンテーションをするのが好きである。
マティアスは、15年以上のソフトウェアセキュリティの実務経験を持つ研究者・開発者です。フォーティファイ・ソフトウェア社や自身の会社（Sensei Security）などでソリューションを開発してきました。キャリアの中で、Matiasは、商用製品につながる複数のアプリケーションセキュリティ研究プロジェクトを主導し、10件以上の特許を取得しています。また、RSAカンファレンス、Black Hat、DefCon、BSIMM、OWASP AppSec、BruConなどの世界的なカンファレンスで定期的に講演を行っているほか、高度なアプリケーションセキュリティトレーニング（courses ）の講師も務めています。
Matiasはゲント大学でコンピュータ工学の博士号を取得し、アプリケーションの内部構造を隠すためのプログラム難読化によるアプリケーションセキュリティを研究しました。
Esta es la segunda parte de una miniserie sobre el cumplimiento de PCI-DSS dentro de una organización. En este último capítulo, detallamos cómo los directores de tecnología de la información y los directores de seguridad informática pueden liderar desde arriba para reducir el riesgo cibernético y hacer que el proceso sea fluido, exitoso... y tal vez un poco divertido para los desarrolladores. (¿Te perdiste la primera parte? Compruébalo aquí y descubra cómo los especialistas de AppSec pueden aprovechar esta oportunidad para obtener mejores resultados de seguridad).
Las mejores prácticas del PCI-DSS son, sin duda, una responsabilidad compartida, pero los CISO y los CTO pueden aprovechar su considerable influencia para crear un programa de seguridad próspero y positivo desde arriba. Son el símbolo de la confianza en materia de ciberseguridad y del sentimiento afín de los usuarios finales, y centrarse en la toma de conciencia desde el principio tiene un poderoso efecto de goteo, ya que ayuda a los desarrolladores y a los profesionales de AppSec a obtener los conocimientos, las herramientas y el apoyo que necesitan para contribuir a una postura de seguridad sólida en la empresa.
Es importante cumplir con las normas, pero cuando todos están de acuerdo con el «por qué», ven los resultados y se nutren de la manera correcta, un programa puede trascender la legislación y convertirse en algo natural.
Los CTO y los CISO desempeñan un papel en la creación de confianza mutua
¿Has estado en un sitio recientemente y te lo has pensado dos veces antes de entregar los datos de tu tarjeta de crédito? A menos que se trate de la aplicación web que, aunque parezca poco fiable, sirve para hacer pedidos en línea en tu pizzería local, es probable que esto no sea algo con lo que te encuentres muy a menudo, especialmente cuando se trata de grandes empresas y nombres muy conocidos del comercio minorista online.
A menos que revelen una violación de datos, por supuesto.
El gigante mundial del alojamiento, Marriott, acaba de revelar su segunda infracción en el espacio de tres años, lo que provocó el robo de 5,2 millones de registros de clientes. Esta vez, todavía no parece que la información de pago haya formado parte del atraco, aunque la catastrófica brecha que cometieron en 2018 se solucionó ese problema; 383 millones de clientes se vieron comprometidos, con 5 millones de números de pasaporte no cifrados robados, así como 8 millones de números de tarjetas de crédito.
Si la confianza de los clientes en la marca Marriott no era ya tan baja como era posible, diría que está cerca de tocar fondo pronto. Este es el tipo de cosas que mantienen despiertos a los CISO por la noche, ya que se sienten como blancos fáciles en la guerra contra las ciberamenazas. Basta con echar un vistazo a Equifax, Yahoo, Sony y Target: estas son solo algunas de las grandes empresas que han sufrido infracciones a gran escala, lo que representa el robo de miles de millones de registros de datos, daños por cientos de miles de millones de dólares y agujeros con forma de cliente que se han abierto en sus corazones económicos. Es un desastre para la empresa (Target informó de un Caen beneficios de 440 millones de dólares en el trimestre siguiente a la violación de la ley en 2014), y aunque no se suele responsabilizar a personas individuales (al fin y al cabo, la seguridad del software debería ser una responsabilidad compartida), es algo que no querrías exactamente en un currículum que, por lo demás, sería brillante si trabajabas para estas organizaciones en ese momento.
