En el mundo digital actual, el software seguro no es solo una característica, es un requisito. El riesgo de amenazas avanzadas y ataques cibernéticos requiere que los compradores que responsabilicen a los proveedores y proveedores de software cuentas por la seguridad. De lo contrario, podría conducir a mayores riesgos, violaciones de seguridad y daños potenciales al ecosistema digital.
Comprender las responsabilidades de los proveedores de software es esencial. Se debe incorporar la seguridad, no agregar más adelante. Esto requiere un enfoque proactivo para implementar controles y procesos de seguridad antes del desarrollo del código. Las medidas como la revisión de diseño seguro, el modelado de amenazas, las prácticas de codificación seguras, las pruebas rigurosas y la gestión continua de vulnerabilidad son parte de un ciclo de vida de desarrollo de software seguro. Este enfoque proactivo debe asegurar a los compradores que los proveedores de software están comprometidos con la seguridad. Los proveedores de software deben ser transparentes para adoptar facturas de software de materiales (SBOMS): listas detalladas de todos los componentes, incluidas las dependencias de código abierto. Esta transparencia permite a las organizaciones comprender los riesgos asociados con las bibliotecas de terceros y tomar decisiones informadas sobre los riesgos que están dispuestos a aceptar.
Discutamos por qué es importante la responsabilidad. Primero, las vulnerabilidades inherentes en el software de proveedores pueden comprometer los datos confidenciales y las operaciones críticas de las organizaciones. En segundo lugar, explotar con éxito estas vulnerabilidades podría conducir a violaciones de seguridad, exponiendo a las organizaciones a fuertes multas, pasivos legales y daños de reputación. En tercer lugar, abordar las vulnerabilidades en el entorno de producción agrega costos significativos a las políticas de seguridad de las empresas, las prácticas de actualización y cualquier vulnerabilidad o violación descubierta después del lanzamiento. Los riesgos financieros y de reputación de no responsabilizar a los proveedores de software son significativos, lo que lo convierte en un aspecto crítico de la adquisición de software.
Hay varios pasos que los clientes pueden tomar para hacer que la responsabilidad funcione.
- Los compradores deben incluir requisitos de seguridad explícitos en contratos, ordenar el cumplimiento de las mejores prácticas, auditorías de seguridad regulares y protocolos de divulgación de vulnerabilidad. El incumplimiento de estos estándares debe tener consecuencias tangibles, como las sanciones financieras o la terminación del contrato.
- Los compradores deben buscar certificaciones o auditorías independientes para verificar los reclamos de seguridad de un proveedor. Las certificaciones como SOC2, FedRamp o PCI DSS demuestran que un proveedor ha sufrido una evaluación rigurosa. Los compradores también deben solicitar acceso en tiempo real a paneles de seguridad o informes para monitorear la salud de los sistemas de sus proveedores a lo largo del tiempo.
- Los compradores deben evaluar la postura de seguridad del proveedor, el historial de infracciones y la capacidad de cumplir con los requisitos de cumplimiento. Haga cumplir los requisitos para que los proveedores divulguen sus procesos y medidas de seguridad de seguridad de desarrollo de desarrollo de software seguro (SDLC).
- Regulaciones como el Reglamento General de Protección de Datos de la UE (GDPR) y la Certificación del Modelo de Madurez de Ciberseguridad de EE. UU. (CMMC) crean marcos que exigen la responsabilidad entre las cadenas de suministro. Los compradores deben aprovechar estas regulaciones para garantizar el cumplimiento y alentar a los proveedores a alinearse con estándares legales más amplios.
El software seguro ya no es opcional. Los compradores tienen el poder, y la obligación, de responsabilizar a los proveedores y proveedores al exigir estándares más altos, hacer cumplir el cumplimiento a través de contratos y aprovechar los marcos regulatorios. Al hacerlo, protegen sus intereses y contribuyen a un mundo digital seguro.
Aditya K Sood es vicepresidenta de ingeniería de seguridad y estrategia de IA en Aryaka.
Lea más sobre la seguridad de la aplicación y los requisitos de codificación