¡Deja de interrumpir mi flujo de trabajo! Cómo obtener la formación en seguridad adecuada en el momento preciso

Piensa en la última vez que estuviste en el trabajo, quizás en un equipo de desarrollo de software con una fecha de entrega imposible. De repente, tu jefe aparece y dice que hay una formación de seguridad obligatoria que debes hacer y que tienes que encajarla en tu jornada laboral además de todo lo demás.

Tanto ellos como tú lo sabéis. Es un auténtico fastidio, pero por motivos de cumplimiento, acabarás poniendo vídeos de formación aburridos de fondo mientras sigues programando, prestando atención a medias a ambas cosas y sin concentrarte realmente en ninguna. Es una situación común; es muy disruptiva y hace perder el tiempo a todo el mundo. La mayoría de la formación en seguridad es demasiado genérica y es fácil ignorar algo que aparece y desaparece de tu jornada sin aportar un valor real.

Como empresa, nuestro objetivo es ofrecerte un tipo de formación en seguridad mejor y más eficaz. Esto nace de saber exactamente lo que se siente al estar desconectado de lo que el equipo de AppSec considera importante cuando tus prioridades no están alineadas. Lo interesante es que empezamos a pensar en cómo reducir las barreras para acceder a la formación cuando la necesitas; incluso con nuestra plataforma completa, hay pasos que te alejan de tu trabajo en momentos en los que necesitas un empujón útil, pero no puedes dedicar un bloque de tiempo a una sesión de formación.

Analizamos cómo se podría implementar el microaprendizaje en tu flujo de trabajo, ya sea en el IDE o en el gestor de incidencias, de una forma más fluida. Y esto es lo que se nos ocurrió:

Esto se basa en los principios de formación justo a tiempo (JiT), donde recibes el conocimiento adecuado en el momento preciso para que sea útil y eficaz de inmediato. Es lo opuesto al enfoque de "por si acaso", que a menudo genera una sobrecarga de información que consume un tiempo y una energía mental valiosos para crear funcionalidades.

Un código de calidad es un código seguro, y si necesitas un asistente de seguridad no invasivo con el que colaborar ocasionalmente, quizá merezca la pena que lo pruebes.

Elimina las barreras y recibe la formación donde estés.

La ciberseguridad puede ser un interés para algunos, pero no para todos. Nadie debería esperar que los desarrolladores se conviertan en expertos en seguridad; eso sigue siendo trabajo de los equipos especializados de AppSec. Sin embargo, los desarrolladores con conocimientos de seguridad son valorados por sus habilidades y por la protección que ofrecen a las organizaciones desde la fase de creación del código. Es un puesto muy demandado y puedes construir los cimientos poco a poco con microaprendizaje contextual.

Ahora bien, si piensas en la formación integrada como algo parecido a Clippy (que descanse en paz), es importante señalar que, en el caso de las integraciones de Secure Code Warrior, están creadas por desarrolladores para desarrolladores, por lo que el factor irritación ha sido considerado y eliminado.

Veámoslo en acción:

Secure Code Warrior para GitHub analiza el código en busca de referencias a CWE (Common Weakness Enumeration) u OWASP en las etiquetas, el título y el cuerpo de las incidencias para mostrar formación contextual justo a tiempo. Funciona de la siguiente manera: si se encuentra una referencia a una vulnerabilidad, se publicará un comentario en la incidencia para ayudar a resolverla rápidamente y evitar que se repita. Se integra en la incidencia sin interrumpir tu proceso ni obligarte a dar rodeos para encontrar una solución.

Y si utilizas Jira, el proceso es similar:

Para los superestrellas de la seguridad, recordad que no todo depende de vosotros. Necesitaréis apoyo, formación y una razón para tomaros la seguridad en serio e integrarla en vuestro flujo de trabajo. Afortunadamente, esto es parte de un proceso DevSecOps funcional y muchas organizaciones ya lo están teniendo en cuenta. ¿Por qué no tomar ventaja?

Descárgalas ahora y dinos qué te parece.