La evolución del programa de seguridad de aplicaciones de Datto y BSIMM
La seguridad ha sido, y sigue siendo, uno de los principales enfoques de Datto en nuestro esfuerzo por ofrecer las mejores soluciones de su clase a nuestros socios. Dado que la seguridad no se puede lograr de manera aislada y requiere la dedicación y el compromiso de toda la organización, nos esforzamos por buscar continuamente oportunidades para mejorar la colaboración con todas las partes. Esto significa que, en todo momento, contamos con numerosas iniciativas y mejoras de seguridad que se revisan y reordenan según sus prioridades. Ser ágiles nos permite mantenernos flexibles y abiertos a las necesidades de seguridad de nuestros socios y de la comunidad. Como parte de este esfuerzo, Datto ha actualizado recientemente nuestro Programa de Divulgación de Vulnerabilidades (VDP), sobre el cual he escrito aquí. Dada la coyuntura y el tema, me pareció que esta también era una buena oportunidad para compartir un poco de la historia de una de nuestras iniciativas más transformadoras relacionadas con la seguridad en Datto.
El camino hacia la creación de productos seguros con el mejor marco de su clase
En 2019, varios ingenieros de Datto se embarcaron en nuestro proceso del Modelo de Madurez de Seguridad Integrada (BSIMM). Con un equipo formado por dos ingenieros de seguridad integrados y un arquitecto de seguridad, comenzamos a buscar una forma de mejorar de manera integral el programa de seguridad de aplicaciones de Datto de una manera significativa, organizada y medible. Decidimos comenzar utilizando el BSIMM como fuente de inspiración. En consonancia con nuestra cultura ágil, buscábamos iniciativas fáciles de implementar que tuvieran un impacto positivo en la seguridad de nuestros productos. Este fue un primer paso importante, ya que no solo nos dio tiempo para comprender el BSIMM, sino también para empezar a identificar y documentar áreas de oportunidad. Esto nos permitió posteriormente comprender el alcance y la magnitud de parte del trabajo que tanto necesitábamos como queríamos llevar a cabo. A medida que este trabajo comenzó a cobrar impulso, nuestra gerente de programas, Emilyann Fogarty, se involucró y ayudó a dar a conocer el programa, educar al personal y conseguir apoyo para el mismo.
En paralelo a nuestro trabajo con el BSIMM, evaluamos otros marcos de seguridad de aplicaciones para nuestro uso, entre ellos el del NIST y el Open SAMM de OWASP. Si bien reconocemos el valor de estos marcos y es probable que incorporemos elementos de ellos al Marco de Seguridad de Aplicaciones de Datto, estos se basan en la autoevaluación y no ofrecen la opción de una evaluación imparcial por parte de un tercero. Además, estos otros marcos son de naturaleza estática, mientras que la seguridad cambia a un ritmo acelerado. El BSIMM sigue siendo relevante y se mantiene de manera constante, con actualizaciones anuales que incluyen capacidades emergentes que algunos de los mejores programas de seguridad del mundo están empleando para proteger sus aplicaciones.
En ese momento, consideramos que no habría sido suficiente utilizar un marco que no fuera proactivo a la hora de identificar y destacar las capacidades y prácticas de seguridad importantes. Dado que nos regimos por los más altos estándares en nombre de la comunidad MSP, decidimos empezar con el único marco que ofrece el más alto nivel de garantía verificable a través de la evaluación de terceros. Al completar una evaluación BSIMM, Datto se uniría a un grupo de más de 120 organizaciones conscientes de la seguridad, en su mayoría del sector tecnológico y de servicios financieros, entre las que se encuentran Cisco y Paypal, que ayudan a establecer la base de referencia a través de su participación. También convertiría a Datto en el primer y, hasta ahora, único proveedor centrado al 100 % en el canal de TI en convertirse en miembro de este grupo.
Con la ayuda de Emilyann y una comprensión más clara de nuestros objetivos con BSIMM, comenzamos a definir y desarrollar nuestro programa BSIMM más allá del alcance de nuestros productos individuales. En primer lugar, iniciamos el proceso de creación de nuestro «satélite» solicitando voluntarios dentro de los departamentos de ingeniería de software de Datto. Esto marcó el inicio de nuestro programa «Security Champion». Para apoyar y capacitar a este grupo de personas, reclutamos a un grupo de líderes de ingeniería que, en última instancia, se convirtieron en el núcleo de nuestro Grupo de Seguridad de Software. A este grupo se le asignó la tarea de ayudar a gestionar y supervisar el programa BSIMM.
Tuve el privilegio de ser nombrado uno de los primeros «Security Champions» a principios de 2020. Formar parte del equipo de « Autotask Professional Services Automation (PSA) » de Datto me brindó la oportunidad de ver crecer nuestra red de «Security Champions». Lo que comenzó con solo tres miembros del equipo de seguridad se convirtió rápidamente en una red de más de 30 «Security Champions», DevSecOps y otros voluntarios y empleados, integrados y distribuidos (me enorgullece decirlo) en cada uno de nuestros productos. Esta parte de nuestro programa ha alcanzado tal nivel de madurez que, a pesar de que Infocyte fue una adquisición muy reciente para Datto, la discusión sobre la incorporación de un «Security Champion» dedicado se incluyó en los procesos iniciales de diligencia debida y planificación de la asociación.