La falta de un programa de seguridad sólido para lograr el cumplimiento en una organización que se ocupa de los pagos, los datos confidenciales y el oro intangible que es la confianza positiva de los clientes es un indicador de que una empresa no solo está en riesgo, sino que está muy rezagada en materia de innovación.
Todos deberían preocuparse por los problemas de confianza en la relación entre el cliente y la organización.
Además del estrés y la calamidad a los que se enfrentan los departamentos de TI, desarrollo y seguridad después de una violación, el factor de confianza es un elemento importante para el éxito a largo plazo de una empresa nueva o para el crecimiento continuo de una empresa ya establecida. Lo obvio es que puedes perder tu puesto de trabajo si la empresa se enfrenta a una recesión económica como resultado de la pérdida de la fe.
Las regulaciones del PCI-DSS obligan a las empresas a rendir cuentas y, como se indicó anteriormente, ignorar estos planes bien diseñados tiene enormes implicaciones, pero solo son tan buenas como el programa de seguridad que se esté implementando y las personas que trabajan en él. Si los tomas en serio, te mantienes alerta y eres un ejemplo para los demás, entonces te estás diferenciando de una manera muy positiva.
La conciencia lo es todo.
Un programa de concienciación sobre seguridad que fracase hará que la mayoría de los intentos por cumplir con la PCI sean casi inútiles. La concienciación en materia de seguridad en toda la organización constituye la parte más importante de las directrices de mejores prácticas; incluso ofrecen sus propios módulos de formación sobre cómo se puede implementar esto en funciones interfuncionales y cómo se ve esto en las empresas que lo están haciendo bien.
A medida que avanzamos hacia DevSecOps como el estándar de referencia actual en el desarrollo de software seguro, en el que la seguridad como responsabilidad compartida es fundamental, las empresas deben dedicar tiempo, dinero y esfuerzo a garantizar que todos, incluidos los proveedores y contratistas, sean conscientes de la seguridad y sigan las mejores prácticas.
Un desarrollador que se preocupa por la seguridad es un desarrollador que cumple con las normas (y lograrlo no tiene por qué ser aburrido)
Cuando se trata de convertirse en un desarrollador PCI-DSS «certificado», no hay muchas opciones obvias. ¿Por qué? Probablemente porque no puede ser un ejercicio «único».
El AVISPA La organización es una de las mejores del planeta cuando se trata de aprender a frustrar las vulnerabilidades más comunes, y sus 10 principales figuran formalmente en las directrices de PCI-DSS para desarrolladores. Sin embargo, mantener la seguridad como prioridad y perfeccionar las habilidades requiere tiempo y un esfuerzo continuo. Y nadie quiere que esto sea aburrido y que suponga una pérdida de esfuerzo.
Una cultura de seguridad positiva no es algo «bueno» en una organización; si se toman la seguridad en serio, entonces tiene que formar parte del funcionamiento diario de la empresa.
Los desarrolladores están en primera línea de batalla cuando se trata de detener las vulnerabilidades. ¿Están recibiendo el soporte, las herramientas y la formación para cumplir con su parte del acuerdo de seguridad en cumplimiento del PCI-DSS?
La verdad es que la formación adecuada es más fluida; no debería parecer una conferencia y debería ser muy relevante para el trabajo que se realiza todos los días. Además, este tipo de formación práctica es una oportunidad para mejorar sus habilidades, un cambio profesional que solo tiene aspectos positivos para los desarrolladores que se toman en serio la tarea de detener las vulnerabilidades y trabajar con el resto del equipo para producir un código de calidad superior.
¿Quiere poner a prueba sus habilidades de codificación segura ahora mismo? Elige tu misión.
Esta es la segunda parte de una miniserie sobre el cumplimiento de PCI-DSS dentro de una organización. En este último capítulo, detallamos cómo los directores de tecnología de la información y los directores de seguridad informática pueden liderar desde arriba para reducir el riesgo cibernético y hacer que el proceso sea fluido, exitoso... y tal vez un poco divertido para los desarrolladores. (¿Te perdiste la primera parte? Compruébalo aquí y descubra cómo los especialistas de AppSec pueden aprovechar esta oportunidad para obtener mejores resultados de seguridad).
