Auditoría de código. ¿Qué es y cuáles son sus beneficios?

La auditoría de código es el proceso principal que se lleva a cabo dentro de la gestión o consultoría del desarrollo de software, e implica un examen exhaustivo de este y de las aplicaciones web o móviles, la revisión de su arquitectura, estilo, seguridad y eficiencia.
Su objetivo es identificar vulnerabilidades de seguridad, cuellos de botella que puedan afectar el rendimiento y calidad del código que condicionen el desarrollo futuro de tu producto.

Esta técnica junto con otras como el análisis de riesgos, testing o políticas de seguridad permiten a la empresa prever y anticiparse a posibles problemas o fugas de seguridad y ofrecer la calidad esperada al cliente.
Una SAST (Static Application Security Testing) o como lo denominamos comúnmente en castellano, auditoría de código, tiene muchas variantes dependiendo del campo sobre el que se desee aplicar. Las más importantes son:

• Auditoría Apps: En este tipo de auditorías se analizan las aplicaciones (software) existentes en la organización.
• Auditoría externa o perimetral: El objetivo es estudiar el nivel de seguridad de los elementos que se encuentran públicos por parte de la empresa.
• Auditoría Web: Se examinan los sitios y aplicaciones web para determinar su nivel de protección contra las posibles amenazas.
• Auditoría de Red Inalámbrica: Se llevan a cabo una serie de pruebas que detectan las vulnerabilidades, puntos de entrada y configuraciones deficientes con el objetivo de evitar la entrada de ciberdelincuentes, conservar la integridad de los datos de la empresa y sus clientes, así como optimizar la configuración de su red wifi.
• Auditoría de Código Fuente: Se investigan las amenazas y vulnerabilidades a nivel del código fuente. Esto garantiza que el código se haya desarrollado con las suficientes medidas de seguridad.
• Auditoría de Dispositivos móviles: En este caso se analiza cómo se protegen los datos almacenados en las aplicaciones móviles, las medidas de seguridad en las comunicaciones, así como la seguridad y vulnerabilidad en aplicaciones web relacionadas.
• Auditoría de Sistemas de control SCADA y DCS: Tanto SCADA como DCS son sistemas de monitorización y control que se utilizan en los sistemas industriales. Ambos sistemas monitorizan los equipos y los procesos para asegurar que todos ellos se estén ejecutando dentro de los parámetros y especificaciones requeridas.
• Auditoría de SCI e infraestructuras críticas: Un Sistema de Control Interno es un conjunto de políticas, principios, procedimientos y mecanismos de verificación y evaluación que establecen la junta directiva o la alta dirección de una organización. Una auditoría de SCI evalúa y gestiona este sistema buscando una mayor eficacia y la detección de posibles irregularidades.

Un código con cierto grado de calidad va a ser también un código seguro, pero por el contrario, un código seguro no va a tener necesariamente buena calidad.

Para poder conseguir cierta calidad de código nos centraremos en 3 ejes principales: La duplicidad del código, su complejidad y el cumplimiento de los principios SOLID.

• Duplicidad del código: antes de nada, es primordial entender que un código duplicado no significa que el código sea igual, ya que este puede llegar a tener pequeñas adaptaciones. La duplicidad del código no solo hará que la calidad de este disminuya, sino que también incrementará los costes de mantenimiento al desencadenar una serie de problemas como la deuda técnica, una mayor complejidad o un mayor número de código que documentar.
• Complejidad del código: es uno de los indicadores menos conocidos pero a su vez más prácticos a la hora de medir la calidad. Cuanto más complejo sea el código más difícil será de modificar y más difícil será conocer las consecuencias que esa modificación tendrá. Además, el número de tests necesarios para verificar el correcto funcionamiento del código aumentará.
  ¿Cómo podemos detectar un código complejo? La respuesta es simple, la existencia de numerosos parámetros en una función, anidación, múltiples niveles de ejecución o numerosas dependencias para un objeto nos darán la clave.
• Los principios SOLID: el cumplimiento de estos principios nos ayudarán a obtener un software de calidad, fácil de leer, testear y por supuesto, mantener.
  Encontramos el principio de responsabilidad única, el principio open/closed, el de sustitución de Liskov, el de segregación de interfaces y el de inversión de dependencias.
  ¿Qué beneficios nos aportan? La flexibilidad del software aumenta mientras que el acoplamiento disminuye y los tests son mucho más sencillos.