La próxima generación de seguridad de aplicaciones en Datto
A medida que el alcance y la escala de la iniciativa de seguridad de aplicaciones de Datto seguían creciendo, quedó claro que necesitábamos un equipo más centralizado para ayudar a coordinar este trabajo de seguridad cada vez más acelerado. Así surgió el nuevo departamento de seguridad de aplicaciones de Datto, recientemente formalizado y dedicado exclusivamente a esta tarea. Aunque la seguridad de aplicaciones ya existía dentro de Datto, estaba combinada con el departamento de seguridad ofensiva, lo que significaba que el equipo era responsable tanto de la seguridad de aplicaciones como de la seguridad ofensiva. A medida que Datto seguía creciendo y el trabajo de seguridad de aplicaciones y BSIMM continuaba ampliándose, se hizo evidente la necesidad de dividir la seguridad de aplicaciones en su propio departamento. Esta reestructuración permitió al equipo de Seguridad Ofensiva centrarse en actividades muy específicas como pruebas de penetración, equipos rojos, I+D de exploits e ingeniería social. Esto también permitió a Seguridad de Aplicaciones centrarse exclusivamente en ayudar a nuestros productos a crear software seguro mediante la incorporación de prácticas de seguridad en todas las fases de sus ciclos de vida de desarrollo de software (SDLC).
Después de observar y ayudar a guiar el desarrollo de nuestro programa BSIMM y nuestro satélite de Security Champions, me sentí muy emocionado cuando me pidieron que gestionara y formalizara el nuevo equipo de Seguridad de Aplicaciones. Aprovechando mis muchos años de experiencia trabajando en nuestro equipo de Seguridad Ofensiva, mi experiencia en Ingeniería de Software y mi etapa como Campeón de Seguridad de PSA, mi único objetivo es ayudar a guiar a Datto y a nuestros productos en nuestro esfuerzo por alcanzar y mantener un alto nivel de madurez en materia de seguridad para todos nuestros productos. Además de esta transición, el VDP de Datto también pasó a ser responsabilidad de nuestro departamento de Seguridad de Aplicaciones y se iniciaron conversaciones sobre cómo mejorar los procesos internos del VDP y cómo podría ser el futuro del programa.
¿Cómo se relaciona toda esta información sobre seguridad de aplicaciones con el VDP? La red de campeones de seguridad mencionada anteriormente es ahora responsable directamente de ayudar al equipo de seguridad de aplicaciones en todas las iniciativas relacionadas con la seguridad. También tienen la facultad, dentro de sus propios equipos, de impulsar sus propias iniciativas de seguridad con el apoyo de nuestro equipo de seguridad de aplicaciones y los responsables de ingeniería.
Contar con un programa externo de recompensa por vulnerabilidades (VDP) o de recompensa por errores (BBP) es una nueva actividad de nivel tres de BSIMM, introducida por primera vez en la versión 12 del marco. Gracias a nuestros esfuerzos proactivos y continuos por buscar formas de mejorar la colaboración en materia de seguridad, ya contábamos con un VDP. Debido a nuestra madurez en este ámbito, me invitaron a participar en un panel de expertos en la conferencia BSIMM 2021, específicamente sobre este tema, junto con expertos de Yahoo y Lenovo.
Validación de terceros
La ampliación del papel y las responsabilidades de nuestro departamento de Seguridad de Aplicaciones fue una consecuencia natural de nuestro compromiso de adaptar nuestras defensas para proteger a Datto y a nuestros socios MSP. El equipo de Seguridad de la Información de Datto estuvo monitoreando de cerca el cambiante panorama de amenazas en el canal de TI durante 2018 y 2019, y ya había anticipado que los ataques a la seguridad del software dirigidos a los proveedores de la cadena de suministro de los MSP se convertirían en un problema cada vez mayor. Las actividades que llevamos a cabo durante el año y medio transcurrido nos prepararon para un ecosistema más hostil que se manifestó plenamente en 2021, al que nos referimos como«El año del ataque a la cadena de suministro de los MSP». En medio del caos del canal, el trabajo que habíamos realizado para prepararnos para una seguridad de software verificable culminó con la entrega de nuestra primera evaluación formal BSIMM, realizada por Synopsys para el RMM de Datto.
A pesar de ser un programa nuevo y un departamento nuevo, los resultados de la evaluación de RMM indicaron que Datto cuenta con un nivel de madurez del programa equivalente al de empresas cuyos programas de seguridad de software llevan funcionando 5,7 años. Este fue un gran logro, y aunque me encantaría que el equipo de Seguridad de Aplicaciones se llevara todo el crédito, la realidad es que nuestros productos ya estaban llevando a cabo muchas actividades relacionadas con la seguridad y aplicando las mejores prácticas en un esfuerzo por «hacer lo correcto» y proteger la confidencialidad, integridad y disponibilidad de nuestros socios y sus datos.
Tampoco nos detuvimos ahí. En diciembre de 2021 realizamos una evaluación de Datto Networking con resultados similares. Este año tenemos previsto someter a una evaluación formal de BSIMM a muchos más de nuestros productos. El primero de ellos será nuestro producto de continuidad de negocios, cuya evaluación está programada para comenzar la primera semana de abril de 2022.
Nuestro compromiso continuo con la comunidad MSP
Aunque estamos orgullosos de los resultados de la evaluación y de los avances que han logrado nuestros productos, la seguridad sigue siendo tan importante como siempre. Es el momento de seguir acelerando nuestro compromiso de garantizar que ofrecemos los productos más seguros posibles a nuestros socios. Datto y nuestro equipo de seguridad de aplicaciones acaban de iniciar un ciclo de vida continuo de madurez en materia de seguridad. Es un honor para mí haber tenido la oportunidad de compartir un vistazo al progreso que hemos logrado y espero poder compartir más detalles sobre nuestro trabajo con la comunidad en el futuro.