Las mejores prácticas del PCI-DSS son, sin duda, una responsabilidad compartida, pero los CISO y los CTO pueden aprovechar su considerable influencia para crear un programa de seguridad próspero y positivo desde arriba. Son el símbolo de la confianza en materia de ciberseguridad y del sentimiento afín de los usuarios finales, y centrarse en la toma de conciencia desde el principio tiene un poderoso efecto de goteo, ya que ayuda a los desarrolladores y a los profesionales de AppSec a obtener los conocimientos, las herramientas y el apoyo que necesitan para contribuir a una postura de seguridad sólida en la empresa.
Es importante cumplir con las normas, pero cuando todos están de acuerdo con el «por qué», ven los resultados y se nutren de la manera correcta, un programa puede trascender la legislación y convertirse en algo natural.
Los CTO y los CISO desempeñan un papel en la creación de confianza mutua
¿Has estado en un sitio recientemente y te lo has pensado dos veces antes de entregar los datos de tu tarjeta de crédito? A menos que se trate de la aplicación web que, aunque parezca poco fiable, sirve para hacer pedidos en línea en tu pizzería local, es probable que esto no sea algo con lo que te encuentres muy a menudo, especialmente cuando se trata de grandes empresas y nombres muy conocidos del comercio minorista online.
A menos que revelen una violación de datos, por supuesto.
El gigante mundial del alojamiento, Marriott, acaba de revelar su segunda infracción en el espacio de tres años, lo que provocó el robo de 5,2 millones de registros de clientes. Esta vez, todavía no parece que la información de pago haya formado parte del atraco, aunque la catastrófica brecha que cometieron en 2018 se solucionó ese problema; 383 millones de clientes se vieron comprometidos, con 5 millones de números de pasaporte no cifrados robados, así como 8 millones de números de tarjetas de crédito.
Si la confianza de los clientes en la marca Marriott no era ya tan baja como era posible, diría que está cerca de tocar fondo pronto. Este es el tipo de cosas que mantienen despiertos a los CISO por la noche, ya que se sienten como blancos fáciles en la guerra contra las ciberamenazas. Basta con echar un vistazo a Equifax, Yahoo, Sony y Target: estas son solo algunas de las grandes empresas que han sufrido infracciones a gran escala, lo que representa el robo de miles de millones de registros de datos, daños por cientos de miles de millones de dólares y agujeros con forma de cliente que se han abierto en sus corazones económicos. Es un desastre para la empresa (Target informó de un Caen beneficios de 440 millones de dólares en el trimestre siguiente a la violación de la ley en 2014), y aunque no se suele responsabilizar a personas individuales (al fin y al cabo, la seguridad del software debería ser una responsabilidad compartida), es algo que no querrías exactamente en un currículum que, por lo demás, sería brillante si trabajabas para estas organizaciones en ese momento.
La falta de un programa de seguridad sólido para lograr el cumplimiento en una organización que se ocupa de los pagos, los datos confidenciales y el oro intangible que es la confianza positiva de los clientes es un indicador de que una empresa no solo está en riesgo, sino que está muy rezagada en materia de innovación.
Todos deberían preocuparse por los problemas de confianza en la relación entre el cliente y la organización.
Además del estrés y la calamidad a los que se enfrentan los departamentos de TI, desarrollo y seguridad después de una violación, el factor de confianza es un elemento importante para el éxito a largo plazo de una empresa nueva o para el crecimiento continuo de una empresa ya establecida. Lo obvio es que puedes perder tu puesto de trabajo si la empresa se enfrenta a una recesión económica como resultado de la pérdida de la fe.
Las regulaciones del PCI-DSS obligan a las empresas a rendir cuentas y, como se indicó anteriormente, ignorar estos planes bien diseñados tiene enormes implicaciones, pero solo son tan buenas como el programa de seguridad que se esté implementando y las personas que trabajan en él. Si los tomas en serio, te mantienes alerta y eres un ejemplo para los demás, entonces te estás diferenciando de una manera muy positiva.
La conciencia lo es todo.
