Secure by Design: integrar la ciberseguridad desde el inicio

«Secure by Design» es una filosofía de desarrollo de software que considera la seguridad como un requisito fundamental, en lugar de un elemento secundario.

En lugar de crear primero un producto y añadirle correcciones de seguridad más tarde, Secure by Design exige que las consideraciones de seguridad se integren en todas las etapas del ciclo de vida del desarrollo, desde la arquitectura y el diseño hasta la codificación, las pruebas, la implementación y el mantenimiento.

La idea central es sencilla: si se crea algo de forma segura desde el principio, los usuarios estarán protegidos de forma predeterminada, en lugar de solo cuando sepan cómo activar los ajustes adecuados o cuando se corrijan las brechas de seguridad a posteriori.

En la práctica, esto significa adoptar varios principios de seguridad fundamentales:

• Privilegio mínimo garantiza que los procesos, los agentes (ya sean de IA o de otro tipo), los contenedores y los servicios del sistema reciban solo el acceso mínimo que necesitan.
• Configuración predeterminada segura garantiza que los productos se comercialicen con la configuración más segura activada de fábrica.
• Defensa en profundidad superpone múltiples controles de seguridad para que ningún fallo aislado resulte catastrófico.

Y las organizaciones pueden reforzar aún más la resiliencia eliminando clases enteras de vulnerabilidades mediante lenguajes, marcos y patrones de diseño más seguros.

¿Por qué se introdujo el enfoque «Secure by Design»?

Durante décadas, muchos actores del sector tecnológico operaron bajo un modelo de «lanzar rápido, parchear después». Una consecuencia de ese legado es que la ciberseguridad puede verse simplemente como un centro de costes, algo que ralentiza los lanzamientos y frustra a los desarrolladores. Las repercusiones se están manifestando en tiempo real: revelaciones constantes de vulnerabilidades, parches de emergencia apresurados y brechas que suponen pérdidas de miles de millones a las organizaciones, al tiempo que exponen los datos personales de cientos de millones de personas.

Las vulnerabilidades de Ivanti Connect Secure, el exploit Log4Shell en una biblioteca de código abierto omnipresente y las vulnerabilidades de MOVEit Transfer demostraron que la seguridad reactiva simplemente no puede seguir el ritmo de adversarios decididos.

Reconociendo este desequilibrio, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. (CISA), junto con partners internacionales, publicó en 2023 unas directrices formales de «Secure by Design», instando a los fabricantes de tecnología a asumir la responsabilidad de los resultados de seguridad de sus clientes.

Los principios de «Secure by Design» sostienen que la responsabilidad de la seguridad debe recaer en los proveedores que crean los productos tecnológicos, no en los usuarios finales que los implementan. Esto exige a los proveedores replantearse cómo priorizan la velocidad y las funciones adicionales, y tratar la seguridad como un requisito de diseño fundamental en lugar de una mejora añadida. Este cambio aleja al sector de culpar a los usuarios por no aplicar los parches a tiempo y lo orienta hacia responsabilizar a los fabricantes de comercializar productos que sean seguros desde el primer día, incluso si eso implica ralentizar la entrega de funciones o rediseñar enfoques heredados para reducir el riesgo sistémico.

Por qué «Secure by Design» es lo más importante para las soluciones de ciberseguridad

Es un recordatorio de que incluso las herramientas de seguridad pueden convertirse a veces en el punto de entrada de un ataque. Sin embargo, esto ocurre con una regularidad alarmante.

Esto pone de relieve una debilidad crítica para muchas organizaciones: una vez que un dispositivo perimetral queda expuesto, los atacantes volverán a él repetidamente hasta que esté totalmente protegido. Los firewalls y otros sistemas perimetrales pueden seguir siendo vulnerables incluso después de que haya una corrección disponible. En todas las vulnerabilidades explotadas confirmadas en un análisis reciente de incidentes que Sophos solucionó, el tiempo medio entre que un proveedor publicaba un aviso o un parche y que un atacante explotaba ese fallo era de 322 días, casi un año completo de oportunidad para los adversarios. Los proveedores de ciberseguridad no pueden dar por sentado que los usuarios van a aplicar los parches de inmediato.

El problema de la posición privilegiada

Las herramientas de ciberseguridad operan en las partes más sensibles y privilegiadas de la infraestructura de una organización. Los agentes de detección de endpoints se ejecutan con acceso a nivel del kernel. Las plataformas SIEM recopilan registros de todos los sistemas. Los proveedores de identidad tienen las claves de todas las cuentas. Los firewalls se sitúan en la frontera entre redes de confianza y no confiables.

Cuando los productos de seguridad se sitúan en el corazón de las defensas de una organización, asumen una mayor responsabilidad de seguir los principios de «Secure by Design». Los proveedores de nuestro sector desempeñan un papel fundamental en la protección de los clientes, y esa confianza conlleva expectativas sobre cómo se diseñan los productos.

Esta posición privilegiada significa que una vulnerabilidad en un producto de seguridad no solo se expone a sí misma, sino que expone todo aquello que estaba diseñado para proteger.

Un atacante que compromete un agente de detección y respuesta en endpoints (EDR) no solo se hace con una herramienta, sino que se hace con el endpoint con los privilegios más altos. Un fallo en un dispositivo VPN no solo interrumpe el acceso remoto, sino que proporciona al adversario un túnel directo que elude todos los controles perimetrales.

