Qué es la “seguridad al final”, o security-last, y cuáles son sus consecuencias

De acuerdo con Gartner, el 23% de las organizaciones reconoce que la seguridad continúa siendo el último elemento que se incorpora a los proyectos. Asimismo, según las estimaciones de esta firma consultora, sólo el 42% de las organizaciones utiliza su arquitectura de seguridad como un componente esencial dentro del proceso de diseño.

Efectivamente, la seguridad continúa siendo, en muchos sectores, el último elemento que se incorpora a los proyectos, actuando a menudo más como una auditoría de cierre que como una fase de diseño integral. Esta práctica, comúnmente llamada “seguridad al final”o security-last, ha demostrado ser ineficiente frente a las amenazas actuales, llevando a la industria a promover el concepto de “Seguridad Continua” o shift-left (mover la seguridad a las etapas iniciales). Pero, ¿cuáles son las razones de esta tendencia, sus consecuencias y la evolución hacia un modelo más seguro? 

Según los analistas, a menudo la seguridad se incorpora al final de los proyectos por varios motivos. El primero se debe a la presión por la velocidad de lanzamiento, ya que la necesidad de innovar rápido lleva a priorizar la funcionalidad sobre la seguridad, dejando las revisiones de seguridad para el último minuto.

También se suele pensar que implementar medidas de seguridad desde el inicio ralentiza el desarrollo y aumenta los costos iniciales, aunque la realidad es que corregir vulnerabilidades al final resulta mucho más caro.

También es común que exista un vacío de conocimientos sobre seguridad en los equipos de desarrollo, lo que deriva en una cultura donde la seguridad es vista como “responsabilidad de otra persona” o un equipo externo.

Finalmente está la cultura de desarrollo tradicional, la cual incluyemetodologías antiguas donde era común, y hasta bien visto, posponerla seguridad para después de que el sistema estuviera diseñado y construido. 

Las consecuencias de no integrar la seguridad desde el inicioson varias, y entre las más importantes figura el que los costos de reparación sean elevados, pues los CISO saben que las vulnerabilidades descubiertas en producción son, en promedio, mucho más costosas de solucionar que las detectadas en etapas de diseño o codificación.

Asimismo, se han dado cuenta que al agregar la seguridad al final, es probable que descubran vulnerabilidades críticas justo antes del lanzamiento, generando retrasos o salidas a producción inseguras.

Por si fuera poco, también hay un mayor riesgo de que se produzcan brechas de seguridad, ya que los sistemas pueden no estar blindados contra ataques, dañando la reputación de la empresa. 

Para contrarrestar esto, se promueve el concepto de DevSecOps, donde la seguridad se integra en el ciclo de vida del desarrollo de software (SDLC) desde el principio. 

En esta evolución hacia la Seguridad Continua (ContinuousSecurity) se prioriza la seguridad como requisito empresarial central desde la fase de diseño, un concepto conocido como Secure byDesign.

Asimismo, el consenso de los especialistas sugiere efectuar un Análisis de Amenazas (TAM) que permita identificar riesgos desde las etapas iniciales mediante modelado de amenazas, así como la automatización de las herramientas de seguridad incorporadas en los pipelines de integración y despliegue continuo (CI/CD). 

En resumen, podemos señalar que, si bien la tendencia histórica hasido incorporar la seguridad al final de los proyectos, el panorama actual de amenazas exige que la seguridad sea un elemento transversal y continuo, y no un “pensamiento de último momento”, como lo manifestó uno de los miembros de CISOCLUB hace poco. Como siempre, agradezco sus comentarios.

__________

Por José Luis Becerra, Director Editorial de CISOCLUB, jlbecerra@cisoclub.mx