Torneos de desarrolladores: el arma secreta de AppSec para mejorar la cultura y el compromiso con la seguridad

Imagina crear algo desde cero, empleando tus habilidades y experiencia con maestría para dejar una pequeña, pero especial, huella en el mundo. Ya sea solo o como parte de un equipo, pones el corazón y el alma en construir algo de la nada. Dedicas cientos, quizás miles, de horas a ello, asegurándote de que tu creación sea lo mejor posible. Al terminar, esa sensación de logro puede sentirse como una recompensa en sí misma.

Ahora, imagina que llega alguien aguafiestas y te dice que no es para tanto. Quizás va un paso más allá y te dice que, no, a pesar de la energía, el tiempo y el amor que has sacrificado, en realidad ni siquiera es utilizable: está roto. En esencia, te han dicho que tu creación es un desastre.

El escenario anterior inevitablemente genera tensión; después de todo, ¿quién quiere que su arduo trabajo sea criticado y condenado por ser inadecuado? Lamentablemente, para muchos desarrolladores, esta puede ser la realidad de su relación con el equipo de AppSec. La responsabilidad principal de un desarrollador es crear software funcional, rico en funciones y entregado dentro de plazos estrictos. La seguridad rara vez es la prioridad, e incluso puede verse como un obstáculo para la entrega rápida y la innovación. AppSec tiene la poco envidiable tarea de revisar meticulosamente el código, realizar pruebas de penetración y luego informar las malas noticias: la presencia de vulnerabilidades de seguridad en un código que a menudo ya está comprometido. Es un proceso costoso en un entorno que suele estar falto de recursos y tiempo, y esta dinámica está destinada a causar una brecha entre dos equipos que tienen el mismo objetivo, pero que hablan idiomas tan diferentes que parecen estar en conflicto constante.

¿No crees que es hora de darle un cambio de imagen a la seguridad? Es tan sencillo como cambiar el enfoque y hacer que todo sea un poco más positivo (¡por no decir divertido!) para ambas partes, especialmente para el equipo de desarrollo.

Fuera del aula, dentro de la arena de juego

Dado que muchos desarrolladores completan su formación profesional sin aprender mucho sobre codificación segura, a menudo su primer contacto con la educación en seguridad ocurre al incorporarse al mundo laboral. La formación en el aula es una solución muy utilizada, pero resta un tiempo valioso a la entrega de funciones (y, seamos sinceros: si el profesor y el contenido no son estimulantes, puede ser una pérdida de tiempo fácilmente olvidable para todos). También existen cursos en vídeo, exámenes en papel y formación genérica sobre políticas de seguridad de la empresa... todo lo cual puede ser tan poco específico que resulta inútil en la vida laboral cotidiana del desarrollador promedio.

Con demasiada frecuencia, se trata como un ejercicio de cumplimiento de "marcar la casilla y seguir adelante", y con demasiada frecuencia tiene el efecto contrario: simplemente abre una brecha mayor entre AppSec y el equipo de desarrollo. Después de todo, no parece que la formación convencional esté teniendo el efecto positivo en la cultura de seguridad y el cumplimiento que tanto buscamos como industria.Seguimos cometiendo los mismos errores.

Según la comunidad de Common Weakness Enumeration (CWE), existen más de 700 debilidades comunes de seguridad de software contra las que luchar. Algunas, como la inyección SQL, son como cucarachas que no han sido aplastadas a pesar de existir desde hace más de veinte años. Sabemos cómo solucionarlo; la formación está ahí para capacitar a los desarrolladores para detener esto y muchas otras, pero los procesos de pruebas de penetración y revisión manual de código identifican continuamente estas violaciones.

Quizás hemos estado viendo el problema desde el ángulo equivocado y, como industria, necesitamos abordar la educación viable desde una perspectiva diferente... una que aproveche las increíbles habilidades tan valoradas en nuestros desarrolladores. Son solucionadores de problemas creativos e inquisitivos a los que les encantan los desafíos. Gamificar la formación en seguridad es hablar su idioma, permitirles practicar haciendo, y quién sabe, puede que incluso terminen enamorándose de la seguridad en el proceso.

Un poco de competencia sana

Una dependencia central de herramientas (bastante imprecisas), costosas pruebas de penetración y escasos especialistas en AppSec nos hundirá más profundamente en el agujero negro de la seguridad. Demasiada parte de nuestras vidas y privacidad existe en línea como para que las empresas sigan siendo imprudentes con las fortalezas virtuales que protegen nuestros datos. A medida que la transformación digital de nuestro mundo aumenta nuestra dependencia del software, debemos recurrir a los superhéroes que hemos tenido en la oficina todo el tiempo: el equipo de desarrollo.

La formación gamificada, en lenguajes y marcos relevantes, es una herramienta potente para que los gerentes de AppSec comiencen a transformar la cultura de seguridad dentro de la empresa. A partir de la formación, los desarrolladores pueden ejercitar sus músculos de seguridad recién adquiridos en un divertido torneo, uno que puede ser tan emocionante como tu imaginación pueda concebir: solo echa un vistazo a cómo el "Game of Codes" de IAG hizo que todos hablaran sobre seguridad dentro de su organización.

El módulo de torneos de Secure Code Warrior proporciona algo más que un buen complemento a un compromiso de formación medido: es una plataforma desde la cual cada desarrollador puede validar sus habilidades, ver cuánto ha avanzado desde que comenzó la formación, así como identificar áreas que pueden necesitar mejora. El aspecto competitivo realmente actúa como un motivador para participar positivamente en la seguridad, utilizando recompensas y reconocimiento para apoyar el crecimiento de una cultura de seguridad sólida dentro del equipo y de la empresa en general.

Inyectar un poco de diversión en lo que puede verse como una tarea laboriosa, si no desalentadora, puede contribuir en gran medida a cambiar las mentalidades negativas e inspirar una participación continua. Después de todo, ¿quién no ama la gloria de obtener más puntos que sus compañeros en un entorno competitivo (y sano)?

Los campeones caminan entre vosotros

La formación gamificada y los torneos posteriores ayudan inmensamente a impulsar una cultura de seguridad positiva, permitiendo que los equipos de AppSec y desarrollo obtengan mucha más información sobre el trabajo diario de los demás. Un desarrollador seguro es un activo, ya que soluciona vulnerabilidades comunes y deja los problemas complejos a esos escasos especialistas en AppSec. Las mejores relaciones crecen y prosperan, y el preciado presupuesto de seguridad no se consume arreglando un escenario de "El día de la marmota" con los mismos errores una y otra vez.

Sin embargo, hay otro subproducto poderoso: la revelación de los campeones de seguridad que nunca supiste que tenías. Los torneos pueden descubrir a aquellos que no solo tienen aptitud para la seguridad, sino que muestran activamente pasión por ella. Estos campeones son vitales para mantener el impulso y actuar como punto de contacto entre equipos, supervisando a sus compañeros y defendiendo las mejores prácticas. Implementar un programa de campeones sólido, que incluya reconocimiento y apoyo ejecutivo, es un logro para la organización, además de una poderosa adición para el CV y la futura carrera del individuo.

¿La conclusión? Debemos exigir mejores resultados en las pruebas de seguridad. Menos errores comunes y más apoyo para quienes están en primera línea. ¿Por qué no descubrir cómo un torneo de desarrolladores puede ayudarte a lograrlo antes de lo que imaginas?