Corrigir vulnerabilidades não é suficiente. Precisamos não criá-las

*Por Wagner Elias

Um estudo da TIQS identificou que a maioria das aplicações mais populares apresentam duas ou mais vulnerabilidades de segurança previstas no Owasp Top 10 - O ranking da Open Web Application Security Project (OWASP) que lista as brechas mais críticas, comuns e perigosas quando o assunto é desenvolvimento de projetos web. Com o crescimento de quase 40% da comunidade de desenvolvedores no país e com o aumento de 92% nos ataques de ransomware no Brasil, é preciso indagar: de que forma os novos desenvolvedores estão lidando com as falhas em segurança de aplicações em meio à um setor em constante expansão?

É senso comum que a segurança precisa ser prioridade, mesmo com entregas de softwares com prazos cada vez menores. Quando falamos em segurança de aplicações, queremos dizer três características básicas: confidencialidade, integridade e disponibilidade de dados. Para manter esses requisitos é necessário um nível de maturidade maior para realizar análises manuais. Como o mercado ainda sofre com escassez de mão de obra, todas as áreas de tecnologia estão com déficit para contratação, levando à inserção no mercado de desenvolvedores menos experientes e sem o treinamento correto e necessário para entregar produtos com a qualidade necessária.

Temos visto que a maturidade no setor continua a mesma, ou até menor. Porém, a conscientização é maior! Em períodos que muito se fala em automação e digitalização dos processos, ouso dizer que uma análise automatizada é muito inferior a uma análise manual, uma vez que as soluções tecnológicas, por mais eficientes que sejam, ainda não possuem a mesma especialidade de um profissional revisando o código fonte, a arquitetura e fazendo os testes de penetração e de invasão para verificar se a solução é resiliente frente a um usuário malicioso que pode vir a invadir sua aplicação e se o produto vai se comportar de maneira adequada.

Mas erra quem crê que a segurança das aplicações é um trabalho exclusivo do setor de TI. Uma publicação recente do Gartner evidencia que o papel do líder de segurança cibernética precisa evoluir para acomodar as mudanças, uma vez que os riscos cibernéticos cada vez mais avançam das áreas de TI para um ecossistema mais abrangente dentro das companhias. 

É aí que entra o maior desafio: capacitar toda a equipe de desenvolvedores para avaliar e tratar as vulnerabilidades, entendendo que desenvolver softwares é uma coisa, desenvolver softwares com segurança é outra. A segurança ainda está muito associada ao teste e isso não funciona por um simples motivo: entregar softwares e depois testar aumenta consideravelmente a carga de trabalho de uma equipe que já tem que entregar programas novos todos os dias. Ao encontrar uma brecha de segurança, o trabalho volta para o desenvolvimento para corrigir, um ciclo longo e caro.

Todos os colaboradores devem, primeiramente, entender quais são os riscos associados ao programa em criação e como mitigá-los ainda durante o desenvolvimento. Ainda falta maturidade técnica e estruturação das empresas para lidar com esse desafio. Vemos diversas empresas que já destinam um orçamento para segurança de aplicação, só que esse orçamento é voltado para contratação de ferramentas automatizadas, na maior parte dos casos.

Para falarmos em um maior nível de maturidade em segurança de aplicação, precisamos falar em capacitação, processo, treinamento em geral, automação. Segurança é bem mais complexo do que uma simples lista de afazeres.

*Wagner Elias é CEO da Conviso