Aprendizaje contextual y práctico: la forma más eficaz de entrenar su mente en seguridad

Tengo malas noticias que darte.

La formación tradicional ha muerto.

Bueno, vale, no ha muerto... pero probablemente debería. Una y otra vez, los estudios han demostrado que meter a un grupo de personas en un aula para aprender algo nuevo, cumplir con un requisito de conformidad o realizar un reciclaje profesional es una de las formas menos eficaces de recibir formación. Y cuando se trata de formación corporativa, esas estadísticas no mejoran. Harvard Business Review publicó un estudio sobre la eficacia de la formación en el aula para las nuevas contrataciones en grandes empresas, descubriendo que este método de aprendizaje requería una media de ocho a doce meses para que los nuevos empleados estuvieran al día y fueran productivos. Es muchísimo tiempo para aprovechar al máximo las capacidades de una persona (y mucho tiempo para sentirse cómodo, si eres el nuevo empleado). Hoy en día, la mayoría de los lugares no tienen ese tiempo; inevitablemente, se toman atajos, la gente no recibe la formación que necesita y la empresa pierde mucho valor que podría haberse obtenido mucho antes.

Resulta increíble que muchos lugares sigan dependiendo de aulas, libros de texto aburridos y vídeos de formación soporíferos para que sus mejores talentos se familiaricen con las mejores prácticas o nuevas iniciativas de la empresa, especialmente cuando existe una forma mucho mejor, más atractiva y valiosa de aprender: la formación contextual. Resulta que los seres humanos retenemos mucho mejor la información cuando interactuamos directamente con nuevas ideas y procesos.

Ahora bien, en lo que respecta a los desarrolladores... somos un grupo especial. Por mi propia experiencia como desarrollador, la formación tradicional no me motiva en absoluto. Los desarrolladores suelen ser creativos, ingeniosos y expertos en resolver problemas; prefieren usar las herramientas antes que recibir una lección en un aula o sentarse frente a vídeos interminables de alguien hablando cuando intentan aprender algo nuevo. Si nos fijamos en la formación en seguridad, parece haber una clara desconexión en el panorama actual: los desarrolladores no logran abordar las vulnerabilidades comunes en su código, lo que lleva a los profesionales de AppSec a desesperarse cuando se enfrentan una y otra vez a los mismos problemas fáciles de solucionar. La relación entre esos equipos es tensa, y los desarrolladores no reciben las herramientas ni la formación adecuadas para mantenerse comprometidos con las mejores prácticas de desarrollo seguro. Su objetivo principal es crear funcionalidades, pero con el riesgo cibernético aumentando rápidamente para todas las empresas, simplemente no podemos permitirnos ignorar y restar importancia a los conocimientos de seguridad por más tiempo.

¿Y lo mejor de todo? Si los desarrolladores son conscientes de la seguridad, esas vulnerabilidades comunes empiezan a desaparecer. Se reduce el riesgo, así como los costes de corregir errores en etapas avanzadas (y el equipo de AppSec deja de arrancarse los pelos).

Entonces, ¿cómo es exactamente involucrar a los desarrolladores con formación contextual?

Los ejemplos del mundo real son increíblemente poderosos.

Imagina que todos tuviéramos que aprender a conducir viendo vídeos en YouTube. Aunque puedes hacerte una idea general de cómo funciona un coche y de la secuencia de eventos necesaria para avanzar por la carretera, sería prácticamente imposible aprender a conducir bien hasta que te subas a un coche y lo intentes en persona.

La formación contextual es tan valiosa porque pone al estudiante al volante de lo que sea que se esté enseñando. Cuando tienes un contexto del mundo real para algo, el aprendizaje se vuelve mucho más atractivo y significativo.

En cuanto a la codificación segura, cualquiera puede ver un vídeo y entender los conceptos básicos de la inyección SQL, pero los detalles técnicos para resolver el problema se olvidan fácilmente cuando se acercan los plazos y la entrega de funcionalidades es la prioridad. Sin embargo, si fuera posible revisar ejemplos de código real, identificar la inyección y corregirla como parte de un ejercicio de formación, eso es mucho más aplicable al trabajo diario de un desarrollador que intentar retener información unidireccional. También es más cercano para un desarrollador; si ven código similar al que suelen escribir, prestarán atención.