Un programa de concienciación sobre seguridad que fracase hará que la mayoría de los intentos por cumplir con la PCI sean casi inútiles. La concienciación en materia de seguridad en toda la organización constituye la parte más importante de las directrices de mejores prácticas; incluso ofrecen sus propios módulos de formación sobre cómo se puede implementar esto en funciones interfuncionales y cómo se ve esto en las empresas que lo están haciendo bien.
A medida que avanzamos hacia DevSecOps como el estándar de referencia actual en el desarrollo de software seguro, en el que la seguridad como responsabilidad compartida es fundamental, las empresas deben dedicar tiempo, dinero y esfuerzo a garantizar que todos, incluidos los proveedores y contratistas, sean conscientes de la seguridad y sigan las mejores prácticas.
Un desarrollador que se preocupa por la seguridad es un desarrollador que cumple con las normas (y lograrlo no tiene por qué ser aburrido)
Cuando se trata de convertirse en un desarrollador PCI-DSS «certificado», no hay muchas opciones obvias. ¿Por qué? Probablemente porque no puede ser un ejercicio «único».
El AVISPA La organización es una de las mejores del planeta cuando se trata de aprender a frustrar las vulnerabilidades más comunes, y sus 10 principales figuran formalmente en las directrices de PCI-DSS para desarrolladores. Sin embargo, mantener la seguridad como prioridad y perfeccionar las habilidades requiere tiempo y un esfuerzo continuo. Y nadie quiere que esto sea aburrido y que suponga una pérdida de esfuerzo.
Una cultura de seguridad positiva no es algo «bueno» en una organización; si se toman la seguridad en serio, entonces tiene que formar parte del funcionamiento diario de la empresa.
Los desarrolladores están en primera línea de batalla cuando se trata de detener las vulnerabilidades. ¿Están recibiendo el soporte, las herramientas y la formación para cumplir con su parte del acuerdo de seguridad en cumplimiento del PCI-DSS?
La verdad es que la formación adecuada es más fluida; no debería parecer una conferencia y debería ser muy relevante para el trabajo que se realiza todos los días. Además, este tipo de formación práctica es una oportunidad para mejorar sus habilidades, un cambio profesional que solo tiene aspectos positivos para los desarrolladores que se toman en serio la tarea de detener las vulnerabilidades y trabajar con el resto del equipo para producir un código de calidad superior.
¿Quiere poner a prueba sus habilidades de codificación segura ahora mismo? Elige tu misión.
以下のリンクをクリックして、このリソースのPDFをダウンロードしてください。
Secure Code Warrior ソフトウェア開発ライフサイクル全体を通じてコードを保護し、サイバーセキュリティを最優先事項とする文化を構築するために、貴組織をSecure Code Warrior 。AppSec管理者、開発者、CISO、セキュリティ関連担当者など、あらゆる立場の方々に対し、不安全なコードに関連するリスクを軽減するお手伝いをいたします。
報告書を見るデモを予約する
Matias Madou, Ph.D. セキュリティ専門家、研究者、CTO兼共同設立者（Secure Code Warrior ）。Ghent大学でアプリケーションセキュリティの博士号を取得し、静的解析ソリューションに焦点を当てた。その後、米国Fortify社に入社し、開発者が安全なコードを書くことを支援せずに、コードの問題を検出するだけでは不十分であることに気づきました。開発者を支援し、セキュリティの負担を軽減し、お客様の期待を上回る製品を開発することを志すようになった。Team Awesomeの一員としてデスクワークをしていないときは、RSA Conference、BlackHat、DefConなどのカンファレンスでプレゼンテーションをするのが好きである。
マティアスは、15年以上のソフトウェアセキュリティの実務経験を持つ研究者・開発者です。フォーティファイ・ソフトウェア社や自身の会社（Sensei Security）などでソリューションを開発してきました。キャリアの中で、Matiasは、商用製品につながる複数のアプリケーションセキュリティ研究プロジェクトを主導し、10件以上の特許を取得しています。また、RSAカンファレンス、Black Hat、DefCon、BSIMM、OWASP AppSec、BruConなどの世界的なカンファレンスで定期的に講演を行っているほか、高度なアプリケーションセキュリティトレーニング（courses ）の講師も務めています。
Matiasはゲント大学でコンピュータ工学の博士号を取得し、アプリケーションの内部構造を隠すためのプログラム難読化によるアプリケーションセキュリティを研究しました。
Esta es la segunda parte de una miniserie sobre el cumplimiento de PCI-DSS dentro de una organización. En este último capítulo, detallamos cómo los directores de tecnología de la información y los directores de seguridad informática pueden liderar desde arriba para reducir el riesgo cibernético y hacer que el proceso sea fluido, exitoso... y tal vez un poco divertido para los desarrolladores. (¿Te perdiste la primera parte? Compruébalo aquí y descubra cómo los especialistas de AppSec pueden aprovechar esta oportunidad para obtener mejores resultados de seguridad).
