Cómo Colgate-Palmolive impulsó las habilidades de seguridad de sus desarrolladores y creó una cultura de programación segura

Resumen

Sobre Colgate-Palmolive

Colgate-Palmolive Company es una marca de productos de consumo de referencia, conocida y apreciada en hogares de todo el mundo. A pesar de contar con más de dos siglos de historia, es una empresa innovadora en crecimiento que aprovecha la tecnología digital para reimaginar un futuro más saludable para las personas, sus mascotas y el planeta.

Situación

Al igual que casi cualquier otra organización, Colgate-Palmolive está atravesando una transformación digital para servir mejor a sus clientes, lo que ha provocado un cambio en la forma en que la organización aborda la seguridad de las aplicaciones.

Alex Schuchman, CISO de Colgate-Palmolive, lo explica así:

“Para nosotros es fundamental proteger los datos de nuestros clientes y, por tanto, generar confianza, no solo en nuestros productos, sino también en las interacciones digitales que tienen con nosotros”.

Pero para Alex, el reto consistía en asegurar la raíz de las posibles brechas de datos de los clientes: el código mismo.

“Trabajar en el desarrollo de aplicaciones fue muy útil cuando asumí mi rol como CISO. Entiendo lo que supone recibir tickets de seguridad de aplicaciones o la frustración de perder plazos por tener que repetir trabajo. Por ello, mi objetivo como CISO no ha sido solo aumentar la seguridad en el ciclo de vida del desarrollo de software, sino también agilizar su implementación”.

Acción

Colgate-Palmolive abordó este desafío dividiendo su formación en seguridad en pequeñas dosis. Esto la hizo más digerible para los desarrolladores, permitiéndoles integrarla en su flujo de trabajo en lugar de las largas y monótonas sesiones de formación sobre cumplimiento a las que estaban acostumbrados. Al aprovechar el enfoque ágil y contextual de Secure Code Warrior para el aprendizaje de código seguro, los desarrolladores pudieron comprender las vulnerabilidades en el contexto de sus proyectos reales, lo que generó una mayor participación y una retención a largo plazo de las habilidades de programación segura.

“Quería implementar estas mejores prácticas manteniendo a los desarrolladores motivados”, comenta Alex. “Seguimos teniendo partes críticas obligatorias en el programa, pero mantener la formación manejable y escuchar los comentarios de los desarrolladores ha ayudado a que el programa sea un éxito”.

Colgate-Palmolive implementó un flujo de trabajo de Okta que protege el repositorio de GitHub, permitiendo el acceso para solicitudes de extracción (pull requests) solo a los desarrolladores que han superado evaluaciones específicas de SCW, tal como se muestra en el siguiente diagrama.

Resultados

Según Alex, “Entendimos que para optimizar el éxito necesitábamos contar con nuestros desarrolladores desde el principio. Por eso nos aseguramos de que supieran que serían una parte fundamental del éxito del programa. Como resultado, descubrimos que la relación entre nuestro equipo de seguridad y nuestros desarrolladores mejoró notablemente, y realmente sentimos que trabajábamos juntos como un equipo en el programa. Seguimos expandiendo y escalando el programa de madurez de seguridad, aprovechando el éxito que ya hemos alcanzado”.

Conclusiones clave

1. Defina claramente los objetivos del programa y fomente la participación y los aportes de los desarrolladores. Es más probable que los desarrolladores se comprometan con un programa de aprendizaje de código seguro si este se integra en su flujo de trabajo y en las herramientas que utilizan a diario.
2. El uso de una herramienta de SSO como Okta para restringir el repositorio de código incentiva al equipo. Solo los desarrolladores que obtengan una puntuación aprobatoria en cursos y evaluaciones específicas de SCW podrán realizar solicitudes de extracción (pull requests).
3. Con el tiempo, construya una cultura de seguridad que promueva una relación de trabajo sólida entre los equipos de AppSec y Desarrollo.

‍