Seguridad por diseño (security by design)

 Los productos diseñados con los principios de Seguridad desde el Diseño priorizan la seguridad del cliente como un requisito empresarial fundamental, en lugar de considerarla simplemente una característica técnica. Durante la fase de diseño del ciclo de vida del desarrollo de un producto, las empresas deben implementar los principios de Seguridad desde el Diseño para reducir significativamente el número de vulnerabilidades explotables antes de su lanzamiento al mercado para su uso generalizado. Los productos deben ser seguros de serie, con funciones de seguridad adicionales como la autenticación multifactor (MFA), el registro de actividad y el inicio de sesión único (SSO), disponibles sin coste adicional.

Representación de la seguridad informática desde el diseño. Fuente: “Seguro por diseño” y “seguro por defecto”: ¿palabras de moda o necesidades en la industria de la seguridad?, por Hikvision, 2021

Secure by Design es una filosofía de desarrollo de software que considera la seguridad como un requisito fundamental, en lugar de un elemento añadido a posteriori. En lugar de crear primero un producto y añadirle posteriormente medidas de seguridad, el enfoque Secure by Design exige que las consideraciones de seguridad se integren en todas las fases del ciclo de vida del desarrollo, desde la arquitectura y el diseño hasta la programación, las pruebas, el despliegue y el mantenimiento.

La premisa central es sencilla: si se diseña algo de forma segura desde cero, los usuarios estarán protegidos de forma predeterminada, en lugar de estarlo solo cuando sepan cómo configurar los parámetros adecuados o cuando se subsanen las brechas de seguridad a posteriori. En la práctica, esto implica adoptar principios como el del privilegio mínimo (que consiste en conceder a los usuarios y a los procesos solo el acceso mínimo que necesitan), valores predeterminados seguros (que consisten en suministrar los productos con la configuración más segura lista para usar), una defensa en profundidad (que consiste en superponer varios controles de seguridad para que ningún fallo aislado resulte catastrófico), así como la eliminación de categorías enteras de vulnerabilidades gracias a lenguajes, marcos y modelos de diseño más seguros.

¿Por qué se introdujo el enfoque Secure by Design?

Durante décadas, muchas empresas del sector tecnológico han funcionado según el modelo de “lanzar rápido, parchear después”. Una de las consecuencias de ese legado es que la ciberseguridad puede considerarse simplemente como un centro de costes, algo que ralentiza los lanzamientos y frustra a los desarrolladores. Las repercusiones se están manifestando en tiempo real: vulnerabilidades que se dan a conocer con frecuencia, parches de emergencia elaborados a toda prisa y filtraciones que suponen pérdidas de miles de millones a las organizaciones, al tiempo que exponen los datos personales de cientos de millones de personas.

Integración de la seguridad en el ciclo de desarrollo de software. Fuente: “Security by Design” como estrategia ganadora, por M. Boratto Ferreyra, 2024

Las vulnerabilidades de Ivanti Connect Secure, el exploit Log4Shell en una biblioteca de código abierto de uso generalizado y las vulnerabilidades de MOVEit Transfer han demostrado que la seguridad reactiva es incapaz de seguir el ritmo de unos adversarios decididos. Consciente de este desequilibrio, la CISA (Cybersecurity and Infrastructure Security Agency) de EE. UU., junto con sus Partners internacionales, publicó en 2023 unas directrices oficiales de Secure by Design, en las que instaba a los fabricantes de tecnología a asumir la responsabilidad de los resultados en materia de seguridad de sus clientes.

Los principios de Secure by Design establecen que la responsabilidad en materia de seguridad debe recaer en los proveedores que fabrican los productos, y no en los usuarios finales que los despliegan. Esto ha cambiado la forma en que los proveedores abordan la seguridad de los productos tecnológicos, desplazando el debate de la responsabilidad individual (”los usuarios deben instalar las actualizaciones sin demora”) a la responsabilidad del fabricante (”los proveedores deben comercializar productos que sean seguros desde el primer día”).

Por qué el enfoque Secure by Design es fundamental para las soluciones de ciberseguridad

Nos hace tomar conciencia de una forma contundente: en ocasiones, incluso las herramientas de seguridad pueden convertirse en el punto de entrada de un ataque. Y, sin embargo, esto ocurre con una frecuencia preocupante.

