Tournois pour développeurs : l'arme secrète d'AppSec pour améliorer la culture et l'engagement en matière de sécurité

Imaginez que vous fabriquez quelque chose à partir de zéro, que vous utilisiez vos compétences et votre expérience avec maîtrise pour laisser une empreinte modeste mais spéciale sur le monde. Que vous soyez seul ou en équipe, vous consacrez tout votre cœur et toute votre âme à construire quelque chose à partir de rien. Vous y consacrez des centaines, voire des milliers d'heures, à vous assurer que votre bébé est le meilleur possible. Une fois terminée, cette vague d'accomplissements peut être perçue comme une récompense à elle seule.

Maintenant, imaginez qu'un spoilsport arrive et vous dise que ce n'est pas si génial. Peut-être qu'ils vont plus loin et vous disent que, malgré l'énergie, le temps et l'amour que vous avez sacrifiés, il n'est même pas utilisable : il est cassé. Ils vous ont essentiellement dit que votre bébé était laid.

Le scénario ci-dessus ne manquera pas de provoquer des tensions ; après tout, qui voudrait que leur dur labeur soit considéré comme inadéquat ? Malheureusement, pour de nombreux développeurs, cela peut être la réalité de leur relation avec l'équipe AppSec. Un développeur a la responsabilité première de créer un logiciel fonctionnel, riche en fonctionnalités et livré dans des délais de projet stricts. La sécurité est rarement la priorité et peut même être considérée comme un obstacle à la rapidité des livraisons et à l'innovation. AppSec a la tâche peu enviable de vérifier méticuleusement le code, de le tester avant de signaler la mauvaise nouvelle : la présence de failles de sécurité dans du code qui est souvent déjà validé. Il s'agit d'un processus coûteux dans un environnement souvent sollicité en termes de ressources et de temps, dont la configuration ne peut que provoquer un désaccord entre deux équipes qui ont le même objectif, mais parlent des langues si différentes qu'elles semblent être en désaccord.

Ne pensez-vous pas qu'il est temps de remanier la sécurité ? C'est aussi simple que de changer la conversation et de rendre tout un peu plus positif (pour ne pas dire amusant !) pour les deux parties, en particulier pour l'équipe de développement.

Sortez de la salle de classe, entrez dans l'arène de jeu

Étant donné que de nombreux développeurs terminent leur formation professionnelle sans avoir beaucoup appris sur le codage sécurisé, il arrive souvent que leur premier point de contact avec la formation à la sécurité soit dès leur entrée sur le marché du travail. La formation en classe est une solution fréquemment utilisée, mais elle fait perdre un temps précieux à la diffusion des fonctionnalités (et, avouons-le : si l'enseignant et le contenu ne sont pas suffisamment stimulants, cela peut être une perte de temps facilement oubliée pour tout le monde). Il existe également des cours vidéo, des examens sur papier et une formation générique sur la politique de sécurité des entreprises... qui peuvent tous être si peu spécifiques qu'ils ne sont pas utiles dans la vie professionnelle quotidienne du développeur moyen.

Trop souvent, cela est considéré comme un exercice de conformité « cochez les cases et passez à autre chose », et trop souvent, cela a l'effet inverse : cela ne fait que creuser le fossé entre AppSec et l'équipe de développement. Après tout, il ne semble pas que la formation conventionnelle ait l'effet positif sur la culture de sécurité et la conformité que nous recherchons désespérément en tant qu'industrie. Nous continuons à faire les mêmes erreurs.

Selon l'énumération des faiblesses communes (CWE) communauté, il y en a plus de 700 commun faiblesses de sécurité logicielle à combattre. Certains, comme l'injection SQL, sont comme des cafards qui n'ont pas été écrasés malgré leur existence depuis plus de 20 ans. Nous savoir comment y remédier ; la formation est là pour permettre aux développeurs de mettre fin à ce problème et à bien d'autres encore, mais les tests internes et les processus de révision manuelle du code permettent d'identifier continuellement ces violations.

