Cómo un «Juego de Códigos» guía a IAG Group hacia un futuro de programación más seguro

IAG Group es la entidad detrás de muchas de las principales compañías de seguros en la región de Asia-Pacífico, que suscribe pólizas para millones de clientes por un valor aproximado de 11.400 millones de dólares australianos en primas anuales. Bianca Wirth es la gerente de Educación y Concienciación sobre Seguridad Corporativa de IAG Group. Muy consciente de la necesidad de una concienciación y unas prácticas de seguridad rigurosas dentro del equipo de desarrollo, se propuso crear un entorno verdaderamente innovador y óptimo en el que el equipo pudiera aprender técnicas vitales de codificación segura.

LLEGA: Game of Codes

El desafío

Los desarrolladores suelen tener el tiempo muy ajustado, con múltiples entregables y proyectos en marcha. Sin embargo, mantenerse al día con las mejores prácticas de seguridad es de suma importancia para cualquier organización, y más aún para una que debe proteger millones de perfiles de datos confidenciales de clientes frente a los piratas informáticos. Bianca y su equipo establecieron objetivos claros para hacer que sus iniciativas de ciberseguridad fueran más sólidas. Determinaron que la prioridad era minimizar la superficie de ataque en las aplicaciones desarrolladas por IAG, y que abordarían esto enseñando a los desarrolladores a identificar y corregir vulnerabilidades críticas y de alto riesgo. Ciertamente existen cursos largos de formación en codificación segura, pero pueden ser laboriosos, tediosos y apartar al personal clave de proyectos de desarrollo con plazos de entrega estrictos, lo que genera presión en toda la empresa. Se hizo evidente la necesidad de mejorar las competencias del equipo de desarrollo rápidamente, con un impacto mínimo en la carga de trabajo y las operaciones. Y con desarrolladores en Australia y Nueva Zelanda, cada uno trabajando en sistemas que no eran necesariamente los mismos, esto no fue una tarea fácil.

“Este año, hice un cambio en nuestro código fuente que eliminó una vulnerabilidad de inyección SQL. El mérito de este reconocimiento se lo doy a Game of Codes. Incluso el simple hecho de mantener la codificación segura presente es útil. La competición es una buena forma de animar a la gente a dar lo mejor de sí misma... porque seamos sinceros, la seguridad no es el tema más divertido para todo el mundo, así que esta es una buena manera de involucrar a la gente”. R, desarrollador de IAG

La implementación

Bianca planificó el lanzamiento de una experiencia de formación gamificada, trabajando junto con su equipo y Secure Code Warrior en la implementación de torneos y formación para promover las habilidades de sus desarrolladores internos. Para ello, fue esencial establecer una estrategia de comunicación sólida, así como atender a las diferentes motivaciones y personalidades que tiene el personal a la hora de adoptar una plataforma totalmente nueva y utilizarla en todo su potencial:

“Diseñamos un plan de comunicación que consistía en cómo íbamos a comunicar al personal y a las partes interesadas clave los puntos que debían conocer, los mensajes clave y también qué incentivos les ofrecíamos para que respondieran. A la mayoría de la gente le gusta mucho la experiencia gamificada. Solo depende de sus personalidades, su motivación y lo que les impulsa. Por eso intentamos atender a una amplia gama de motivaciones. A algunos les encantan los premios, para otros el aspecto del logro en sí mismo es un factor suficiente”, dijo ella

Bianca e IAG exhibieron con maestría la plataforma de aprendizaje gamificado de Secure Code Warrior, transformando su torneo en una divertida experiencia competitiva bautizada como "Game of Codes", con personal dividido en casas de temática medieval (con merchandising de jugador de marca) enfrentándose en una batalla digna de su homónima producida por HBO.

El torneo incluso ha llegado al escenario internacional, con un próximo enfrentamiento entre Australia y Nueva Zelanda a punto de lanzarse. Esto le da a IAG la oportunidad de identificar a los principales campeones de seguridad en ambos países, además de garantizar que los equipos mejoren sus competencias juntos.

El resultado

Game of Codes es, en efecto, un programa de formación especializado. Su lanzamiento como un torneo interactivo y divertido garantizó que el personal se mantuviera comprometido de diversas maneras, pero la practicidad fundamental del ejercicio se mantuvo: dotar a los desarrolladores de las habilidades necesarias para identificar y frustrar vulnerabilidades de alto riesgo en las aplicaciones desarrolladas por IAG.

Al garantizar que tanto los desarrolladores como los equipos de seguridad trabajen con una mentalidad de seguridad primero, además de estar equipados no solo para identificar, sino para corregir vulnerabilidades desde el principio, IAG prevé una reducción en los costosos ejercicios de pruebas de penetración y en la carga de trabajo del equipo que los lleva a cabo.

Además de seguir desarrollando esta competencia vital, Game of Codes también ayudó a construir relaciones, inyectando un sentido de camaradería y competitividad amistosa entre los equipos involucrados, al tiempo que ayudaba a las personas a sentirse más seguras en sus habilidades de codificación segura al verlas medidas en un entorno de torneo basado en puntuación.

Bianca afirmó que el apoyo interno al programa fue inmenso, con una recepción positiva por parte de la dirección ejecutiva. Esto también condujo a un programa de embajadores, donde las personas interesadas en promover el programa y defender la seguridad dentro de la organización pudieron involucrarse:

“Ha sido una exposición fantástica para algunos desarrolladores y una excelente promoción de sus habilidades. También están obteniendo beneficios de ello en sus propios trabajos, lo cual es importante ver”.

Lejos de ser "solo un juego", o simplemente una forma más agradable para que los gerentes de departamento cumplan con la formación obligatoria, Game of Codes ofrece una solución atractiva y de alta retención que convierte a los novatos en seguridad en campeones de seguridad rápidamente, lo cual es esencial para minimizar el riesgo de una brecha a gran escala.

Y el mejor consejo, de boca de la propia Bianca:

«Si lanzas cualquier programa y esperas que la gente simplemente lo use, no funcionará. Debes diseñar un programa en torno a él donde inicies y motives un cambio de comportamiento. Lo que construimos fue, esencialmente, un programa de gestión del cambio para desarrolladores, centrado en la seguridad».

«Tras participar en las sesiones de formación de Game of Codes, me interesa más la seguridad y la tengo presente al crear pruebas de automatización. Soy tester sénior en un equipo ágil y estas sesiones me han motivado a aprender más sobre pruebas de seguridad y considerarlo como una posible especialización».A, Tester sénior en IAG

DATOS CLAVE

• Además del aprendizaje gamificado, IAG también utiliza Secure Code Warrior como herramienta de evaluación de habilidades en la contratación de desarrolladores.
• Están en proceso de implementar el programa en el 100 % de su equipo de desarrollo, con un 55 % ya activo en el sistema.
• Han desarrollado un conjunto clave de métricas internas que les permiten medir el éxito del programa en la minimización de riesgos y la reducción de costes a largo plazo.
  ‍