최고 경영자, 회장 겸 공동 설립자
피터 다뉴
피터 단히우스는 최고 경영자, 회장, 공동 창립자입니다. Secure Code Warrior .
2020년, Pieter는 SC 어워드 유럽 2020의 다양성 챔피언 부문 최종 후보로 선정되었으며, 업계 최고의 전자 정보 보안 잡지인 사이버 디펜스 매거진(CDM)에서 올해의 최고 경영자로 편집자의 선택을 받았습니다. 2016년에는 호주 에서 가장 멋진 기술 인물(비즈니스 인사이더)의 80위였으며, 올해의 사이버 보안 전문가(AISA - 호주 정보 보안 협회)를 수상했으며 포브스 기술 위원회의 회원입니다.
Pieter는 또한 SANS 연구소의 수석 강사로서 군사, 정부 및 민간 기관이 보안 약점에 대한 조직, 시스템 및 개인을 대상으로 평가하고 평가하는 방법에 대한 공격적인 기술을 교육합니다. 그는 또한 유럽의 사이버 보안 컨설팅 회사인 NVISO의 자문 위원으로도 활동하고 있습니다. 피터슨은 회사를 시작하기 전에 Ernst & Young 및 BAE Systems에서 근무했습니다. 그는 또한 브루콘의 공동 설립자 중 하나입니다, 이 지구상에서 가장 멋진 해킹 컨퍼런스 중 하나.
그는 초기에 정보 보안 경력을 시작했으며 벨기에에서 가장 젊은 사람 중 한 명으로 공인 정보 시스템 보안 전문가 (CISSP) 인증을 받았습니다. 그는 다양한 사이버 보안 인증서(CISA, GCFA, GCIH, GPEN, GWAP)를 수집했으며 현재 최고의 인증 GIAC 보안 전문가(GSE)를 보유한 전 세계적으로 몇 안 되는 인물 중 한 명입니다.
최고 경영자, 회장 겸 공동 설립자
Del esfuerzo del Gobierno australiano por tomarse en serio la ciberseguridad se desprende claramente que se la ha identificado como un área de riesgo clave a nivel nacional, pero ¿su estrategia va lo suficientemente lejos?
Gran parte de la iniciativa en torno a «cambiar a la izquierda», es decir, introducir la seguridad mucho antes en el proceso de desarrollo, simplemente no avanza lo suficiente.
La última orden ejecutiva del Gobierno Federal de los EE. UU. aborda muchos aspectos de la ciberseguridad funcional, pero por primera vez, describe específicamente el impacto de los desarrolladores y la necesidad de que tengan conocimientos y habilidades de seguridad comprobados.
El Instituto Nacional de Estándares y Tecnología (NIST) publicó un libro blanco actualizado en el que se detallan varios planes de acción para reducir las vulnerabilidades del software y el riesgo cibernético.
Podría haber empezado este artículo con todos los datos y cifras que indican una empresa emergente próspera e hipercreciente; son innegablemente impresionantes y la trayectoria actual de nuestra empresa es sólida. Sin embargo, para mí, estas cifras no reflejan lo que más me enorgullece en 2019.
Los hitos de nuestro cumpleaños son un maravilloso recordatorio para reflexionar sobre los frutos de nuestro trabajo, celebrar al equipo y afrontar el año que viene con confianza. Y ahora, siete años después de nuestra creación, me pregunto: ¿lo hemos conseguido? ¿Ya es una empresa real? Por supuesto, hemos alcanzado la madurez, pero espero que nunca perdamos el sentido de curiosidad, pasión y friki que hemos tenido desde el principio.
Esta semana celebramos oficialmente los ocho años de Secure Code Warrior. Por un lado, eso es 350 veces la duración de la misión del Apolo 11, lo que equivale a 45 000 partidos de fútbol o a jugar a Super Mario Odyssey 5696 veces hasta el final. Por otro lado, es solo una trigésima parte de la esperanza de vida de una tortuga gigante (250 años, si te lo estás preguntando). En el mundo de una empresa emergente de alto crecimiento, representa un viaje de muchos giros, lecciones y logros, muchos de los cuales eran inimaginables cuando estábamos elaborando nuestro plan de negocios por primera vez.
