Pourquoi la gamification est la clé pour améliorer la sécurité de vos logiciels

Des responsables de la sécurité des applications, des RSSI, des DSI, des experts en cybersécurité - j'ai parlé à beaucoup d'entre eux, travaillant dans toutes sortes d'entreprises du monde entier - au cours de ma propre carrière dans le développement de logiciels et la sécurité.

Quelle que soit leur situation, l'expérience de leur équipe ou le temps qui passe dans ce monde numérique en constante évolution, un problème reste le même : ils sont rarement en mesure d'impliquer positivement leur équipe de développement en matière de sécurité. La sécurité reste le gros mot, la source de conflits entre les équipes et la véritable difficulté du secteur.

Cependant, la sécurité logicielle est tout simplement trop importante pour que notre état d'esprit général continue dans cette voie. Nous devons nous efforcer de changer la donne, de faire de la sécurité une partie intégrante de la vie professionnelle de chaque développeur. Et je pense que l'un des meilleurs moyens d'y parvenir est de responsabiliser les développeurs et de les impliquer en matière de sécurité par le biais, par exemple, de la gamification.

Le paysage actuel

Les développeurs quittent l'université avec très peu de connaissances pratiques sur la fourniture de code sécurisé. Ils occupent des emplois où la formation à la sécurité est rarement une priorité (et quand c'est le cas, elle fait généralement partie des vidéos de conformité obligatoires en matière de santé et de sécurité, qui sont si ennuyeuses que personne ne se soucierait du codage sécurisé). Très souvent, leur première expérience en matière de sécurité est un rapport de bogue d'audit ou de test qui interrompt soudainement une future version, perturbant instantanément leur esprit créatif. Ils se trouvent en désaccord avec les responsables des rapports de sécurité, de sorte que « sécurité » devient synonyme de « critique » dans leur esprit. Beurk.

Il est vraiment dommage que cette perception négative de la sécurité des logiciels soit si répandue. Après tout, certains des meilleurs souvenirs que je garde de ma carrière sont liés à l'apprentissage de la sécurité logicielle. J'ai passé mes premières journées en matière de piratage informatique à assister à des conférences, où je pouvais non seulement tester mes compétences (et pour être honnête, me montrer un peu) par rapport à mes pairs, mais aussi m'amuser énormément à rencontrer des personnes partageant les mêmes idées qui aimaient autant que moi casser des logiciels.

BruCon, DefCon, BlackHat... ces événements ont permis à des personnes comme moi d'utiliser leurs compétences lors de compétitions amicales. Je n'admettrais jamais avoir participé à de telles activités antisociales, mais certains démontreraient même leurs prouesses en matière de piratage informatique en s'introduisant dans les téléphones des autres participants et en affichant leurs informations sur les écrans de présentation à la vue de tous. C'est devenu un jeu, trouver ces failles, les exploiter et les corriger, afin d'améliorer les logiciels. Il y a quelques années, j'ai eu le privilège de rencontrer des centaines d'enfants du Moyen-Orient pour leur enseigner la cybersécurité. Je me souviens encore d'une fillette de huit ans parmi mes élèves, qui apprenait le forçage brut des mots de passe et l'encodage base64 tout en jouant à des jeux.

La gamification est également utilisée pour enseigner les techniques de codage. Les établissements d'enseignement du monde entier utilisent cette approche pour enseigner le codage aux très jeunes enfants, même jusqu'à l'âge du lycée. Des enfants d'à peine quatre ans participent désormais régulièrement à des initiatives de vacances telles que Code Camp, et il existe de nombreux programmes en ligne fantastiques qui enseignent aux enfants à coder en Python et dans d'autres langages. J'ai même acheté l'incroyable outil de codage sans écran, Cubetto, pour ma fille de quatre ans.

Cependant, malgré tout ce plaisir et ces progrès, il y a un écart. Personne n'a pensé à la possibilité de tirer parti de la gamification pour former les développeurs à l'écriture de code sécurisé.

Eh bien... presque personne. Il y a quelques années, je me suis rendu compte que nous devions redonner de l'inspiration à la sécurité et motiver réellement les développeurs à s'impliquer et à commencer à jouer.

Gamification : la solution la plus simple.

Je suis profondément déterminé à aider les développeurs à acquérir des connaissances en matière de sécurité, et c'est cette passion qui m'a amené à créer Secure Code Warrior. La sécurité des logiciels est très importante, et elle peut vraiment être passionnante.

Je ne suis pas le seul à penser.

La gamification peut rendre les tâches les plus banales encore plus amusantes et permet aux joueurs de rester suffisamment motivés pour continuer à jouer, à gagner et à progresser. Il suffit de regarder la façon dont Pokemon Go est joué ! a permis à la personne la plus paresseuse de se lever du canapé, de sortir à la recherche de créatures imaginaires, ou de découvrir comment FitBit se donne pour objectif quotidien d'atteindre le nombre de pas... Si ces objectifs ne sont pas atteints, si les séries sont interrompues et que les badges ne sont pas gagnés, un véritable sentiment de déception se manifeste.

Revenons donc à la formation en matière de sécurité. Nous avons prouvé à de nombreux clients que la gamification est essentielle pour réellement transformer la culture de sécurité de leurs organisations, en établissant des liens entre les équipes AppSec et les équipes de développement, et en les aidant généralement à créer des logiciels répondant à des normes plus élevées.

À l'heure actuelle, la sécurité n'est pas la priorité des développeurs. En ajoutant un élément amical, compétitif et engageant à vos méthodes d'entraînement, vous les motivez non seulement à « jouer », mais aussi à revenir pour gagner plus de points, battre les meilleurs scores, devenir plus précis et défier les autres membres de l'équipe.

Nous savons déjà qu'une formation réussie ressemble à ceci :

• Les développeurs sont capables de travailler en code réel et dans leurs propres langages/frameworks
• Les défis sont courts et couvrent toutes les failles de sécurité courantes
• Les défis sont constamment étendus et mis à jour afin que les développeurs puissent continuer à développer leurs compétences au fil du temps
• Les défis varient en complexité, ils sont donc intéressants à la fois pour les développeurs expérimentés et pour les développeurs moins expérimentés
• Les développeurs et leurs responsables peuvent visualiser les progrès réalisés, notamment les défis qu'ils ont relevés, leurs forces et leurs faiblesses, le temps consacré à la formation et leur précision globale.

L'un de nos plus gros clients a démontré la véritable magie d'une plateforme gamifiée lors de son déploiement, en proposant à ses développeurs du matériel d'équipe thématique, en offrant des prix incroyables aux gagnants des jeux et en faisant de son tournoi une journée inoubliable. Depuis, ils proposent des compétitions internationales et toute leur équipe continue de s'entraîner sérieusement à ce jour.

Votre propre révolution logicielle commence ici. Le secteur bancaire australien est à l'avant-garde en adoptant la formation gamifiée pour lutter contre les mauvais codes, dans le cadre d'une approche véritablement innovante qui bouleverse la formation traditionnelle (ou ennuyeuse). Il suffit de regarder ce que notre client a fait avec son tournoi de niveau supérieur. Es-tu prêt à Améliorez votre équipe avec nous ?

Nous devons nous efforcer de changer la donne, de faire de la sécurité une partie intégrante de la vie professionnelle de chaque développeur. Et je pense que l'un des meilleurs moyens d'y parvenir est de responsabiliser les développeurs et de les impliquer en matière de sécurité par le biais, par exemple, de la gamification.