Las mejores prácticas del PCI-DSS son, sin duda, una responsabilidad compartida, pero los CISO y los CTO pueden aprovechar su considerable influencia para crear un programa de seguridad próspero y positivo desde arriba. Son el símbolo de la confianza en materia de ciberseguridad y del sentimiento afín de los usuarios finales, y centrarse en la toma de conciencia desde el principio tiene un poderoso efecto de goteo, ya que ayuda a los desarrolladores y a los profesionales de AppSec a obtener los conocimientos, las herramientas y el apoyo que necesitan para contribuir a una postura de seguridad sólida en la empresa.
Es importante cumplir con las normas, pero cuando todos están de acuerdo con el «por qué», ven los resultados y se nutren de la manera correcta, un programa puede trascender la legislación y convertirse en algo natural.
Los CTO y los CISO desempeñan un papel en la creación de confianza mutua
¿Has estado en un sitio recientemente y te lo has pensado dos veces antes de entregar los datos de tu tarjeta de crédito? A menos que se trate de la aplicación web que, aunque parezca poco fiable, sirve para hacer pedidos en línea en tu pizzería local, es probable que esto no sea algo con lo que te encuentres muy a menudo, especialmente cuando se trata de grandes empresas y nombres muy conocidos del comercio minorista online.
A menos que revelen una violación de datos, por supuesto.
El gigante mundial del alojamiento, Marriott, acaba de revelar su segunda infracción en el espacio de tres años, lo que provocó el robo de 5,2 millones de registros de clientes. Esta vez, todavía no parece que la información de pago haya formado parte del atraco, aunque la catastrófica brecha que cometieron en 2018 se solucionó ese problema; 383 millones de clientes se vieron comprometidos, con 5 millones de números de pasaporte no cifrados robados, así como 8 millones de números de tarjetas de crédito.
Si la confianza de los clientes en la marca Marriott no era ya tan baja como era posible, diría que está cerca de tocar fondo pronto. Este es el tipo de cosas que mantienen despiertos a los CISO por la noche, ya que se sienten como blancos fáciles en la guerra contra las ciberamenazas. Basta con echar un vistazo a Equifax, Yahoo, Sony y Target: estas son solo algunas de las grandes empresas que han sufrido infracciones a gran escala, lo que representa el robo de miles de millones de registros de datos, daños por cientos de miles de millones de dólares y agujeros con forma de cliente que se han abierto en sus corazones económicos. Es un desastre para la empresa (Target informó de un Caen beneficios de 440 millones de dólares en el trimestre siguiente a la violación de la ley en 2014), y aunque no se suele responsabilizar a personas individuales (al fin y al cabo, la seguridad del software debería ser una responsabilidad compartida), es algo que no querrías exactamente en un currículum que, por lo demás, sería brillante si trabajabas para estas organizaciones en ese momento.
La falta de un programa de seguridad sólido para lograr el cumplimiento en una organización que se ocupa de los pagos, los datos confidenciales y el oro intangible que es la confianza positiva de los clientes es un indicador de que una empresa no solo está en riesgo, sino que está muy rezagada en materia de innovación.
Todos deberían preocuparse por los problemas de confianza en la relación entre el cliente y la organización.
Además del estrés y la calamidad a los que se enfrentan los departamentos de TI, desarrollo y seguridad después de una violación, el factor de confianza es un elemento importante para el éxito a largo plazo de una empresa nueva o para el crecimiento continuo de una empresa ya establecida. Lo obvio es que puedes perder tu puesto de trabajo si la empresa se enfrenta a una recesión económica como resultado de la pérdida de la fe.