En la plataforma Secure Code Warrior, hemos gamificado la formación en código seguro, ofreciendo una amplia variedad de desafíos en múltiples lenguajes y marcos de trabajo. El sistema fomenta la repetición y, lo que es más importante, es personalizable al instante para ofrecer el entorno adecuado para un verdadero aprendizaje contextual.

Proporcionar conocimiento cuando es más útil

Según la teoría del aprendizaje contextual, el aprendizaje eficaz solo ocurre cuando los estudiantes procesan la nueva información o conocimiento de tal manera que tiene sentido para ellos, dentro de sus propios marcos de referencia individuales.

Imagina que un desarrollador recibe una lista de vulnerabilidades de seguridad de programas de recompensas por errores (bug bounty), herramientas SAST o software de seguimiento de errores. Pueden sentirse desconcertados, incluso abrumados, si nunca antes se han encontrado con estas vulnerabilidades. Lo que es peor, la mayoría de los informes están diseñados para expertos en seguridad de aplicaciones y no para desarrolladores. La información de los informes es difícil de analizar y a menudo contiene consejos genéricos que no son directamente aplicables a un desarrollador.

Recientemente, hemos añadido la capacidad de enlazar directamente a formación práctica sobre vulnerabilidades desde programas de recompensas por errores, herramientas SAST, software de seguimiento de errores e informes de pruebas de penetración. Los desarrolladores pueden entender inmediatamente los conceptos básicos y aprender buenas prácticas de codificación para su marco de trabajo específico.

Aprender de esta manera garantiza que los desarrolladores reciban conocimientos y formación sobre conceptos cuando son más relevantes, y es mucho más probable que retengan esa información a largo plazo.

Resultados más rápidos, menos interrupciones y equipos más satisfechos.

Cualquier formación es mucho más eficaz cuando se aplica directamente a sus actividades diarias que al intentar adaptar conceptos genéricos a su trabajo. Pasará menos tiempo en "modo estudio" o, peor aún, teniendo que repasar lo que ya "aprendió" cuando necesite una respuesta.

Uno de los principios de la formación contextual es la capacidad de construir sobre el conocimiento previo, permitiendo un proceso gradual que guía a los participantes hacia el dominio. Nuestra plataforma lo facilita mediante un sistema de cinturones similar al de un dojo de kárate. Todos comienzan como cinturón blanco y progresan hasta el codiciado cinturón negro o nivel de "campeón de seguridad" tras completar las horas de formación y participación en torneos. Es un enfoque divertido con valor real y aplicación práctica.

¿Quiere retener al mejor talento y mantenerlo concienciado sobre la seguridad? Ofrézcales las herramientas para triunfar.

Es una realidad desafortunada que, hoy en día, los desarrolladores concienciados con la seguridad y los especialistas en AppSec sean un recurso escaso, aunque vital. Además, es bien sabido que son difíciles de retener.

Cybrary realizó una encuesta a 3100 profesionales de TI y seguridad en 2018, revelando que invertir en formación es clave para retener empleados valiosos. Sus hallazgos muestran que las empresas que ofrecen herramientas y formación para fomentar las habilidades de seguridad internas retienen un 60% más de profesionales, y un impresionante 65% de los encuestados prefiere que esa formación sea práctica. ¿Interesante, verdad?

Sin embargo, los resultados también revelaron algo alarmante: el 80% de los encuestados no se siente preparado para defender a su organización frente a ciberamenazas. Estas amenazas no desaparecerán, y la formación adecuada para combatir el riesgo de brechas de datos y ataques es más necesaria que nunca. Aunque pueda parecer parcial, la plataforma de Secure Code Warrior podría ser la herramienta que necesita para fomentar una cultura de seguridad positiva, mejorar las competencias de sus desarrolladores con la formación contextual que prefieren y proteger a su organización.Solicite una demostración y le mostraremos más.