Dejar la seguridad de las API al azar es una forma segura de introducir problemas más adelante, con consecuencias potencialmente devastadoras en el peor de los casos y, en el mejor de los casos, con una reelaboración frustrante y un bajo rendimiento.
La idea detrás de las aplicaciones de rastreo de contactos es sólida. Esta tecnología, cuando funciona bien, garantizará que los puntos críticos se detecten rápidamente y que se puedan realizar pruebas exhaustivas, dos componentes esenciales para combatir la propagación de un virus contagioso.
¿Cómo van a escribir código seguro los desarrolladores si nadie les enseña nunca por qué es importante, las consecuencias del código inseguro y, lo que es más importante, cómo evitar que se escriban estas vulnerabilidades en sus respectivos marcos de programación?
Hacia finales del año pasado, la increíble comunidad de MITRE publicó su lista de los 25 errores de software más peligrosos de CWE que afectaron al mundo en 2019. Y la mayor parte no fue ninguna sorpresa.
Nuestra visión es capacitar a los desarrolladores para que sean la primera línea de defensa de su organización haciendo que la seguridad sea altamente visible y proporcionándoles las habilidades y herramientas para escribir código seguro desde el principio.
Capacitar a los desarrolladores para que escriban código seguro desde el principio es una oportunidad para que los CISO obtengan un control proactivo de la difícil situación de seguridad, y cuando existe la posibilidad de introducir mejoras rápidas, fáciles y cuantificables tanto para los equipos de seguridad como para los de desarrollo.
La atención médica podría ser el próximo «gran» campo de batalla de la ciberseguridad, en el que los delincuentes ataquen las mismas máquinas que diagnostican problemas médicos, brindan tratamientos y mantienen la vida.
En ciberseguridad, a menudo somos como cazadores. Nuestros ojos están fijos en el horizonte, buscando la próxima vulnerabilidad emergente. Sin embargo, este enfoque orientado hacia el futuro puede tener el sorprendente efecto de reducir nuestra conciencia general sobre la seguridad.
Estos eventos centrados en los desarrolladores se encuentran entre mis favoritos del calendario; son un recordatorio alentador de la comunidad que trabaja incansablemente para educar y capacitar a los ingenieros y especialistas de software para que defiendan la seguridad en su trabajo.
La verdadera batalla a la que nos enfrentamos no es contra los niños que escriben guiones ni contra los peligrosos sindicatos organizados del cibercrimen, sino que consiste en lograr que más personas se preocupen por las violaciones de datos que se están produciendo.
La seguridad del software siempre es una prioridad para mí, al igual que el peligro muy real que representa nuestro estilo de vida cada vez más digital y de intercambio de información personal. Después de todo, nos encontramos en un territorio en gran medida desregulado, sin supervisión y felizmente ignorado. Estamos en el Lejano Oeste.
Es posible que el énfasis en un enfoque preventivo, en lugar de reactivo, no sea ampliamente entendido fuera del equipo de seguridad, especialmente si no se ha producido un incidente de seguridad grave y grave.
Este año, el Consejo de Normas de Seguridad de la PCI publicó un conjunto completamente nuevo de directrices de seguridad del software como parte de su marco de seguridad del software PCI. Esta actualización tiene como objetivo alinear las mejores prácticas de seguridad del software con el desarrollo de software moderno.
La llegada del favorito digital del momento, el metaverso, añade una nueva y vasta superficie de ataque tanto para las vulnerabilidades a nivel de código como para la ingeniería social. Y simplemente no estamos preparados para la batalla en este nuevo campo de juego que se nutre de humo y espejos.
A medida que los CIO desarrollen agresivamente sus capacidades ágiles empresariales, las habilidades de codificación segura serán un arma de innovación y no tenerlas será un instrumento de destrucción.
Un informe reciente del Centro de Evaluación de Ciberseguridad de Huawei del Reino Unido identificó los principales problemas de seguridad en los procesos de ingeniería de software de Huawei. Sin embargo, es un problema que se puede solucionar.
Si bien es cierto que las iniciativas regulatorias mejorarán y crecerán con el tiempo, si las organizaciones ya están presionando el botón de pánico y comenzando a capacitarse ahora, es posible que se encuentren mal preparadas para el futuro.