Las regulaciones del PCI-DSS obligan a las empresas a rendir cuentas y, como se indicó anteriormente, ignorar estos planes bien diseñados tiene enormes implicaciones, pero solo son tan buenas como el programa de seguridad que se esté implementando y las personas que trabajan en él. Si los tomas en serio, te mantienes alerta y eres un ejemplo para los demás, entonces te estás diferenciando de una manera muy positiva.
La conciencia lo es todo.
Un programa de concienciación sobre seguridad que fracase hará que la mayoría de los intentos por cumplir con la PCI sean casi inútiles. La concienciación en materia de seguridad en toda la organización constituye la parte más importante de las directrices de mejores prácticas; incluso ofrecen sus propios módulos de formación sobre cómo se puede implementar esto en funciones interfuncionales y cómo se ve esto en las empresas que lo están haciendo bien.
A medida que avanzamos hacia DevSecOps como el estándar de referencia actual en el desarrollo de software seguro, en el que la seguridad como responsabilidad compartida es fundamental, las empresas deben dedicar tiempo, dinero y esfuerzo a garantizar que todos, incluidos los proveedores y contratistas, sean conscientes de la seguridad y sigan las mejores prácticas.
Un desarrollador que se preocupa por la seguridad es un desarrollador que cumple con las normas (y lograrlo no tiene por qué ser aburrido)
Cuando se trata de convertirse en un desarrollador PCI-DSS «certificado», no hay muchas opciones obvias. ¿Por qué? Probablemente porque no puede ser un ejercicio «único».
El AVISPA La organización es una de las mejores del planeta cuando se trata de aprender a frustrar las vulnerabilidades más comunes, y sus 10 principales figuran formalmente en las directrices de PCI-DSS para desarrolladores. Sin embargo, mantener la seguridad como prioridad y perfeccionar las habilidades requiere tiempo y un esfuerzo continuo. Y nadie quiere que esto sea aburrido y que suponga una pérdida de esfuerzo.
Una cultura de seguridad positiva no es algo «bueno» en una organización; si se toman la seguridad en serio, entonces tiene que formar parte del funcionamiento diario de la empresa.
Los desarrolladores están en primera línea de batalla cuando se trata de detener las vulnerabilidades. ¿Están recibiendo el soporte, las herramientas y la formación para cumplir con su parte del acuerdo de seguridad en cumplimiento del PCI-DSS?
La verdad es que la formación adecuada es más fluida; no debería parecer una conferencia y debería ser muy relevante para el trabajo que se realiza todos los días. Además, este tipo de formación práctica es una oportunidad para mejorar sus habilidades, un cambio profesional que solo tiene aspectos positivos para los desarrolladores que se toman en serio la tarea de detener las vulnerabilidades y trabajar con el resto del equipo para producir un código de calidad superior.
¿Quiere poner a prueba sus habilidades de codificación segura ahora mismo? Elige tu misión.
目次
Matias Madou, Ph.D. セキュリティ専門家、研究者、CTO兼共同設立者（Secure Code Warrior ）。Ghent大学でアプリケーションセキュリティの博士号を取得し、静的解析ソリューションに焦点を当てた。その後、米国Fortify社に入社し、開発者が安全なコードを書くことを支援せずに、コードの問題を検出するだけでは不十分であることに気づきました。開発者を支援し、セキュリティの負担を軽減し、お客様の期待を上回る製品を開発することを志すようになった。Team Awesomeの一員としてデスクワークをしていないときは、RSA Conference、BlackHat、DefConなどのカンファレンスでプレゼンテーションをするのが好きである。
Secure Code Warrior ソフトウェア開発ライフサイクル全体を通じてコードを保護し、サイバーセキュリティを最優先事項とする文化を構築するために、貴組織をSecure Code Warrior 。AppSec管理者、開発者、CISO、セキュリティ関連担当者など、あらゆる立場の方々に対し、不安全なコードに関連するリスクを軽減するお手伝いをいたします。
デモを予約するダウンロード
%20(1).avif)
.avif)
