El peligro de no tener una política de componentes de aplicaciones

Bien sea por ataques desde fuera, o descuidos desde dentro, las empresas tiene  que lidiar con cada vez más problemas de seguridad. Y al igual que ocurre con los sistemas operativos, las bases de datos o las aplicaciones más populares, los ciberdelincuentes han encontrado otro telón de Aquiles, los componentes de código abierto.

Casi el 80%  de las aplicaciones que los desarrolladores están creando se basan en componentes de código abierto, pero las empresas siguen trabajando para establecer una política que asegure el correcto uso de los componentes.

Un estudio realizado por Sonatype asegura que el 76% de las organizaciones no cuentan con una política de gestión de componentes, lo que representa una enorme agujero de seguridad para dichas empresas.

En su tercera encuesta anual Open Source Software Development, Sonatype que la falta de controles internos y el fracaso a la hora de hacer frente a las vulnerabilidades de seguridad en el ciclo de vida del desarrollo de software amenazan la integridad de la cadena de suministro y expone a las organizaciones a grandes riesgos.

El estudio también revela que las organizaciones están expuestas a riesgos significativos como consecuencia de su creciente dependencia de los componentes de código abierto. Sonatype asegura que los fallos de componentes son cada vez más comunes; de hecho más del 70% de las aplicaciones incorporan componentes con fallos de seguridad conocidos y considerados ‘severos’ o ‘críticos’.

Aunque los desarrolladores están a la vanguardia de la seguridad, lo cierto es que todos los días hacen elecciones que afectan a la calidad y seguridad de las aplicaciones, dicen desde Sonatype. Al final parece que la necesidad de llegar antes al mercado termina afectando a la seguridad de las aplicaciones.

La mitad de las grandes compañías aseguran que los desarrolladores no tienen en cuenta la seguridad para nada. Un 20% reconocen que la seguridad de las aplicaciones es importante, pero que no tienen tiempo que dedicarles, mientras que una tercer parte difiere la responsabilidad y la seguridad de las aplicaciones completamente.

Aunque la dependencia de los componentes de código abierto se incrementa cada año. Un 76% de las grandes empresas encuestadas aseguran no tener control sobre los componentes utilizados en los desarrollos de software, mientras que un 65% no mantienen un inventario sobre los componentes utilizados en la producción de aplicaciones.

La falta de políticas de seguridad en torno a los componentes de software se debe, en opinión de Sonatype, a la confusión sobre quién es responsable de la monitorización y gestión del uso de código abierto.