En el món del desenvolupament de programari, les fallades de seguretat que mai arriben a producció solen passar desapercebudes. No generen alertes, no provoquen caigudes del servei ni afecten usuaris, però la seva existència revela molt sobre la maduresa dels processos d'una organització. Aquest article explora un escenari habitual en moltes empreses: una vulnerabilitat crítica que va estar a punt de ser desplegada i com la seva detecció primerenca pot marcar la diferència entre un incident silenciós i una crisi real. A partir d'aquesta anàlisi, oferim reflexions pràctiques per enfortir la ciberseguretat sense dependre exclusivament d'eines automatitzades.
Imaginem un equip preparant el llançament d'un nou producte. Els esforços de seguretat se centren en el nou: anàlisi estàtica de codi, proves de penetració, modelatge d' amenaces. Tot sembla sota control. Tanmateix, en algun racó de l'ecosistema, un component legacy —una aplicació que ha funcionat sense problemes durant anys— arrossega un error de disseny tan bàsic com perillós: una injecció SQL en un camp de recerca. Aquest component no ha estat revisat perquè 'sempre ha funcionat' i perquè l'abast del rellegeix només cobreix el que canvia. La fallada gairebé viatja a producció.
La història no és excepcional. En moltes companyies, el programari heretat es converteix en un punt cec. Els equips de desenvolupament prioritzen les noves funcionalitats, i els processos de seguretat es dissenyen per avaluar el que es modifica, no el que ja existeix. Aquesta mentalitat és comprensible des de l'eficiència, però perillosa des de la seguretat. Una vulnerabilitat en un component legacy pot ser explotada si les condicions d'exposició canvien —per exemple, si el rellegeix connecta aquest component a noves interfícies o el fa accessible des de nous canals.
El cas que ens ocupa il·lustra com un concurs intern de bug bounty, organitzat just abans del llançament, va permetre descobrir la decisió. Un desenvolupador, curiós fora de la seva àrea habitual, va introduir un caràcter de comella en el camp de recerca i va obtenir un error revelador. No hi havia un pentest formal sobre aquest producte; no hi havia escàner apuntant a aquest codi. La detecció va ser possible perquè algú va tenir permís per mirar on no se li havia demanat. Aquest tipus de troballes, tot i que petites i individualment poc dramàtices, són les que en conjunt determinen si un programa de seguretat funciona realment.
La lliçó principal és que l'abast del procés formal té vores. Les eines automàtiques, com els analitzadors estàtics (SAST), són excel·lents per trobar patrons sintàctics, però només si s'executen sobre el codi correcte. Quan l' abast es defineix exclusivament pel que canvia, tot el que no canvia queda fora del radar. Les dashboards poden mostrar un 100% de cobertura en el nou producte, però això no significa que tota la superfície d'atac estigui coberta. La ceguesa no està en l'eina, sinó en la definició del perímetre.
En Q2BSTUDIO, entenem que la seguretat no pot dependre només de processos rígids. Per això, en oferir aplicacions a mida, integrem revisions de seguretat en cada fase del cicle de vida, incloent-hi els components heretats. El nostre enfocament reconeix que el programari legacy, tot i que estable, pot ocultar vulnerabilitats que només emergeixen quan canvien les condicions d'ús. A més, combinem el desenvolupament amb serveis de ciberseguretat i pentesting que permeten simular atacs realistes sobretot l'ecosistema, no només sobre les parts noves.
Més enllà de la injecció SQL, el cas revela una debilitat estructural: la suposició que l'antiguitat equival a seguretat. 'Ha funcionat durant anys' és una afirmació sobre el passat, no sobre el present. Si el context canvia —noves API, noves integracions, nous usuaris—, aquest component pot esdeven un risc. La solució no és escanejar tot sempre, perquè això seria ineficient, sinó establir mecanismes per revisar periòdicament els components legacy, especialment quan s'introdueixen canvis que amplien la seva exposició.
Una pràctica recomanada és realitzar campanyes internes de recerca de vulnerabilitats, com el concurs esmentat, però en moments que no comprometin les dates de lliurament. Si es llancen en els dies previs a un rellegeix, cada troballa es converteix en una decisió de calendari, cosa que pot portar a prioritzar el lliurament sobre la correcció. En canvi, si es realitzen amb prou antelació, els equips tenen temps per analitzar, fer i revalidar sense pressió. En Q2BSTUDIO, oferim IA per a empreses que ajuda a prioritzar troballes de seguretat basant-se en impacte real, integrant anàlisis automatitzades amb revisió humana.
La cultura de seguretat també juga un paper crucial. Els equips on els enginyers se senten lliures d'explorar codi que no els pertany, on poden preguntar 'hauria de revisar això?' sense necessitat d'un tiquet, detecten més fallades. Aquesta 'atenció adversarial' no es pot formalitzar del tot en un diagrama de processos, però sí que es pot incentivar mitjançant jocs, hackathons o sessions de revisió creuada. El cost d'aquestes activitats és baix comparat amb el d'un incident de seguretat, i el retorn és tangible a llarg termini.
A més, la tecnologia actual permet combinar diferents capes de defensa. Els agents IA poden monitoritzar comportaments anòmals en temps real, mentre que les anàlisis de Power BI i altres serveis d'intel·ligència de negoci ajuden a visualitzar la cobertura de seguretat i detectar punts cecs. Per exemple, integrar dashboards que mostrin no només les troballes en el codi nou, sinó també l'estat dels components legacy, pot alertar quan un producte antic porta massa temps sense ser auditat.
En l'àmbit d'infraestructura, els serveis cloud AWS i Azure ofereixen eines natives de seguretat que, ben configurades, poden ajudar a escanejar instàncies i aplicacions heretades. No obstant això, la configuració per si sola no n'hi ha prou; es necessita un procés que garanteixi que aquestes eines s'apliquen a tots els entorns, inclosos els que 'no han canviat'. En Q2BSTUDIO, ajudem les empreses a dissenyar arquitectures cloud segures des de l'inici, i a migrar aplicacions legacy amb garanties de seguretat.
El cas de la decisió que gairebé arriba a producció ens recorda que la seguretat no és un estat, sinó una pràctica contínua. Cada catch exitós és una victòria silenciosa, però també un senyal que el sistema funciona. No obstant això, no podem mesurar el que no veiem: els bugs que sí que es cuiden són la part submergida de l'iceberg. Per reduir aquesta incertesa, les organitzacions han d'invertir en cultura, en processos de revisió amplis i en eines que cobreixin tot l'espectre, no només el nou.
En resum, la lliçó que extraiem és que la combinació de processos formals amb iniciatives informals de 'cacera' produeix els millors resultats. La ment humana, amb permís per vagar, troba el que les màquines no busquen perquè no està en el seu abast. Construir equips on aquesta llibertat sigui normal —i recompensar-la— és la millor inversió en ciberseguretat. En Q2BSTUDIO, treballem perquè els nostres clients tinguin aquest avantatge, integrant programari a mida amb pràctiques de seguretat des del disseny, i oferint serveis que van des de la ciberseguretat fins a la intel·ligència artificial i el núvol.
