Apprentissage contextuel et pratique : la méthode survoltée pour muscler votre expertise en sécurité

J'ai une mauvaise nouvelle à vous annoncer.

La formation traditionnelle est morte.

Enfin, pas tout à fait... mais elle devrait probablement l'être. Les études ont démontré à maintes reprises que réunir des personnes dans une salle de classe pour apprendre quelque chose de nouveau, valider une tâche de conformité ou suivre une remise à niveau est l'une des méthodes les moins efficaces pour transmettre un savoir. Et en matière de formation en entreprise, les statistiques ne sont guère meilleures. La Harvard Business Review a publié une étude sur l'efficacité de la formation en salle pour les nouvelles recrues des grandes entreprises, révélant que cette méthode nécessite en moyenne huit à douze mois pour que les nouveaux employés soient opérationnels et productifs. C'est un délai très long pour exploiter pleinement les compétences d'une personne (et une longue période d'incertitude pour la nouvelle recrue). Aujourd'hui, la plupart des entreprises n'ont pas ce luxe ; inévitablement, on va au plus pressé, les employés ne reçoivent pas la formation nécessaire et l'entreprise se prive d'une valeur ajoutée qui aurait pu être atteinte bien plus tôt.

Il est vraiment stupéfiant de constater que de nombreuses entreprises s'appuient encore sur des salles de classe, des manuels austères et des formations vidéo soporifiques pour familiariser leurs meilleurs talents avec les bonnes pratiques ou les nouvelles initiatives, alors qu'il existe une méthode bien plus efficace, stimulante et valorisante : la formation contextuelle. Il s'avère que nous, êtres humains, retenons bien mieux les informations lorsque nous expérimentons concrètement les idées et les processus.

Maintenant, parlons des développeurs... nous sommes une espèce à part. D'après ma propre expérience, la formation traditionnelle ne me fait pas vraiment vibrer. Les développeurs sont généralement des créatifs et des résolveurs de problèmes ingénieux qui préfèrent largement utiliser les outils plutôt que d'écouter un cours magistral ou de regarder des vidéos interminables d'une tête parlante pour assimiler de nouvelles informations. Si l'on prend l'exemple de la formation à la sécurité, il existe un fossé évident dans le paysage actuel : les développeurs ne parviennent pas à corriger les vulnérabilités courantes de leur code, ce qui pousse les experts en sécurité applicative à s'arracher les cheveux face à la récurrence de problèmes pourtant simples à résoudre. La relation entre ces équipes est tendue, et les développeurs ne disposent pas des outils et de la formation adéquats pour s'impliquer dans les bonnes pratiques de développement sécurisé. Leur objectif principal est la création de fonctionnalités, mais avec l'augmentation rapide des cyber-risques pour chaque entreprise, nous ne pouvons tout simplement plus nous permettre d'ignorer ou de reléguer au second plan les connaissances en matière de sécurité.

Et le meilleur dans tout ça ? Si les développeurs sont sensibilisés à la sécurité, ces vulnérabilités courantes commencent à disparaître. Le risque diminue, tout comme les coûts liés à la correction des bugs en fin de cycle (et les experts en sécurité applicative cessent de s'arracher les cheveux par poignées).

Alors, à quoi ressemble concrètement l'engagement des développeurs via la formation contextuelle ?

Les exemples concrets sont incroyablement puissants.

Imaginez que nous devions tous apprendre à conduire en regardant des vidéos sur YouTube. Bien que vous puissiez comprendre le fonctionnement général d'une voiture et la séquence d'actions nécessaire pour avancer sur la route, il serait pratiquement impossible d'apprendre à bien conduire sans monter dans un véhicule et essayer par vous-même.

La formation contextuelle est si précieuse car elle place l'apprenant aux commandes de ce qui est enseigné. Lorsque vous disposez d'un contexte réel, l'apprentissage devient beaucoup plus stimulant et significatif.

En matière de codage sécurisé, n'importe qui peut suivre une vidéo et comprendre les bases de l'injection SQL, mais les subtilités nécessaires pour résoudre réellement le problème sont vite oubliées lorsque les délais approchent et que la livraison des fonctionnalités devient la priorité. Cependant, s'il était possible d'examiner des exemples de code réels, d'identifier l'injection et de la corriger dans le cadre d'un exercice, cela serait bien plus pertinent pour le travail quotidien d'un développeur que d'essayer de mémoriser des informations théoriques. C'est également plus concret pour lui : s'il voit du code similaire à ce qu'il écrit habituellement, il sera bien plus attentif.

