La unión hace la fuerza: cómo el espíritu de comunidad crea desarrolladores más seguros

La frase "se necesita toda una aldea" es un antiguo proverbio africano, que abarca muchas culturas, dialectos y ubicaciones geográficas diversas de África. Aunque el lenguaje utilizado para transmitir esta perla de sabiduría pueda variar, el sentimiento es el mismo: se requiere el aporte de toda la comunidad para crear un entorno seguro, positivo y enriquecedor que permita criar a las futuras generaciones como adultos íntegros.

Puede parecer una comparación exagerada, pero lo cierto es que la comunidad de desarrolladores ha prosperado durante décadas bajo este mismo principio. La noción del genio antisocial y "lobo solitario" detrás de una computadora es como la mayoría de los estereotipos: exagerada y no es la mejor manera de entender cómo operamos. Existen desarrolladores de todo tipo y de todos los ámbitos, y siempre ha existido un sentido de comunidad en todo lo que hacemos.

Mucho antes de que internet se convirtiera en la norma, ya estábamos en foros compartiendo consejos, resolviendo problemas ajenos y discutiendo sobre las mejores prácticas (y, ciertamente en mi caso, trabajando duro para romper cosas). Este sentimiento no ha cambiado. Internet es ahora una bestia diferente, con más troles bajo el puente y mucho más ruido, pero un rápido vistazo a sitios como Reddit y Stack Overflow le dará una sensación inmediata de disposición a ayudar, camaradería y una gran cantidad de información.

Sin embargo, algo que todos podríamos ayudar a fomentar son esas conexiones en el mundo real con personas que pasan por lo mismo. Existe una nueva capa de significado cuando interactúas en el mundo real, y facilitar una comunidad "en persona" puede acelerar el intercambio de conocimientos, aclarar dudas y ampliar horizontes de formas maravillosas.

¿Cómo apoya la comunidad de desarrolladores a la seguridad?

Organizaciones como OWASP realizan una labor increíble en la comunidad de seguridad, con abundantes recursos gratuitos sobre vulnerabilidades, noticias y alertas críticas. Fuera de internet, existen capítulos de OWASP en ciudades de todo el mundo que organizan eventos periódicos para que la gente se reúna, hable de seguridad y comparta consejos para hacer nuestro software más seguro. Es realmente fantástico y, para mí, es la esencia de la comunidad de desarrollo.

Algo que estas comunidades, ya sean en línea o presenciales, ayudan a abordar es la brecha de habilidades y conocimientos entre los desarrolladores. Muchos desarrolladores experimentados están más que felices de transmitir información, ayudar a alguien a empezar o señalarle la dirección correcta (cualquier buen Jedi sabe que debe ayudar a un Padawan de vez en cuando).

Por eso, siempre es un verdadero placer cuando podemos asociarnos con ellos para organizar eventos como torneos de codificación segura. Hasta ahora, hemos apoyado encuentros en Australia, Inglaterra, India y Estados Unidos, y espero que haya muchos más por venir.

¿Cómo es un encuentro de torneo de OWASP? Echa un vistazo a este video de un torneo de OWASP celebrado en Londres en los icónicos estudios de la BBC:

Estos eventos sin duda ayudan a crear conciencia, y este impulso puede aprovecharse dentro de las organizaciones cuando apoyan estas iniciativas de base, introducen una formación integral en codificación segura y se comprometen a operar con una cultura de seguridad positiva.

¿Cómo ayudan la gamificación y los torneos a crear desarrolladores más seguros?

Los encuentros de OWASP se basan en socializar, compartir conocimientos y debatir ideas con una amplia gama de personas conscientes de la seguridad. Sin embargo, para aquellos que son nuevos en el ámbito de la seguridad (o que aún no tienen interés en ella), estos eventos pueden pasar desapercibidos.

Cuando las organizaciones desempeñan un papel activo en la creación de conciencia sobre la seguridad y despiertan un interés real entre el grupo de desarrolladores, esto puede tener el efecto positivo de inculcar una búsqueda permanente de conocimientos de seguridad, el tipo de búsqueda que necesitamos para que todos se tomen más en serio la codificación segura.

Los métodos de formación tradicionales rara vez son un gran motivador (piense en estar sentado en un aula mientras se acumulan las tareas diarias, o intentar mantenerse despierto viendo videos interminables), pero encender un sentido de competencia, diversión y gamificar el proceso puede hacer que el aprendizaje sea mucho menos tedioso. Los métodos de aprendizaje gamificados hacen que el conocimiento técnico (y, a veces, árido) sea mucho más digerible, dividiéndolo en partes más pequeñas que son contextuales, memorables y fomentan el aprendizaje continuo. Secure Code Warrior se construyó sobre una base de accesibilidad, permitiendo a los desarrolladores seguir sumando a sus aprendizajes previos paso a paso, de una manera que apela a su creatividad y a su instinto general para resolver problemas.

Las evaluaciones ayudan a mantener a todos encaminados y a identificar áreas de mejora, pero un torneo de codificación segura puede servir como catalizador para la conciencia de seguridad organizacional y el cambio positivo, además de ser una forma para que los participantes demuestren sus sólidas habilidades. Después de todo, cuando ves una tabla de clasificación de un torneo actualizándose en tiempo real, te sientes motivado a seguir esforzándote por conseguir más puntos y demostrar realmente tu destreza en seguridad.

¿Cómo es un torneo exitoso?

El objetivo de nuestros encuentros con OWASP es siempre invertir en la salud continua de la comunidad de seguridad, ayudándoles a promover el concepto de que aprender sobre seguridad puede ser realmente divertido.

Los torneos de programación segura son una opción lógica para motivar a los desarrolladores, ayudándoles a perfeccionar y demostrar sus habilidades en un entorno social con personas afines. Ayudan a derribar las barreras artificiales que pueden rodear al concepto de "seguridad", quizás derivadas de experiencias poco gratas en el trabajo o la formación.

Un torneo realmente excelente suele constar de lo siguiente:

• Un poco de promoción en la organización; informe a quienes no pertenecen a los equipos de desarrollo sobre qué está ocurriendo y por qué
• Un entorno libre de juicios que apoye a los desarrolladores de todos los niveles
• Algunos incentivos especiales; pida comida y bebida, dele una temática y fomente la expresión personal
• Recompensas y reconocimiento; a los desarrolladores nos encanta el merchandising, y los premios interesantes para los ganadores son un plus: recuerde que sus futuros campeones de seguridad podrían descubrirse durante este proceso
• Un sentido de comunidad y camaradería.

Nos estamos convirtiendo en un mundo DevSecOps y, dado que la seguridad por fin cobra protagonismo desde el inicio de los proyectos de desarrollo de software, es necesario involucrar a los desarrolladores desde el principio con una formación eficaz. Son fundamentales para proteger a la organización frente a vulnerabilidades desde el momento en que se escribe el código y, en una cultura de seguridad próspera, todos pueden estar un poco más tranquilos.