El camino hacia los campeones de seguridad: cómo Workday utilizó el aprendizaje ágil para capacitar a sus desarrolladores

Situación

Antes de implementar el aprendizaje ágil con Secure Code Warrior, Workday utilizaba cursos internos que consistían en grabaciones de presentaciones de PowerPoint sobre las 10 vulnerabilidades principales de OWASP con algunos ejemplos de pseudocódigo. Alex Uda, director del programa de formación en seguridad para desarrolladores, se dio cuenta de que esto no ayudaba a su equipo ni al equipo de seguridad en general a alcanzar sus objetivos de mejorar la postura de seguridad global de Workday. Dado que los desarrolladores perdían rápidamente el interés en la formación, decidieron solicitar sus comentarios y observaron que dos puntos surgían constantemente:

1. La necesidad de una formación más práctica
2. La necesidad de contenido más específico por lenguaje
   

Acción

Al trabajar con los desarrolladores, Alex y su equipo identificaron dos prioridades principales para lograr el compromiso de los desarrolladores y crear un programa de aprendizaje de código seguro exitoso y atractivo.

Claridad y sencillez

La mayoría de los desarrolladores no llegan a sus puestos con conocimientos de seguridad. Cualquier cosa que resulte frustrante o que consuma mucho tiempo llevará a los desarrolladores a buscar soluciones alternativas y parches rápidos. Lo que Workday observó sobre SCW es que permitía a los desarrolladores tener una idea clara del proceso, apropiarse de él e integrarlo en sus flujos de trabajo.

Capacidad de acción y valor

Los desarrolladores, ante todo, quieren poder actuar sobre algo que afecta al código base o al ciclo de vida, y hacerlo rápidamente. Para ello, necesitan formación sobre cómo hacerlo. Si quiere que un desarrollador se interese por algo como la seguridad, resalte el valor de estos temas.

En cuanto a la estructuración del programa, Alex y su equipo recopilaron primero las opiniones sobre la plataforma de un grupo piloto de defensores de la seguridad y trabajaron con su gestor de éxito del cliente para implementar sus sugerencias. A continuación, Alex y el equipo analizaron sus herramientas SAST y diversas métricas sobre el número de incidentes y eventos de seguridad para evaluar cuáles son los mayores riesgos en su entorno actual y qué está ocurriendo en el sector. Se centraron inicialmente en las 10 principales vulnerabilidades de OWASP y en las más comunes y de alto riesgo en Workday
‍

“Al dar a los desarrolladores ese aprendizaje y esa autonomía, SCW nos permitió realizar mejoras activas en la seguridad de nuestro software. No todo consiste en escribir código, también se trata de oportunidades de crecimiento y desarrollo profesional. El apoyo de Workday al programa de seguridad existe porque es un área en la que toda la empresa está alineada, por lo que los desarrolladores disponían de tiempo para aprender y formarse. Dedicar dos horas a la semana a aprender durante un periodo de tiempo ayuda a desarrollar esa memoria muscular con constancia”.
‍

Resultados

Tradicionalmente, es fácil pensar en la seguridad como la etapa final del proceso de desarrollo. Al trabajar con el equipo de seguridad, los desarrolladores de Workday ven ahora la seguridad como un componente importante del ciclo de desarrollo. Pueden actuar sobre los elementos de seguridad de forma rápida y temprana en el SDLC, lo que ha sido el mayor impacto de este programa. En el caso de un equipo con sede en Dublín, sus desarrolladores pasaron de 4662 problemas de seguridad —con una media de casi 31,08 problemas al día— a 0 en un periodo de unos 18 meses.

Alex describió el crecimiento del programa como “un efecto bola de nieve después de empezar con los defensores de la seguridad más comprometidos. A medida que difundimos el programa y sus beneficios a la dirección y seguimos aumentando nuestra participación, vimos un crecimiento casi natural gracias al boca a boca. Desde el punto de vista de la formación, nuestro objetivo es dotar a nuestros desarrolladores de las habilidades necesarias para desarrollar código de forma segura. Esto es especialmente crítico a medida que Workday sigue creciendo”.

Conclusiones clave

Según Alex, “Para escalar la seguridad con éxito, es imperativo que nuestros desarrolladores tengan una mentalidad de seguridad que ayude a identificar los riesgos durante la fase de diseño del desarrollo de software. Esto encaja en nuestra iniciativa de 'shift left' para capacitar a nuestros desarrolladores y ayudar a ahorrar tiempo, dinero y algún que otro disgusto. Cuanto mejor hagamos el aprendizaje de código seguro, menos vulnerabilidades veremos en nuestros escaneos y resultados de pruebas de penetración”.

Para los desarrolladores, es importante divertirse mientras aprenden sobre seguridad
SCW es excelente para mostrar lo emocionante que puede ser. Si se involucra en el aprendizaje sobre seguridad, aprovéchelo al máximo. Considérelo como parte de su proceso de desarrollo y de su crecimiento profesional.

‍Anime a los desarrolladores a ponerse en contacto con el equipo si tienen curiosidad sobre la seguridad
Mantenga una conversación e inicie esa colaboración.‍

Ver la seguridad como una caja negra o como un añadido a su proyecto es arcaico y, en última instancia, perjudica a su software
Adoptar la seguridad como parte del proceso de desarrollo —de la misma manera que adoptamos TDD, metodologías ágiles y linting— mejorará el flujo y aumentará la calidad del software que se entrega a los clientes.