Esperto di sicurezza: una figura da rivalutare in un team di sviluppo

Recentemente ho avuto dei problemi di sicurezza sul mio sito. Tutto questo mi ha portato a riflettere sul processo di sviluppo di un sito web e sul perchè oggi più che mai sia necessario affiancare la figura professionale di un esperto di sicurezza informatica a quelle già  presenti all'interno di un team.

Con l'evolversi delle tipologie di attacco ai siti e con il rapido affermarsi di nuovi ceppi malware e, soprattutto, con la ovvia constatazione che il tema della sicurezza è qualcosa di estremamente complesso, affidare sempre la cura della sicurezza di un sito ad uno sviluppatore web (imponendogli così un doppio lavoro) si rivela spesso controproducente. Sia chiaro: è ovvio che uno sviluppatore web debba sapere come scrivere codice sicuro, ma è altrettanto vero che il campo della sicurezza è talmente vasto che spesso non basta conoscere alcune best practices per dirsi completamente al sicuro.

Ecco perché in un team di sviluppo dovrebbe essere presente un esperto di sicurezza come supervisore delle varie fasi di implementazione e, successivamente, come tester della reale affidabilità  dell'applicazione o del sito. Spesso questi test non vengono eseguiti prima del rilascio, ma solo successivamente. Andrebbero invece divisi tra il prima e il dopo il rilascio, e, soprattutto, affidati ad una persona che conosce i dettagli tecnici dell'implementazione.

Affiancando questa figura professionale ad un team di sviluppo, a mio avviso si risparmierebbe molto tempo e, soprattutto, si eviterebbero errori di cui ci si potrebbe accorgere solo troppo tardi.