La seguridad es muy importante, pero la dejamos para mañana: cómo los desarrolladores (no) protegen sus contenedores

Casi la mitad de los desarrolladores en Java están dispuestos a renunciar a la protección de contenedores por su cuenta y delegar esa tarea a proveedores de imágenes protegidas. Así lo concluyó la empresa BellSoft, publicando los resultados de la encuesta, que muestran de forma clara cómo el cansancio frente a la complejidad de la seguridad está cambiando el enfoque del desarrollo.

El estudio se basa en una encuesta a 427 desarrolladores, realizada en la conferencia Devoxx como parte de la preparación del informe «Estado de la seguridad de contenedores 2025». Según los datos de BellSoft, 48% de los encuestados preferiría utilizar imágenes de contenedores protegidas de antemano, en lugar de ocuparse por sí mismos de las vulnerabilidades y la configuración de seguridad. Al elegir la imagen base para un contenedor, los desarrolladores señalaron que la seguridad es el criterio principal: así lo indicó el 29% de los participantes. A continuación aparecen el rendimiento con 21%, el tamaño de la imagen y el soporte de Java con 17% cada uno, la facilidad de uso 11%, el cumplimiento de licencias 4% y otros factores 1%.

El interés por la protección de contenedores parece bastante lógico. Casi uno de cada cuatro desarrolladores, concretamente 23%, informó que en el último año se encontró con incidentes relacionados con la seguridad de contenedores. Sin embargo, la práctica real con frecuencia contradice las prioridades declaradas. Más de la mitad de los encuestados, 55%, utilizan distribuciones genéricas de Linux, y 69% trabajan con compilaciones genéricas del kit de desarrollo de Java. Según BellSoft, dicho software está sobrecargado con componentes innecesarios, lo que complica su protección y exige esfuerzos adicionales de configuración y optimización en comparación con soluciones ya protegidas.

El factor humano continúa siendo un problema. Los desarrolladores señalaron que 62% de los errores en la seguridad de contenedores están relacionados con errores humanos. A continuación aparecen las dificultades para instalar actualizaciones 36%, los retrasos entre la detección de vulnerabilidades y la publicación de parches 32%, así como los falsos positivos de las herramientas de escaneo 29%. La situación se agrava por factores organizativos: casi la mitad de los encuestados, 49%, se quejaron de la falta de tiempo y recursos, y 36% indicaron la baja prioridad de la seguridad de contenedores dentro de las empresas.

Los enfoques para proteger contenedores varían notablemente entre los equipos. 45% confía en registros de contenedores de confianza, 43% utiliza escaneo de vulnerabilidades, 18% elabora listas de componentes de software, 16% aplica firma de imágenes, y 6% utiliza aislamiento por hardware. Además, 10% de los participantes admitió que en sus organizaciones no se aplican medidas de protección adicionales, aparte de las herramientas estándar.

El director general de BellSoft, Alex Belokrylov, observó que en todas las secciones de la encuesta se repite la misma idea: los equipos quieren seguridad, eficiencia y simplicidad, pero las herramientas y estrategias actuales dificultan lograrlo. Según él, el uso de imágenes protegidas de antemano permite trasladar la responsabilidad de las actualizaciones y la seguridad al proveedor, reduciendo la carga sobre los equipos y los costos de mantenimiento.

Curiosamente, la amplia adopción de herramientas basadas en inteligencia artificial apenas se reflejó en las respuestas de los participantes de la encuesta. La vicepresidenta de BellSoft para marketing, Maria Gladkaya, informó que en la investigación de este año el tema de la inteligencia artificial prácticamente no fue mencionado, aunque en la encuesta del año pasado 74% de los desarrolladores reconocieron que utilizan tales herramientas para escribir código.