Comment Colgate-Palmolive a renforcé les compétences des développeurs en matière de sécurité et créé une culture du codage sécurisé

TL ; ESSAYER

À propos de Colgate-Palmolive

Colgate-Palmolive Company est une marque de produits de consommation marquante connue et appréciée par les foyers du monde entier. Bien qu'elle soit vieille de plus de deux siècles, il s'agit d'une entreprise innovante en pleine croissance qui tire parti du numérique pour réimaginer un avenir plus sain pour les humains, leurs animaux de compagnie et la planète.

Situation

Colgate-Palmolive, comme presque toutes les autres organisations, connaît une transformation numérique afin de mieux servir ses clients, ce qui a entraîné un changement dans la façon dont l'organisation aborde la sécurité des applications.

Alex Schuchman, CISO chez Colgate-Palmolive, l'explique ainsi :

« Il est très important pour nous de protéger les données de nos clients et d'être ainsi en mesure de renforcer la confiance, non seulement dans nos produits, mais aussi dans les interactions numériques que nos clients entretiennent avec nous. »

Mais pour Alex, le défi était de sécuriser la source des éventuelles violations des données des clients, à savoir le code lui-même.

« Le fait de travailler sur la conception des applications m'a été très utile lorsque je suis passé à mon rôle de CISO. Je comprends la difficulté de récupérer des tickets auprès d'AppSec ou la frustration de ne pas respecter les délais à cause de retouches. Par conséquent, mon objectif en tant que CISO n'était pas seulement de renforcer la sécurité dans le cycle de vie du développement logiciel, mais également de rationaliser la manière dont elle est mise en œuvre. »

Action

Colgate-Palmolive a relevé ce défi en divisant sa formation en matière de sécurité en plusieurs parties. Cela l'a rendu plus acceptable pour les développeurs, qui ont pu l'intégrer à leur flux de travail, au lieu de suivre une formation de conformité longue et monolithique à laquelle ils étaient habitués. En tirant parti de l'approche agile et contextuelle de Secure Code Warrior pour l'apprentissage sécurisé du code, les développeurs ont pu comprendre les vulnérabilités dans le contexte de leurs projets réels, ce qui a permis d'accroître l'engagement et de conserver à long terme les compétences en matière de codage sécurisé.

« Je voulais mettre en œuvre ces meilleures pratiques tout en maintenant l'engagement des développeurs », explique Alex. « Nous avons encore mandaté des parties essentielles du programme, mais le fait de maintenir la gestion de la formation et d'écouter les commentaires des développeurs a contribué au succès du programme. »

Colgate-Palmolive a mis en œuvre un flux de travail Okta qui gère le référentiel GitHub, permettant uniquement aux développeurs ayant réussi des évaluations SCW spécifiques d'accéder aux pull requests, comme illustré dans le schéma ci-dessous.

Résultats

Selon Alex, « Nous avons compris que pour optimiser le succès, nous avions besoin de l'implication de nos développeurs dès le départ. Nous avons donc veillé à ce que les développeurs sachent qu'ils joueraient un rôle essentiel dans le succès du programme. En conséquence, nous avons constaté qu'il y avait une bien meilleure relation entre notre équipe de sécurité et nos développeurs, et nous avions vraiment l'impression de travailler en équipe sur le programme. Nous continuons à développer et à étendre le programme de maturité en matière de sécurité, en nous appuyant sur le succès que nous avons déjà connu. »

Principaux points à retenir

1. Définissez clairement les objectifs du programme et mettez l'accent sur la contribution et l'engagement des développeurs. Les développeurs sont plus susceptibles d'adhérer à un programme d'apprentissage de code sécurisé intégré à leur flux de travail et intégré aux outils de développement qu'ils utilisent au quotidien.
2. L'utilisation d'un outil SSO tel qu'Okta pour accéder au référentiel de code incite l'équipe. Seuls les développeurs ayant obtenu une note de passage à des cours et à des évaluations spécifiques du SCW sont autorisés à effectuer des pull requests.
3. Au fil du temps, développez une culture de sécurité qui favorise une relation de travail solide entre les équipes AppSec et de développement.

‍