¿Son los desarrolladores los únicos responsables del estado actual de la ciberseguridad en el que las amenazas evolucionan más rápido que las defensas?

Los desarrolladores no son los únicos responsables del problema, pero diría que soportan una gran parte del problema. Hay algunas razones para esto:

1. Muchos desarrolladores no tienen una educación formal en ingeniería de software. Muchos de los que lo hacen, no obtuvieron una muy buena educación. Esto se aplica también a sus gerentes.
2. Debido al n. ° 1, los requisitos no están adecuadamente definidos y verificados. Miro esto como su pregunta, que francamente no está bien delimitada.
3. Las compañías que desarrollan software a menudo tienen estándares documentados inadecuados para el desarrollo seguro de s / w. Por lo tanto, los desarrolladores tienen objetivos mal definidos para la calidad del código. (Por ejemplo, qué tan sólida debe ser la desinfección de entrada de datos para una aplicación web)
4. El desarrollo de productos de software generalmente tiene un calendario agresivo que no permite suficiente tiempo para realizar pruebas de seguridad.
5. Los procesos de control de calidad no prestan suficiente atención a la seguridad.
6. La administración no está debidamente incentivada para exigir software seguro.
7. La cultura general de una empresa no requiere que la seguridad sea una prioridad desde el inicio de un proyecto.

Hay otras razones que entran en juego, pero estas son las principales.

No, no creo que lo sean.

He visto muchos proyectos de software donde las consideraciones de seguridad nunca fueron parte del alcance y, por lo tanto, no se contabilizaron en el presupuesto. Sin el tiempo o el dinero asignado a las pruebas de seguridad, no sorprende que los problemas simples (por ejemplo, la inyección de SQL) sean problemas comunes.

El problema aquí es la conciencia; la seguridad debe ser un problema a nivel de placa (y para muchos esto se está convirtiendo en el caso). Cuando la seguridad se considera importante a nivel de la junta, el presupuesto y el tiempo (dos restricciones clave) para abordar de manera proactiva los problemas de seguridad lo convertirán en presupuestos / planes de proyecto.