Por qué la gamificación es la clave para mejorar la seguridad de tu software

Gerentes de AppSec, CISO, CIO, expertos en ciberseguridad: he hablado con muchos de ellos, que trabajan en todo tipo de empresas en todo el mundo, a lo largo de mi propia carrera en el desarrollo de software y la seguridad.

Sin importar cuán diferente sea su situación, cuán experimentado sea su equipo o cuánto tiempo pase en este mundo digital en constante cambio, hay un problema que siempre permanece igual: rara vez logran involucrar positivamente a su equipo de desarrollo en la seguridad. La seguridad sigue siendo una palabra tabú, la fuente de conflicto entre equipos y un verdadero dolor de cabeza para la industria.

Sin embargo, la seguridad del software es demasiado importante para que nuestra mentalidad general siga por este camino. Debemos trabajar para cambiar la conversación y hacer que la seguridad sea una parte integral de la vida laboral de todo desarrollador. Creo que una de las mejores formas de lograrlo es empoderando a los desarrolladores e involucrándolos en la seguridad a través, por ejemplo, de la gamificación.

El panorama actual

Los desarrolladores salen de la universidad con muy pocos conocimientos prácticos sobre cómo entregar código seguro y trabajan en empleos donde la formación en seguridad rara vez es una prioridad (y cuando lo es, suele formar parte de los vídeos de cumplimiento obligatorio sobre salud y seguridad, que son tan aburridos que nadie se siente motivado a interesarse por la programación segura). Muy a menudo, su primera experiencia con la seguridad es una auditoría o un informe de errores de prueba que detiene repentinamente un futuro lanzamiento, convirtiéndose en una interrupción de máxima prioridad que bloquea su mente creativa. Se encuentran en conflicto con los responsables de los informes de seguridad, por lo que, en su mente, "seguridad" se convierte en sinónimo de "crítica". Qué horror.

Sinceramente, es una verdadera lástima que esta percepción negativa de la seguridad del software esté tan extendida. Después de todo, algunos de mis mejores recuerdos de mi carrera están relacionados con el aprendizaje sobre seguridad de software. Pasé mis primeros días como hacker asistiendo a conferencias, donde no solo podía poner a prueba mis habilidades (y, para ser honesto, presumir un poco) frente a mis compañeros, sino también divertirme muchísimo conociendo a personas afines que disfrutaban rompiendo software tanto como yo.

BruCon, DefCon, BlackHat... estos eventos brindaban a personas como yo la capacidad de poner en práctica nuestras habilidades en una competencia amistosa. Aunque nunca admitiría haber participado en cosas tan antisociales, algunos incluso demostraban su destreza hackeando los teléfonos de otros asistentes y mostrando su información en las pantallas de presentación para que todos la vieran. Se convirtió en un juego: encontrar estos fallos, explotarlos y corregirlos para mejorar el software. Hace unos años, tuve el privilegio de estar frente a cientos de niños en Oriente Medio enseñándoles sobre ciberseguridad. Todavía recuerdo a una niña de ocho años entre mis estudiantes que aprendía sobre fuerza bruta de contraseñas y codificación base64 mientras jugaba.

La gamificación también se utiliza para enseñar habilidades de programación. Las instituciones educativas de todo el mundo están utilizando este enfoque para enseñar a programar a niños muy pequeños, incluso hasta la edad de bachillerato. Niños de tan solo cuatro años asisten regularmente a iniciativas vacacionales como CodeCamp, y existe una gran cantidad de programas en línea fantásticos que enseñan a los niños a programar en Python y otros lenguajes. Incluso compré la increíble herramienta de programación sin pantalla, Cubetto, para mi hija de cuatro años.

Sin embargo, a pesar de toda esta diversión y progreso, hay un vacío. Nadie pensó en la posibilidad de aprovechar la gamificación para enseñar a los desarrolladores a escribir código seguro.

Bueno... casi nadie. Hace unos años, me di cuenta de que necesitábamos volver a hacer que la seguridad fuera inspiradora y motivar realmente a los desarrolladores a involucrarse y empezar a jugar.

Gamificación: el camino sencillo a seguir.

Siento un impulso profundo de elevar y empoderar a los desarrolladores con conocimientos de seguridad, y es esta pasión la que me llevó a crear Secure Code Warrior. La seguridad del software es muy importante y realmente puede ser emocionante.

No soy el único que piensa así.

La gamificación puede hacer que incluso las tareas más mundanas sean más divertidas y mantiene a las personas lo suficientemente comprometidas como para querer seguir jugando, ganando y progresando. Solo hay que ver cómo Pokémon Go! hizo que hasta la persona más perezosa se levantara del sofá, saliera al aire libre y buscara criaturas imaginarias, o cómo FitBit hace que para muchos sea un objetivo diario alcanzar su número de pasos... se siente una decepción muy real si no se cumplen esos objetivos, si se rompen las rachas y no se ganan las insignias.

Así que, volviendo a la formación en seguridad. Hemos demostrado con muchos clientes que la gamificación es clave para transformar realmente la cultura de seguridad en sus organizaciones, tendiendo puentes entre los equipos de AppSec y los de desarrollo, además de ayudarles, en general, a crear software de un estándar más alto.

En este momento, la seguridad no es la prioridad del desarrollador. Al añadir un elemento amistoso, competitivo y atractivo a sus métodos de formación, los motivas no solo a "jugar", sino a seguir regresando para ganar más puntos, superar récords, ser más precisos y desafiar a sus compañeros de equipo.

Ya sabemos que una formación exitosa se ve más o menos así:

• Los desarrolladores pueden trabajar con código real y en sus propios lenguajes o frameworks
• Los desafíos son breves y cubren todas las vulnerabilidades de seguridad comunes
• Los desafíos se amplían y actualizan constantemente para que los desarrolladores sigan mejorando sus habilidades con el tiempo
• Los desafíos varían en complejidad, por lo que resultan atractivos tanto para desarrolladores sénior como para los menos experimentados
• Los desarrolladores y sus responsables pueden ver el progreso, incluyendo los desafíos completados, sus puntos fuertes y débiles, el tiempo dedicado a la formación y su precisión general.

Uno de nuestros mayores clientes demostró la verdadera magia de una plataforma gamificada durante su lanzamiento: equiparon a sus desarrolladores con artículos temáticos del equipo, ofrecieron premios increíbles a los ganadores e hicieron de su torneo un día inolvidable. Desde entonces, han organizado competiciones internacionales y todo su equipo sigue acumulando horas de formación a día de hoy.

Tu propia revolución de software comienza aquí. El sector bancario australiano lidera la adopción de formación gamificada en la lucha contra el código defectuoso, con un enfoque innovador que da un giro a la formación tradicional (o aburrida). Echa un vistazo a lo que hizo nuestro cliente con su torneo de alto nivel. ¿Estás listo para subir de nivel a tu equipo con nosotros?

Debemos trabajar para cambiar la conversación y hacer que la seguridad sea una parte integral de la vida laboral de cada desarrollador. Creo que una de las mejores formas de lograrlo es empoderando e involucrando a los desarrolladores en la seguridad mediante, por ejemplo, la gamificación.