El reciente ataque a los repositorios de GitHub pone de relieve un problema muy conocido en la industria de la seguridad: la mayoría de los desarrolladores simplemente no son lo suficientemente conscientes de la seguridad y datos valiosos podrían estar en riesgo en cualquier momento.
Hay muchas soluciones que encuentran vulnerabilidades en el código, pero la seguridad debe poner más énfasis en enseñar a los desarrolladores a seguir las pautas de seguridad que evitarán que cometan estos errores en primer lugar.
Con la llegada del GDPR, así como con la revisión de la estrategia tras un ataque en varias etapas que expuso los datos confidenciales de muchas figuras públicas, así como de servidores del gobierno federal alemán, está claro que la conciencia y la acción en materia de ciberseguridad son una prioridad para los líderes de la región DACH.
La percepción de lo que constituye el acto de codificar de forma segura es objeto de debate. Según una investigación reciente en colaboración con Evans Data, este sentimiento se reveló en blanco sobre negro. La encuesta sobre el estado de la seguridad impulsada por los desarrolladores de 2022 profundiza en las principales ideas y experiencias de 1200 desarrolladores activos, y arroja luz sobre sus actitudes y desafíos en el ámbito de la seguridad.
Si bien la codificación segura debe convertirse en un componente obligatorio de la ingeniería de software en el nivel terciario, algunas universidades están a la vanguardia al ofrecer una formación de primer nivel y priorizar la seguridad como parte del proceso de desarrollo desde el principio.p
Los CISO y CIO creativos e inspiradores tienen el poder de innovar y dar forma a nuestro mundo digital, pero también pueden ser fundamentales para transformar la cultura de seguridad de una organización.
Si bien VxWorks no es un nombre familiar para el consumidor promedio, este producto de software beneficia a muchas personas como usted y yo, todos los días. Y ahora, nos enfrentamos a la posibilidad de que cientos de millones de dispositivos con tecnología VxWorks estén en peligro.
Es esa época especial del año (al menos para nosotros) en la que reflexiono sobre nuestra última vuelta alrededor del sol y lo que se ha hecho en los 365 días anteriores para prepararnos para un nuevo año de crecimiento, lecciones e inevitable imprevisibilidad.
¿No crees que es hora de renovar la seguridad? Es tan simple como cambiar la conversación y hacer que todo sea un poco más positivo (¡sin mencionar que es divertido!) para ambas partes, especialmente para el equipo de desarrollo.
No importa si estás capacitando a la alta dirección en ciberseguridad o ayudando a los desarrolladores en JAVA o C# a proteger sus habilidades de codificación, hay un lugar para la creatividad, la gamificación y la diversión.
El 23 de junio es una entrada especial en el calendario geek, que marca el Día Internacional de la Mujer en la Ingeniería. Esta es nuestra oportunidad de arrojar luz sobre la contribución de las mujeres al desarrollo de software.
La industria de la seguridad del software no es precisamente conocida por sus sentimientos cálidos y confusos, sus observaciones caprichosas y sus comentarios sobre la vida, pero quizás, a medida que envejezco, me encuentro reflexionando sobre el impacto que todos podemos tener en el mundo.
Con el aumento de los ciberataques, que afectan a todos los tipos de organizaciones y sectores, la amenaza de violaciones de datos costosas, embarazosas y que afectan a los resultados es muy real. El problema no se está reduciendo, sino que está creciendo como un tumor.
En nuestro sector, muchos expertos en seguridad han empezado a predecir los temas candentes del año, pero con el robo de más de cinco mil millones de registros de datos confidenciales en 2019, pensamos que sería más preciso predecir lo que no ocurrirá en materia de ciberseguridad en un futuro próximo.
Al ayudar a definir las responsabilidades de nuestras aplicaciones y software dentro de una jerarquía estricta, y al hacer cumplir esas políticas con los mínimos privilegios, podemos asegurarnos de que nuestras aplicaciones y software también sobrevivan y prosperen a pesar del panorama de amenazas que se les presenta.