La respuesta es que es altamente recomendable hacerlo, ya que al desarrollar un software propio éste debe cumplir los requisitos de seguridad y calidad establecidos en las fases previas, y que se adaptarán al contexto para el que se desarrolle dicho software. Por ejemplo, un programa para uso interno en la empresa requerirá un nivel de seguridad menor que una aplicación que utilizarán miles de clientes externos y de la que no sabemos si se hará un uso correcto.

No obstante, la auditoría de código no solo se limita a las empresas que desarrollan software. Cuando se utilizan programas de terceros, al tratarse de un producto final, se suele pensar que cuenta con altos niveles de calidad y seguridad, ya que ha debido de pasar numerosos controles, pero en muchas ocasiones esto no es así.

• Elimina las vulnerabilidades de tu código: elimina las partes críticas del código donde podrían incurrir en la pérdida o robo de información y la detención del funcionamiento de los desarrollos.
• Proteger la reputación de la marca o empresa: al eliminar las vulnerabilidades se reduce enormemente el riesgo a una caída del servicio u otros problemas que puedan afectar al usuario o comprometer sus datos.
• Aumenta la productividad de los equipos de desarrollo: se consigue aumentar la calidad del código y reducir en gran medida el tiempo de desarrollo al encaminar los equipos hacia la ejecución de buenas prácticas de programación y, sobre todo, al realizar modificaciones o correcciones.
• Gestión de los costes: una auditoría también permite una correcta gestión de los costes de desarrollo y mantenimiento del software.

SonarQube: es la herramienta más popular. Puede analizar y producir soluciones para más de 25 lenguajes de programación. Realiza una comprobación de la calidad del código, el formato, declaraciones de variables, etc.

DeepScan: capaz de realizar controles de calidad de código para cualquier marco de Javascript. Proporciona una vista gráfica a lo largo del tiempo del escaneo de datos y realiza auditorías de calidad de código de toda la organización.

CodeSonar: analiza el código a partir de una perspectiva computacional. Desarrolla modelos a partir de su código y busca posibles amenazas difíciles de detectar a la hora de la ejecución como punteros nulos, desbordamiento de memoria o fugas de datos.

Visual Assist: inspecciona y moderniza el código anterior a parte de realizar controles de calidad específicos. Mediante el análisis estático profundiza en los problemas y los repara.
Reduce la complejidad del código y mejora la legibilidad sin cambiar su comportamiento

Collaborator: revisa códigos y documentos en equipos de desarrollo donde la calidad del código es fundamental. Se integra con otras herramientas de gestión de proyectos como Jira, Visual Studio, etc.

Es una práctica muy común desarrollar todo el software primero y luego auditar el código del mismo para detectar fallos y riesgos, pero esto puede llegar a ser muy improductivo y a aumentar en gran medida el tiempo de desarrollo del software debido a que, en algunos casos, la auditoría deriva en una modificación casi total de la arquitectura o del código del programa, o incluso en un cambio de su comportamiento.

Lo ideal sería realizar varias auditorías a la hora de desarrollar software: la primera en las primeras fases del desarrollo y otra al finalizar, pero hay ciertos casos en los que es necesario realizarla:

• Si se utilizan sistemas “heredados”: las tecnologías tienden a quedar obsoletas con el paso del tiempo, especialmente si nos referimos a la industria de desarrollo de software. Dentro de esta, tecnologías como el software, hardware o lenguajes de programación son a las que nos referimos como “heredadas”. Aún cumplen su objetivo pero son incapaces de actualizarse dada su complejidad y compatibilidad.
• Al desarrollar un producto: hasta los desarrolladores con una amplia experiencia pueden olvidarse de algo, por lo que nunca viene mal contar con una segunda verificación. Mediante la ayuda de auditorías de código externas obtendremos una opinión experta de la calidad del código, los problemas existentes y la deuda tecnológica en las primeras etapas de desarrollo, lo que nos permitirá solucionarlo con un coste mucho menor.
• Cuando tienes deuda tecnológica: a la hora de construir un software a veces nos encontramos con errores como no haber llevado a cabo un buen control de calidad previamente a lanzarlo, lo que da como resultado un código mediocre. También pueden tomarse decisiones de diseño que, aún sabiendo que no son óptimas (aún estando bien implementadas), se consideran adecuadas a las circunstancias de ese momento. Esto hace que aparezca el concepto de deuda tecnológica, que se usa para referirnos al coste de mantener y arreglar un software mal construido.
• Antes del lanzamiento de un producto: una auditoría de código por parte de una empresa externa va a garantizar que el producto esté listo para ejecutarse sin ningún error crítico ni problemas de seguridad. Esto proporcionará una buena experiencia de usuario y mantendrá la reputación de la empresa.