Puede ser una sorpresa, pero la gesti\u00f3n de secretos se ha convertido en el elefante en la sala de AppSec. Si bien las vulnerabilidades de seguridad como las vulnerabilidades y exposiciones comunes (CVE) a menudo aparecen en los titulares en el mundo de la ciberseguridad, la gesti\u00f3n de secretos sigue siendo un problema que se pasa por alto y que puede tener consecuencias inmediatas e impactantes para la seguridad corporativa. <\/p>\n
Un estudio reciente de GitGuardian encontr\u00f3 que el 75 % de los responsables de la toma de decisiones de TI en los EE. UU. y el Reino Unido informaron que se filtr\u00f3 al menos un secreto de una aplicaci\u00f3n, y el 60 % caus\u00f3 problemas para la empresa o los empleados. Sorprendentemente, menos de la mitad de los encuestados (48 %) confiaba en su capacidad para proteger los secretos de las aplicaciones “en gran medida”.<\/p>\n
El estudio, denominado Voice of Practitioners: El estado de los secretos en AppSec<\/strong> (disponible para descarga gratuita aqu\u00ed<\/a>), proporciona una nueva perspectiva sobre la gesti\u00f3n de secretos, que a menudo se reduce a clich\u00e9s que no reflejan la realidad operativa en los departamentos de ingenier\u00eda. <\/p>\n A pesar de su ubicuidad en las operaciones modernas de nube y desarrollo, los secretos siguen siendo un tema espinoso incluso para las organizaciones m\u00e1s maduras. La multiplicaci\u00f3n de la cantidad de secretos que se usan simult\u00e1neamente dentro del ciclo de desarrollo hace que sea demasiado f\u00e1cil perder el control de las medidas de seguridad s\u00f3lidas y “filtrarse”.<\/p>\n Cuando un secreto se ha filtrado, deja de ser un secreto y es accesible a personas o sistemas no autorizados durante un tiempo determinado. Las filtraciones ocurren principalmente internamente porque los secretos se copian y pegan en archivos de configuraci\u00f3n, archivos de c\u00f3digo fuente, correos electr\u00f3nicos, aplicaciones de mensajer\u00eda y m\u00e1s. Fundamentalmente, si un desarrollador codifica secretos en su c\u00f3digo o archivos de configuraci\u00f3n y el c\u00f3digo se env\u00eda a un repositorio de GitHub, esos secretos tambi\u00e9n se env\u00edan. Otro escenario en el peor de los casos surge cuando un actor malicioso logra poner sus manos en las credenciales filtradas internamente despu\u00e9s del acceso inicial, similar a lo que sucedi\u00f3 el a\u00f1o pasado con Uber<\/a>.<\/p>\n El estudio Voice of Practioners evidencia que el peligro de los secretos expuestos es reconocido por la gran mayor\u00eda de los encuestados. El setenta y cinco por ciento de los encuestados dijo que ocurri\u00f3 una filtraci\u00f3n secreta en su organizaci\u00f3n en el pasado, y el 60 % reconoci\u00f3 que caus\u00f3 problemas graves para la empresa, los empleados o ambos.<\/p>\n Cuando se les pregunt\u00f3 acerca de los puntos de riesgo clave dentro de sus cadenas de suministro de software, el 58 % encontr\u00f3 “c\u00f3digo fuente y repositorios” como el \u00e1rea de riesgo central, con un 53 % para “dependencias de c\u00f3digo abierto” y un 47 % para “secretos codificados”.<\/p>\n Sin embargo, las respuestas indican una brecha significativa en la madurez. Espec\u00edficamente, menos de la mitad de los encuestados (48 %) conf\u00eda en gran medida en su capacidad para proteger los secretos de las aplicaciones:<\/p>\nProtecci\u00f3n de los secretos de las aplicaciones<\/h2>\n
![\"Protecci\u00f3n](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/06\/1686681460_703_Mas-de-la-mitad-de-los-lideres-de-seguridad-no.jpg\" "\\"Protecci\u00f3n")
<\/td>\n<\/tr>\n