Ahora.
El hecho de que se esté dando cuenta de que los problemas se encuentran tan tarde en el SDLC es una señal de que necesita contratar personal de seguridad. Pero aquí está la parte difícil. Existen muchas disciplinas diferentes en Seguridad de la información, y es posible que necesite contratar a más de una persona para cubrir las diferentes disciplinas. Por ejemplo, los siguientes son cada conjunto de habilidades diferentes. Puede haber cierta superposición, pero será difícil encontrar a alguien que tenga experiencia en todo lo que tenga la profundidad necesaria para realizar el trabajo correctamente.
- Arquitectura de software
- Arquitectura de red
- Revisión de código
- Pruebas de penetración
- Evaluaciones de vulnerabilidad
- Gestión de riesgos
- educación del desarrollador
También debería haber preguntas sobre dónde desea que madure un programa de seguridad. Si contrata probadores de penetración que solo encuentran una vulnerabilidad tras otra, terminará con desarrolladores que siguen escribiendo código incorrecto, porque sus errores no se detectan durante el proceso de desarrollo. O durante el proceso de diseño. Es realmente difícil para mí decirle a alguien "sí, encontré este grave defecto de diseño. Necesitarás extraer un montón de código para solucionarlo". Eso es financieramente caro. Tiempo humano caro. Y los desarrolladores realmente no obtienen educación de esto.
Cabe señalar que incluso dentro de cada una de estas disciplinas, hay diferentes habilidades. Por ejemplo, la arquitectura del software puede ser alguien que esté integrado en un equipo, pero desde el equipo de seguridad, ayudando a diseñar software. O puede ser alguien que lleve la documentación cerca del final del proceso de diseño, la revise, ayude al equipo a comprender los defectos de diseño. Ambos enfoques tienen sus pros y sus contras. O puede encontrar personas que son buenas en la gestión de riesgos cuando se trata de seguridad física, pero no de seguridad de la información. O personas que son buenas en las evaluaciones de vulnerabilidad, pero no buenas en las pruebas de penetración.
Haga un balance de lo que la compañía necesita ahora, y comience a desarrollar un programa de seguridad alrededor de eso.