Cómo implementar una formación eficaz en seguridad para desarrolladores: 5 lecciones importantes

¿Por qué algunos programas de formación en seguridad de aplicaciones para desarrolladores dan mejores resultados que otros?

A lo largo de mis más de 10 años como instructor de SANS y los últimos tres años fundando y construyendo Secure Code Warrior (SCW), he visto el valor de invertir tiempo y recursos en lograr que los programas de formación produzcan los mejores resultados.

En nuestro primer año de ventas, nuestra empresa involucró a más de 10,000 desarrolladores en formación en código seguro, y observé varias tendencias entre quienes tuvieron la implementación más efectiva. Sus resultados son alentadores: gran compromiso, aumento de la concienciación sobre seguridad y un sólido retorno de la inversión del programa al detectar debilidades de seguridad antes de que se vuelvan costosas.

Me cuesta admitirlo, pero también ha habido algunos que adoptaron el enfoque de "mínimo esfuerzo" e intentaron implementar un programa enviando un correo electrónico con un enlace a la formación. Como era de esperar, no funcionó tan bien y tuvimos que corregir estas implementaciones.

A continuación, comparto lo que considero cinco lecciones importantes que mejorarán significativamente los niveles de compromiso, el impacto y el éxito de cualquier programa de formación en seguridad para desarrolladores, incluido el nuestro.

1. Añade un toque divertido al lanzamiento si quieres que tu programa tenga impacto

Organizar un evento de lanzamiento especial o darle a tu programa una temática de cine, geek o videojuegos puede marcar una gran diferencia en el nivel de entusiasmo y participación desde el principio. Uno de nuestros grandes clientes creó todo un programa de fantasía en torno a una popular serie de televisión, con camisetas, insignias y pegatinas, convirtiendo todo el programa de formación en una experiencia que ningún desarrollador querría perderse. Otro basó su evento en Star Wars, celebrado convenientemente el 4 de mayo. Un poco de diversión ayuda mucho a que los empleados se involucren, haciendo que las breves sesiones de formación en habilidades de código seguro se sientan como un descanso del trabajo, en lugar de otra tarea más que hay que cumplir. Hito n.º 1 conseguido: tenemos su atención y conocen el programa.

2. Encuentra al campeón de formación en seguridad adecuado (pista: ¡necesitan más habilidades de comunicación que de seguridad!)

Ser capaz de encontrar a los campeones de seguridad adecuados en cada equipo scrum es fundamental para el éxito continuo del programa, especialmente en organizaciones más grandes. Según mi experiencia, no todos los expertos en seguridad o desarrolladores altamente cualificados tienen habilidades interpersonales o de comunicación desarrolladas. Los mejores campeones de seguridad, aquellos que darán a tu programa un impacto positivo y continuo, son personas apasionadas por la seguridad y con grandes dotes de comunicación, influencia y trato personal. Elige con sabiduría y ten en cuenta la personalidad y las habilidades comunicativas.

3. Ofrece recompensas atractivas que reconozcan las habilidades

En general, a todo friki de la informática, incluidos los desarrolladores, le gusta que se reconozca su inteligencia y sus habilidades. Cuando los recompensas con pegatinas de estatus específicas, gadgets frikis, insignias especiales o camisetas personalizadas que reconozcan sus capacidades, las lucirán con orgullo. Si alguien logra algo importante en el programa de formación, es fundamental pensar en formas de darle reconocimiento y visibilidad. Vi una gran iniciativa con un cliente que tomaba fotos regularmente de sus campeones de Secure Code Warrior y las publicaba junto a una foto y un mensaje del CISO de la empresa en el boletín informativo para empleados.

4. No intentes convertir a tus desarrolladores en expertos en seguridad

Aunque quieras que tus desarrolladores sean la "primera línea de defensa" en tu programa de seguridad ayudándoles a programar de forma segura, eso no significa que deban ser los expertos en seguridad más profundos de tu empresa, ni que debas bombardearlos continuamente con nuevas vulnerabilidades de seguridad y ejemplos de brechas de datos. Aunque la seguridad es importante, su objetivo principal suele ser crear un gran producto o servicio y seguir el ritmo del negocio. Si sobrecargas a alguien con demasiada seguridad, corres el riesgo de que pierda el interés. Lección clave aprendida: necesitan entender la higiene básica de seguridad y contar con herramientas para programar de forma segura, pero no necesitan ser los expertos en seguridad de la empresa.

5. No midas la formación, mide el impacto

No midas cuántas horas de formación realizan tus desarrolladores o cuántos vídeos ven; mide el número de debilidades que se detectan en el ciclo de vida del desarrollo mediante análisis de código, programas de recompensas por errores (bug bounties) o pruebas de vulnerabilidad clásicas antes de iniciar el programa en cada equipo. Si tu programa de formación funciona, el número de vulnerabilidades identificadas disminuirá. Lo segundo que hay que medir es el tiempo que se tarda en solucionar una vulnerabilidad. Si un desarrollador tarda un mes en arreglarla, esto demuestra claramente que no entiende cómo hacerlo, pero si puede arreglarla en una hora, sabes que domina las habilidades. Estas son las dos métricas que las empresas inteligentes están utilizando para medir el impacto de su formación en codificación segura para desarrolladores.

5 lecciones importantes para implementar una formación eficaz en seguridad para desarrolladores:

1. Añade un toque divertido al lanzamiento si quieres que tu programa tenga impacto
2. Encuentra al campeón de formación en seguridad adecuado (pista: ¡necesitan más habilidades de comunicación que de seguridad!)
3. Ofrece recompensas atractivas que reconozcan las habilidades
4. No intentes convertir a tus desarrolladores en expertos en seguridad
5. No midas la formación, mide el impacto