Peut-être que nous avons mal vu les choses et que nous, en tant qu'industrie, devons aborder une formation viable sous un angle différent... un angle qui exploite les compétences incroyables si appréciées de nos développeurs. Ce sont des personnes créatives et curieuses qui aiment relever des défis. Pour ludifier la formation à la sécurité, il faut parler leur langue, leur permettre de s'entraîner par la pratique. Qui sait, ils tomberont peut-être amoureux de la sécurité en cours de route.

Une petite compétition saine

Le fait de nous fier essentiellement à des outils (plutôt imprécis), à des tests informatiques coûteux et à la pénurie de spécialistes de la sécurité des applications va nous plonger encore plus profondément dans le trou noir de la sécurité. Une trop grande partie de notre vie privée et de notre vie privée existe en ligne pour que les entreprises puissent continuer à faire preuve de prudence avec les forteresses virtuelles qui protègent nos données. Alors que la transformation numérique de notre monde accroît notre dépendance à l'égard des logiciels, nous devons nous tourner vers les super-héros que nous avons toujours eus au bureau : l'équipe de développement.

La formation gamifiée, dans les langages et les cadres pertinents, est un outil puissant permettant aux responsables de la sécurité des applications de commencer à transformer la culture de sécurité au sein de l'entreprise. Pendant la formation, les développeurs peuvent utiliser leurs nouveaux moyens de sécurité dans le cadre d'un tournoi amusant, qui peut être aussi passionnant que votre imagination peut l'imaginer : il suffit de regarder comment Le « jeu de codes » de l'IAG a toutes les personnes parlant de sécurité au sein de leur organisation.

Secure Code Warrior's module de tournoi fournit bien plus qu'une simple petite limite à un engagement de formation mesuré : il s'agit d'une plateforme à partir de laquelle chaque développeur peut valider ses compétences, voir dans quelle mesure il a progressé depuis le début de la formation et identifier les domaines susceptibles d'être améliorés. L'aspect compétitif constitue réellement un facteur de motivation pour s'engager de manière positive en matière de sécurité, en utilisant les récompenses et la reconnaissance pour soutenir le développement d'une solide culture de sécurité au sein de l'équipe et de l'entreprise en général.

Insuffler un peu de plaisir à ce qui peut être considéré comme une tâche laborieuse, voire intimidante, peut grandement contribuer à changer les mentalités négatives et à susciter une participation continue. Après tout, qui n'aime pas la gloire de marquer plus de points que ses pairs dans un environnement compétitif (sain) ?

Des champions marchent parmi vous

Les formations ludiques et les tournois qui en découlent contribuent énormément à créer une culture de sécurité positive, les équipes AppSec et les équipes de développement ayant ainsi une meilleure connaissance du travail quotidien de chacun. Un développeur sécurisé est un atout, car il corrige les vulnérabilités courantes et laisse les problèmes complexes aux rares spécialistes de la sécurité des applications sur le terrain. De meilleures relations se développent et prospèrent, et le précieux budget de sécurité n'est pas gaspillé à réparer un scénario du « jour de la marmotte » où les mêmes erreurs se répètent à l'infini.

Il existe toutefois un autre sous-produit puissant : la révélation de champions de la sécurité dont vous ignoriez l'existence. Les tournois permettent de découvrir ceux qui non seulement sont doués pour la sécurité, mais qui font preuve d'une passion active pour cette discipline. Ces champions jouent un rôle essentiel pour maintenir la dynamique et servir de point de contact entre les équipes, superviser les pairs et faire respecter les politiques relatives aux meilleures pratiques. La mise en œuvre d'un solide programme de champions, qui inclut la reconnaissance et le soutien de la direction, est un atout majeur pour l'organisation, ainsi qu'une inclusion importante pour le CV et la future carrière de l'individu.

En fin de compte ? Nous devons exiger de meilleurs résultats en matière de tests de sécurité. Moins d'erreurs courantes, plus de soutien pour ceux qui sont en première ligne. Pourquoi ne pas voir comment un tournoi pour développeurs peut vous permettre d'y parvenir plus tôt que vous ne le pensez ?