Campeones frente a mentores: por qué todo equipo de desarrollo necesita ambos

Los términos "campeón" y "coach" están cobrando cada vez más relevancia fuera del ámbito deportivo y tienen una presencia poderosa en la mayoría de los contextos. Existen coaches de vida, de bienestar, de empatía, y "campeones" que son coronados en muchas organizaciones; títulos como "campeón de seguridad" o "campeón de ambiente" se están volviendo más comunes e integrados en el espíritu y la cultura empresarial. Cuando las cosas se ponen difíciles, ¿quién no querría tener un coach o un campeón de su lado?

Las instituciones dentro de la industria de la ciberseguridad tienen una larga trayectoria utilizando campeones para difundir la importancia de la seguridad a nivel de desarrollo y mantener estándares más altos de seguridad de software. BSIMM los denomina grupo satélite, mientras que OpenSAMM y Axway se encuentran entre los grupos pioneros que respaldan a los campeones de seguridad como un concepto y programa formalizado. Estas iniciativas se cruzan y apoyan uno de los objetivos principales del movimiento DevSecOps: el compromiso de compartir la responsabilidad de la seguridad entre equipos y funciones, desde el inicio mismo del proceso de desarrollo de software.

Muchas empresas que están logrando grandes resultados en su enfoque de ciberseguridad han implementado un programa oficial de campeones de seguridad, delegando responsabilidades clave —desde actuar como enlace entre equipos y fomentar el entusiasmo general, hasta supervisar las mejores prácticas— a personas que demuestran aptitud y pasión por este rol.

Sin embargo, ha quedado bastante claro que el rol del "campeón de seguridad" está cambiando, y una empresa con visión de futuro puede alcanzar nuevas cotas en la escalabilidad de las mejores prácticas de seguridad con un equipo ampliado, contando con entusiastas clave que apoyen funciones diferentes, pero igualmente importantes.

Estamos redefiniendo y duplicando la figura del campeón de seguridad para lograr un impacto real en un programa de seguridad preparado para el futuro. ¿Estás listo para construir tu próximo equipo ideal?

Todo gran equipo cuenta con el respaldo de un coach inspirador.

Cuando piensas en Lionel Messi, Michael Jordan o Serena Williams, normalmente solo los fanáticos más acérrimos podrían recitar datos sobre sus entrenadores; sin embargo, es ese pilar de apoyo cercano el que perfecciona sus habilidades naturales, su talento y su impulso hacia sus objetivos, lo que genera el inmenso éxito que vemos bajo los reflectores.

Nadie espera que los desarrolladores ganen un Grand Slam o marquen un gol para Argentina; de hecho, nadie debería esperar siquiera que los desarrolladores sean expertos en seguridad (después de todo, se inscribieron para crear funciones geniales, no para profundizar en la seguridad), pero un gran "coach" de seguridad es su verdadero campeón en el equipo.

Un campeón de seguridad del lado del desarrollo está mucho más alineado con lo que reconoceríamos como los fundamentos de un coach. Les apasiona la seguridad, dominan el tema y son un punto de contacto clave cuando un desarrollador tiene un problema de seguridad que resolver. Tienen el conocimiento práctico para ayudarlos a corregir el problema y aprender de sus errores, al tiempo que se aseguran de que el equipo esté alineado con los valores y las mejores prácticas de seguridad fundamentales.

¿Podría el campeón de AppSec ponerse de pie?

Un campeón del lado de AppSec es una pieza que a menudo falta en el rompecabezas del programa de seguridad. Son absolutamente vitales para el éxito de un equipo de desarrollo y, como puente entre los ejecutivos de nivel C y los desarrolladores, pueden abogar activamente por ellos y ayudar a dotarlos de las herramientas que necesitan para lograr un impacto positivo en la reducción de vulnerabilidades, la seguridad del software y la confianza y satisfacción del cliente.

Un gran campeón de AppSec es reconocido como un líder de seguridad dentro de la empresa y debería desempeñar un papel importante en la formación directa de los coaches de seguridad, con el objetivo final de forjar mejores resultados y relaciones entre los equipos, todo en pos de un objetivo común: código seguro, impecable y de alto nivel.

Invocando a tu supercoach.

Los campeones y los grandes coaches van de la mano y, juntos, crean magia. Los programas de campeones de seguridad existentes tienden a centrarse en el desarrollador, pero como hemos identificado, el verdadero liderazgo debería estar del lado de AppSec, dejando que los desarrolladores más apasionados y conscientes de la seguridad ayuden a lograr la excelencia en la codificación segura desde adentro, elevando al resto del equipo.

Descubrir al coach ideal sigue siendo un proceso similar al del campeón tradicional: el mejor coach no es simplemente la persona que es "mejor" en seguridad. La persona que resulta ser increíble programando de forma segura y produciendo código fortificado de alta calidad puede no tener ningún interés en asumir un rol extracurricular, o quizás no le entusiasme especialmente la seguridad a pesar de su aptitud.

En cambio, podrías descubrir a tu coach si buscas a alguien que:

• Muestre un gran interés en la ciberseguridad, desde la codificación práctica hasta mantenerse al día sobre los últimos incidentes, herramientas y desarrollos interesantes.
• Tenga buenas habilidades interpersonales; disfrute ayudando a los demás, sintiéndose como la persona de referencia (o experto residente) y sea un jugador de equipo accesible.
• Pueda ser proactivo en la defensa del lado del desarrollador; sepa qué se necesita para ayudar al equipo y pueda trabajar con su enlace de AppSec (su campeón) para satisfacer las necesidades y lograr resultados de seguridad mutuos.

Incentiva el puesto de coach; quienquiera que elijas tendrá que asumir más responsabilidades y su carga de trabajo deberá evaluarse en consecuencia. Si bien el interés personal y el crecimiento profesional influirán en la motivación de un posible coach, es una buena práctica ver de qué otra manera pueden ser recompensados por alcanzar sus objetivos. ¿Se les puede enviar a una conferencia increíble? ¿Pueden obtener días libres adicionales? ¿Se pueden financiar cursos y certificaciones para ellos? El tiempo y el dinero invertidos ahora en asegurar el ciclo de vida de desarrollo de software (SDLC) desde el principio ahorran mucho más adelante en el ciclo —o peor aún, si se descubre una vulnerabilidad en producción— y un buen coach mantendrá la conciencia alta. Encuentra una manera de ofrecer recompensas significativas.

Tu programa de seguridad de alto nivel.

En última instancia, como industria, debemos hacer más para apoyar a los desarrolladores y atraerlos al lado de la seguridad, motivándolos a entender que un código de calidad es un código seguro. Es difícil preocuparse por algo cuando no se ha invertido el tiempo y el esfuerzo necesarios para educar y facilitar el éxito, y lamentablemente, ese suele ser el caso en la formación sobre codificación segura. Una capacitación práctica y relevante, junto con un mentor y un defensor de la seguridad de aplicaciones, es la combinación ganadora necesaria para potenciar al equipo de desarrollo y liberar su capacidad defensiva.