Sur la plateforme Secure Code Warrior, nous avons gamifié la formation au code sécurisé en proposant une grande variété de défis dans de multiples langages et frameworks. Le système encourage la répétition et, surtout, est instantanément personnalisable pour offrir l'environnement idéal à un véritable apprentissage contextuel.

Transmettre les connaissances au moment où elles sont les plus utiles

Selon la théorie de l'apprentissage contextuel, un apprentissage efficace ne se produit que lorsque les étudiants traitent les nouvelles informations ou connaissances de manière à ce qu'elles aient du sens pour eux, au sein de leur propre cadre de référence.

Imaginez qu'un développeur reçoive une liste de vulnérabilités de sécurité provenant de programmes de bug bounty, d'outils SAST ou de logiciels de suivi de bugs. Il peut se sentir perplexe, voire dépassé, s'il n'a jamais été confronté à ces vulnérabilités auparavant. Pire encore, la plupart des rapports sont conçus pour des experts en sécurité applicative et non pour des développeurs. Les informations qu'ils contiennent sont difficiles à interpréter et proposent souvent des conseils génériques qui ne sont pas directement applicables à un développeur.

Récemment, nous avons ajouté la possibilité de créer des liens directs vers des formations pratiques sur les vulnérabilités identifiées par les programmes de bug bounty, les outils SAST, les logiciels de suivi de bugs et les rapports de tests d'intrusion. Les développeurs peuvent ainsi comprendre immédiatement les bases et apprendre les bonnes pratiques de codage adaptées à leur framework spécifique.

Apprendre de cette manière garantit que les développeurs reçoivent des connaissances et une formation sur des concepts au moment où ils sont les plus pertinents, ce qui augmente considérablement leurs chances de retenir ces informations sur le long terme.

Des résultats plus rapides, moins de perturbations, des équipes plus satisfaites.

Quelle que soit la formation, un lien immédiat avec vos activités quotidiennes est bien plus efficace que l'application de concepts génériques. Vous passez moins de temps en « mode étude » ou, pire, à devoir revoir des notions déjà « apprises » lorsque vous cherchez une réponse précise.

L'un des principes de la formation contextuelle est de bâtir sur des acquis, chaque module venant enrichir le précédent pour offrir un parcours progressif vers la maîtrise. Notre plateforme soutient cette approche grâce à un système de ceintures inspiré des dojos de karaté. Chacun commence ceinture blanche pour progresser jusqu'à la prestigieuse ceinture noire, ou niveau « champion de la sécurité », après avoir accumulé les heures de formation et de tournois. Une méthode ludique, concrète et valorisante.

Vous souhaitez fidéliser vos meilleurs talents et les sensibiliser à la sécurité ? Donnez-leur les moyens de réussir.

C'est une réalité regrettable : les développeurs sensibilisés à la sécurité et les spécialistes AppSec sont aujourd'hui une ressource rare, bien qu'essentielle. Ils sont aussi notoirement difficiles à retenir.

Cybrary a mené une enquête auprès de 3 100 professionnels de l'informatique et de la sécurité en 2018, révélant que l'investissement dans la formation est un levier clé de rétention. Les entreprises qui forment leurs équipes en interne conservent leurs experts en sécurité 60 % plus longtemps, et 65 % des répondants privilégient une approche pratique. Plutôt intéressant, non ?

Cependant, l'étude souligne un point alarmant : 80 % des répondants ne se sentent pas préparés à défendre leur organisation face aux cybermenaces. Ces risques ne disparaissent pas, et une formation adaptée est plus que jamais nécessaire pour contrer les violations de données coûteuses. Bien que je sois partial, la plateforme de Secure Code Warrior pourrait être l'outil idéal pour instaurer une culture de sécurité positive, faire monter vos développeurs en compétences grâce à une formation contextuelle qu'ils apprécient, et protéger votre entreprise.Demandez une démo pour en savoir plus.