¿Qué ocurre cuando se ignora «Secure by Design»?

Las consecuencias de descuidar los principios de «Secure by Design» están bien documentadas y, si no se siguen adecuadamente, dejan a las empresas, a los usuarios y a Internet en su conjunto menos seguros.

Aumento de los costes de las brechas de seguridad. Cuando se descubren vulnerabilidades tras el lanzamiento, solucionarlas es exponencialmente más caro que abordarlas durante el desarrollo.

Erosión de la confianza. Los clientes, los reguladores y los partners pierden la confianza en las organizaciones que sufren incidentes de seguridad repetidos. El daño a la reputación puede durar años más que la corrección técnica.

Exposición regulatoria y legal. Los gobiernos de todo el mundo están endureciendo las regulaciones de ciberseguridad. La Ley de Ciberresiliencia de la Unión Europea, por ejemplo, impondrá requisitos de seguridad obligatorios a los productos con elementos digitales vendidos en Europa. Las organizaciones que ignoran los principios de «Secure by Design» se arriesgan al incumplimiento normativo, a multas y a la exclusión del mercado.

Riesgos para la seguridad nacional. Las infraestructuras críticas (redes eléctricas, tratamiento de aguas, servicios sanitarios) dependen cada vez más de dispositivos y sistemas conectados a Internet. Los productos inseguros por defecto en estos entornos crean brechas para adversarios patrocinados por Estados y operadores de ransomware, con consecuencias potenciales que podrían trastornar la vida cotidiana de las personas.

Fatiga permanente por los parches. Sin una base segura, las organizaciones quedan atrapadas en un bucle reactivo: buscar vulnerabilidades, priorizar parches, probar actualizaciones e implementar correcciones, una y otra vez. Esto agota recursos que podrían dedicarse a investigaciones de ciberseguridad más exhaustivas.

El compromiso de Sophos con «Secure by Design»

El 8 de mayo de 2024, Sophos se convirtió en una de las primeras organizaciones en comprometerse con la iniciativa «Secure by Design» de la CISA, que se centra en siete pilares fundamentales de la seguridad tecnológica y de los productos:

1. Autenticación multifactorial.
2. Contraseñas predeterminadas.
3. Reducción de clases enteras de vulnerabilidades.
4. Parches de seguridad.
5. Política de divulgación de vulnerabilidades.
6. CVE.
7. Evidencia de intrusiones.

En consonancia con nuestros valores organizativos fundamentales en torno a la transparencia, «Secure by Design» ha sido una fuerza rectora a medida que evaluamos y mejoramos continuamente nuestras prácticas de seguridad.

Hemos publicado nuestros compromisos de mejora y compartimos públicamente el progreso que estamos logrando en relación con los siete pilares fundamentales del marco «Secure by Design». Por supuesto, la ciberseguridad está en constante evolución y el trabajo nunca está «terminado». Seguir perfeccionando y mejorando la aplicación de los principios de Secure by Design en toda nuestra cartera es una parte continua (y central) de nuestra filosofía.

Por citar solo un ejemplo, la última versión (v22) de Sophos Firewall amplía aún más las capacidades de Secure by Design de la solución, incluyendo:

• Una nueva función de comprobación de estado para reducir el riesgo de que una configuración incorrecta dé lugar a un posible ataque.
• Un plano de control en contenedores totalmente nuevo, rediseñado para ofrecer la máxima seguridad y escalabilidad, que elimina toda una clase de vulnerabilidades.
• La incorporación de un Sophos XDRLinux Sensor permite a nuestros propios equipos de seguridad supervisar en tiempo real la integridad del sistema de toda nuestra base de clientes para identificar y responder a los ataques más rápidamente.
• Actualizaciones de firmware cifradas y con certificados fijos para garantizar su autenticidad.

En conjunto, los cambios de la v22 y las capacidades ya incorporadas en Sophos Firewall refuerzan la visibilidad forense, el registro de eventos y la vigilancia de protección. Estas mejoras también favorecen una mayor alineación con muchas de las áreas cubiertas por las directrices para dispositivos de red del Centro Nacional de Ciberseguridad del Reino Unido.

Además, nuestro trabajo en la campaña Pacific Rim nos proporcionó una visión de primera mano sobre cómo operan los actores maliciosos decididos y bien dotados de recursos, y lo que realmente se necesita para defenderse de ellos. La campaña reforzó la idea de que los adversarios no esperan a que aparezcan debilidades; buscan activamente atajos de diseño, brechas de configuración y sistemas sin parches en toda la infraestructura global. Esa experiencia moldeó directamente nuestro enfoque «Secure by Design».

Puso de relieve que las defensas modernas deben comenzar por reducir la superficie de ataque a nivel de producto, incorporando valores predeterminados sólidos, reforzando las rutas de autenticación y eliminando las oportunidades de uso indebido mucho antes de que una vulnerabilidad llegue a propagarse.

El camino a seguir

«Secure by Design» no elimina todas las vulnerabilidades, ni exime a las organizaciones de una vigilancia constante. Pero se ha convertido en un pilar fundamental de la ciberseguridad para reducir la superficie de ataque. La cuestión ya no es si «Secure by Design» es una buena idea. Es cuán rápido se adopta.