El plan de movilización de seguridad del software de código abierto representa un paso positivo para la seguridad impulsada por los desarrolladores. Sin embargo, todos debemos hacer un balance y evaluar honestamente si tenemos la madurez suficiente en nuestra organización (y si nuestros equipos de desarrollo tienen el nivel adecuado de conocimientos y habilidades en materia de seguridad) para implementar las mejores y más recientes estrategias defensivas.
Al abordar temas candentes, como cómo aprovechar al máximo el presupuesto de AppSec de una organización, así como varias preguntas difíciles de la audiencia, el panel de líderes en AppSec ofreció una verdadera magia matutina que ayudará a los especialistas en seguridad a crear programas viables dentro de sus organizaciones.
No estamos recibiendo consejos realistas ni las soluciones más rápidas para combatir el ataque continuo que representa la ciberseguridad moderna. Por supuesto, cada violación es diferente a su manera, y existen numerosos vectores de ataque que pueden explotarse en el software vulnerable. Los consejos genéricos factibles serán limitados, pero el enfoque basado en las mejores prácticas parece tener más defectos cada hora.
A principios de este año, el Consejo de Normas de Seguridad de la PCI presentó la versión 4.0 de su Norma de Seguridad de Datos para la Industria de las Tarjetas de Pago (PCI DSS). Si bien las organizaciones no necesitarán cumplir plenamente con la tecnología 4.0 hasta marzo de 2025, esta actualización es la más transformadora hasta la fecha y requerirá que la mayoría de las empresas evalúen (y probablemente actualicen) los complejos procesos de seguridad y los elementos de su oferta tecnológica. Esto se suma a la implementación de una formación de concienciación en materia de seguridad basada en funciones y una educación regular sobre codificación segura para desarrolladores.
La Estrategia Nacional de Ciberseguridad de CISA representa la mejor oportunidad que tenemos para elevar los estándares de software en todos los ámbitos y, finalmente, marcar el comienzo de una nueva era de desarrolladores expertos en seguridad.
Si bien parece inevitable que la tecnología de inteligencia artificial tipo LLM cambie la forma en que abordamos muchos aspectos del trabajo, no solo el desarrollo de software, debemos dar un paso atrás y considerar los riesgos más allá de los titulares. Y como complemento de programación, sus defectos son quizás su atributo más «humano».
Tras el anuncio de financiación de la Serie C, me complace anunciar un paso más en el camino de nuestra empresa. Synopsys, líder del sector de la seguridad, ha dado la bienvenida a una nueva e interesante incorporación a su gama de productos: la formación en seguridad para desarrolladores de Synopsys, impulsada por Secure Code Warrior.
El Plan Estratégico de Ciberseguridad impulsa cambios importantes en la forma en que la mayoría de las organizaciones abordan la ciberseguridad, y los desarrolladores se encuentran en una posición única para ayudar a lograr esos nuevos objetivos.
주요 리눅스 배포판에서 사용되는 데이터 압축 라이브러리 XZ Utils에 위협 행위자가 백도어를 통해 도입한 중대한 취약점(CVE-2024-3094)이 발견되었습니다. 이 심각한 문제로 인해 원격 코드 실행이 가능해져 소프트웨어 빌드 프로세스에 중대한 위험을 초래합니다. 이 결함은 Fedora Rawhide의 초기 버전(5.6.0 및 5.6.1) XZ Utils에 영향을 미치며, 조직들은 긴급히 패치를 적용해야 합니다. 이번 사건은 오픈소스 소프트웨어 유지보수에서 커뮤니티 자원봉사자들의 핵심적 역할을 부각시키며, 소프트웨어 개발 라이프사이클 전반에 걸쳐 보안 관행과 접근 통제를 강화할 필요성을 강조합니다.
El equipo fundador de Secure Code Warrior ha permanecido unido, guiando el barco a través de cada lección, triunfo y revés durante toda una década. Estamos creciendo y estamos preparados para afrontar nuestro próximo capítulo, SCW 2.0, como líderes en la gestión de riesgos para desarrolladores.
La programación de Vibe es como una fiesta de fraternidad universitaria, y la IA es la pieza central de todas las festividades, el barril. Es muy divertido dar rienda suelta, dar rienda suelta a la creatividad y ver adónde puede llevarte la imaginación, pero después de unos cuantos barriles de piedra, beber (o usar la IA) con moderación es, sin duda, la solución más segura a largo plazo.
