Champions vs coachs : pourquoi chaque équipe de développement a besoin des deux

Les termes « champion » et « coach » trouvent une résonance croissante en dehors du domaine sportif et imposent une présence forte dans la plupart des contextes. Il existe des coachs de vie, des coachs bien-être, des coachs en empathie, et des « champions » sont couronnés dans de nombreuses organisations ; des titres comme « champion de la sécurité » ou « champion de la culture d'entreprise » deviennent plus courants et intégrés à l'esprit et à la culture des affaires. Quand les choses se compliquent, qui ne voudrait pas d'un coach ou d'un champion dans son camp ?

Les institutions du secteur de la cybersécurité utilisent depuis longtemps des champions pour diffuser les bonnes pratiques de sécurité au niveau du développement et maintenir des normes plus élevées en matière de sécurité logicielle. BSIMM les appelle le groupe satellite, tandis qu'OpenSAMM et Axway figurent parmi les groupes pionniers soutenant les security champions en tant que concept et programme formalisé. Ces initiatives recoupent et soutiennent l'un des principaux objectifs du mouvement DevSecOps, à savoir l'engagement à partager la responsabilité de la sécurité entre les équipes et les fonctions, dès le début du processus de développement logiciel.

De nombreuses entreprises qui excellent dans leur approche de la cybersécurité ont mis en place un programme officiel de « security champions », confiant des responsabilités clés en matière de sécurité — allant de la liaison entre les équipes et la promotion interne à la supervision des meilleures pratiques — à des personnes faisant preuve d'aptitude et de passion pour ce rôle.

Cependant, il est devenu évident que le rôle du « security champion » évolue, et qu'une entreprise avant-gardiste peut atteindre de nouveaux sommets en matière de bonnes pratiques de sécurité évolutives grâce à une équipe élargie, avec des passionnés clés soutenant des fonctions différentes, mais tout aussi importantes.

Nous redéfinissons et multiplions le rôle du security champion pour avoir un réel impact dans un programme de sécurité pérenne. Êtes-vous prêt à constituer votre prochaine équipe de rêve ?

Derrière chaque grande équipe se cache un coach inspirant.

Lorsque vous pensez à Lionel Messi, Michael Jordan ou Serena Williams, seuls les fans les plus inconditionnels sont généralement capables de citer des faits sur leurs coachs. Pourtant, c'est ce pilier de soutien proche, qui affine leurs compétences naturelles, leur talent et leur détermination vers leurs objectifs, qui engendre l'immense succès que nous voyons sous les projecteurs.

Personne n'attend des développeurs qu'ils gagnent un tournoi du Grand Chelem ou marquent un but pour l'Argentine ; d'ailleurs, personne ne devrait même attendre des développeurs qu'ils soient des experts en sécurité (après tout, ils ont signé pour créer des fonctionnalités géniales, pas pour plonger dans les profondeurs de la sécurité). Mais un excellent « coach » en sécurité est leur véritable champion au sein de l'équipe.

Un security champion côté développement est bien plus proche de ce que nous reconnaissons comme les fondamentaux d'un coach. Ils sont passionnés par la sécurité, maîtrisent leur sujet et constituent un point de contact clé lorsqu'un développeur a un problème de sécurité à résoudre. Ils possèdent le savoir-faire pratique pour les aider à corriger le problème et à apprendre de leurs erreurs, tout en veillant à ce que l'équipe soit alignée sur les valeurs et les meilleures pratiques de sécurité fondamentales.

Le champion AppSec peut-il se lever ?

Un champion côté AppSec est une pièce souvent manquante du puzzle des programmes de sécurité. Ils sont absolument vitaux pour le succès d'une équipe de développement et, en tant que pont entre la direction et les développeurs, ils peuvent activement les défendre et les aider à disposer des outils nécessaires pour avoir un impact positif sur la réduction des vulnérabilités, la sécurité logicielle, ainsi que la confiance et la satisfaction des clients.

Un excellent champion AppSec est reconnu comme un leader de la sécurité au sein de l'entreprise, et il devrait jouer un rôle majeur dans la formation directe des coachs en sécurité, avec pour objectif final de forger de meilleurs résultats et de meilleures relations entre les équipes, le tout au service d'un but commun : un code sécurisé, robuste et infaillible.

Invoquez votre super-coach.

Les champions et les grands coachs vont de pair, et ensemble, ils créent la magie. Les programmes de security champions existants ont tendance à se concentrer sur le développeur, mais comme nous l'avons identifié, le véritable rôle de champion devrait se situer du côté de l'AppSec, laissant les développeurs les plus passionnés et sensibilisés à la sécurité aider à atteindre l'excellence en matière de codage sécurisé en coulisses, tout en tirant le reste de l'équipe vers le haut.

Découvrir le coach idéal reste un processus similaire à celui du champion traditionnel : le meilleur coach n'est pas simplement la personne qui est la « meilleure » en sécurité. L'individu qui excelle dans le codage sécurisé et la production de code fortifié de haute qualité peut n'avoir aucun intérêt à assumer un rôle extrascolaire, ou peut-être n'est-il pas particulièrement enthousiasmé par la sécurité malgré ses aptitudes.

Au lieu de cela, votre coach pourrait être découvert si vous cherchez quelqu'un qui :

• S'intéresse vivement à la cybersécurité, du codage pratique jusqu'à la veille sur les derniers incidents, outils et développements intéressants
• Possède de bonnes compétences interpersonnelles ; ils aiment aider les autres, se sentir comme la personne de référence (ou l'expert résident) et sont des joueurs d'équipe accessibles
• Peut être proactif dans le plaidoyer côté développement ; ils savent ce qui est nécessaire pour aider l'équipe et peuvent travailler avec leur liaison AppSec (leur champion) pour répondre aux besoins afin d'atteindre des résultats de sécurité mutuels.

Incentivez le poste de coach ; quiconque vous choisirez devra assumer plus de responsabilités, et sa charge de travail devra être évaluée en conséquence. Bien que l'intérêt personnel et l'évolution de carrière jouent un rôle dans la motivation d'un coach potentiel, il est de bonne pratique de voir comment il peut être récompensé pour ses succès. Peut-il être envoyé à une conférence exceptionnelle ? Peut-il obtenir des congés supplémentaires ? Des formations et des certifications peuvent-elles être financées pour lui ? Le temps et l'argent consacrés dès maintenant à la sécurisation du cycle de vie du développement logiciel permettent d'économiser beaucoup plus tard dans le cycle — ou pire, si une vulnérabilité est découverte en production — et un bon coach maintiendra un niveau de sensibilisation élevé. Trouvez un moyen d'offrir des récompenses significatives.

Votre programme de champions de la sécurité nouvelle génération.

En fin de compte, notre secteur doit davantage soutenir les développeurs et les rallier à la cause de la sécurité, en leur faisant comprendre qu'un code de qualité est un code sécurisé. Il est difficile de s'investir quand le temps et les efforts nécessaires à la formation et à la réussite font défaut, ce qui est malheureusement souvent le cas en matière de codage sécurisé. Une montée en compétences pratique et pertinente, associée à un coach et à un référent en sécurité applicative, constitue le trio gagnant pour renforcer les équipes de développement et libérer leur potentiel défensif.