Esto pone de manifiesto una debilidad crítica para muchas organizaciones: una vez que un dispositivo perimetral queda expuesto, los atacantes seguirán atacándolo repetidamente hasta que se haya protegido por completo. Los firewalls y otros sistemas perimetrales pueden seguir siendo vulnerables, incluso aunque haya una corrección disponible. Según un análisis reciente de los incidentes remediados por Sophos, que abarca todas las vulnerabilidades confirmadas que han sido explotadas, el tiempo medio transcurrido entre la publicación de un aviso o un parche por parte del proveedor y la explotación de dicha vulnerabilidad por parte de un atacante ascendió a 322 días, lo que supone casi un año entero de oportunidades para los ciberdelincuentes. Los proveedores de ciberseguridad no pueden dar por sentado que los usuarios van a aplicar los parches de inmediato.

El problema de la posición privilegiada

Las herramientas de ciberseguridad ocupan los puntos más sensibles de la infraestructura de una organización. Los agentes de detección de las soluciones para endpoints se ejecutan con acceso a nivel del kernel. Las plataformas SIEM recopilan registros de todos los sistemas. Los proveedores de identidad custodian las claves de todas las cuentas. Los firewalls se sitúan en la frontera entre las redes de confianza y las que no lo son.

Cuando los productos de seguridad constituyen el núcleo de las defensas de una organización, asumen una mayor responsabilidad a la hora de cumplir los principios de Secure by Design. Los proveedores de nuestro sector desempeñan un papel fundamental a la hora de proteger a los clientes, y esa confianza conlleva unas expectativas en cuanto al diseño de los productos.

Esta posición privilegiada implica que una vulnerabilidad en un producto de seguridad no solo pone en peligro al propio producto, sino también a todo aquello que se supone que debe proteger. Un atacante que compromete un agente de detección y respuesta para endpoints (EDR) no solo se hace con el control de una herramienta, sino que se hace con el control del endpoint con los privilegios más elevados. Una vulnerabilidad en un dispositivo VPN no solo impide el acceso remoto, sino que ofrece al adversario un acceso directo que elude todos los controles perimetrales.

Qué pasa cuando no se respeta el principio de Secure by Design

Las consecuencias de no seguir los principios de Secure by Design están bien documentadas y, si no se aplican correctamente, reducen la seguridad de las empresas, los usuarios e Internet en su conjunto.

• Aumento de los costes derivados de las filtraciones de seguridad. Cuando se detectan vulnerabilidades tras el lanzamiento, subsanarlas resulta exponencialmente más costoso que abordarlas durante la fase de desarrollo.
• Pérdida de confianza. Los clientes, los organismos reguladores y los Partners pierden la confianza en las organizaciones que sufren incidentes de seguridad de forma reiterada. Los daños a la reputación pueden prolongarse durante años después de que se hayan remediado los problemas técnicos.
• Riesgos normativos y legales. Los gobiernos de todo el mundo están endureciendo la normativa en materia de ciberseguridad. La Ley de Ciberresiliencia de la Unión Europea, por ejemplo, impondrá requisitos de seguridad obligatorios a los productos con componentes digitales que se comercialicen en Europa. Las organizaciones que no respeten los principios de Secure by Design se exponen a incurrir en incumplimientos, a multas y a la exclusión del mercado.
• Riesgos para la seguridad nacional. Las infraestructuras críticas, como las redes eléctricas, las plantas de tratamiento de agua y los sistemas sanitarios, dependen cada vez más de dispositivos y sistemas conectados a Internet. En estos entornos, los productos que no están protegidos de forma predeterminada constituyen una puerta abierta para los ciberdelincuentes patrocinados por Estados y para los autores de ransomware, con las consiguientes consecuencias que pueden alterar la vida cotidiana de las personas afectadas.
• Saturación por la gestión de parches Sin unos cimientos sólidos, las organizaciones se ven atrapadas en un círculo vicioso: deben detectar vulnerabilidades, priorizar los parches, probar las actualizaciones e implementar los parches, una y otra vez. Esto consume recursos que podrían destinarse a investigaciones más exhaustivas en materia de ciberseguridad.