Facilitateur 1 : Critères de réussite définis et mesurables

Nous commençons notre plongée en profondeur dans 10 facteurs de réussite avec l'étape fondamentale de Facilitateur 1 : Critères de réussite définis et mesurables. Si un programme de codage sécurisé est un voyage, la première étape, et la plus cruciale, consiste à savoir exactement où vous allez. C'est l'essence même du premier facilitateur.

Lier les critères de réussite aux résultats commerciaux

La création d'un programme de codage sécurisé efficace nécessite l'existence d'objectifs clairs étroitement liés aux résultats commerciaux. L'Enabler 1 répond aux questions fondamentales : « Quel est, en termes très spécifiques et mesurables, le problème ou le problème que nous essayons de résoudre avec notre programme de codage sécurisé ? »

Peut-être que votre organisation souhaite se rencontrer exigences de conformité, ou éviter les failles de sécurité et les cyberattaques. Ou peut-être cherchez-vous à partir à gauche en tant qu'organisation, réduction des coûts et des délais de retouche en formant les développeurs à coder en toute sécurité dès le départ.

Quelles que soient vos motivations, l'état actuel de votre organisation ou même la plateforme de formation à la sécurité que vous choisissez, le succès à long terme de votre programme dépend largement de la définition d'objectifs clairement définis liés aux objectifs commerciaux afin de gagner l'adhésion et d'assurer un succès durable.

Consider key stakeholders of your program when determining Success Criteria. Knowing your executive sponsors and their business objectives will help drive wider adoption across departments.

‍Rendre le succès tangible et mesurable

Ces objectifs doivent, de par leur nature même, être spécifiques à votre organisation. Cela dit, passez en revue ces objectifs commerciaux types et réfléchissez à la manière dont ils pourraient vous inspirer d'autres idées :

Risk Reduction: Mitigate developer risk and reduce vulnerabilities introduced by coding flaws. This includes risk identification and reducing the application attack surface.

Programs often target metrics like Vulnerability Density or Vulnerability Injection Rate reduction and avoidance.

Operational Velocity: Maximize product delivery velocity, reducing developer frustration and attrition, and decreasing the amount of time spent on rework. Secure code training acts as a significant incentive for developers by helping them avoid time-consuming rework of buggy code identified later in the software development lifecycle.

Programs often target a reduction in developers' Mean Time to Remediate (MTTR) vulnerabilities.

Regulatory Compliance: Achieve external compliance, such as adhering to standards like PCI-DSS (which mandates training for all developers working on payment systems).

Talent and Trust: Raise engagement and awareness of Security & Vulnerabilities within the developer organization, while maintaining and building customer trust. For some businesses, security-enabled developers help establish market differentiation.

Programs often establish minimum skill requirements for developers or even create specialized Security Champion programs.

‍Documenter le succès dans un plan de réussite conjoint

‍Une fois que vous avez défini vos critères de réussite, l'étape suivante consiste à les documenter dans un Plan de réussite conjoint. Ce plan est un plan commun interfonctionnel, avec toutes les parties prenantes clés de votre programme, y compris un soutien externe tel que votre plateforme de formation CSM.

Le plan de réussite contient :

1. Facteur (s) de valeur: il s'agit notamment des objectifs commerciaux de haut niveau liés à l'amélioration de la sécurité du code et à la réponse au « pourquoi » de votre programme.
2. État actuel: Cela établit la question « Où en sommes-nous maintenant ? » (par exemple, les compétences actuelles en matière de codage sécurisé ou les programmes de formation existants).
3. État futur (souhaité): Ensuite, vous documentez « Où voulons-nous être ? » et déterminez comment le déficit de compétences en matière de codage sécurisé sera comblé.
4. KPI/mesures: Ce sont les indicateurs qui indiquent le succès et montrent que l'écart entre les États actuels et futurs se réduit à mesure que le programme se déploie.

Nous vous recommandons de commencer par 1 ou 2 indicateurs spécifiques et l'étendre ultérieurement si nécessaire. Ces KPI/mesures doivent respecter le principe S.M.A.R.T. (spécifique, mesurable, réalisable, pertinent, limité dans le temps). Ils devraient être faciles à suivre et ne pas donner lieu à des interprétations floues. La responsabilité de toutes les parties est requise pour mettre le plan en œuvre, avec un rythme régulier et convenu pour examiner la valeur et le retour sur investissement avec la direction.

En définissant et en mesurant ces critères de manière explicite, votre programme de codage sécurisé passe d'un simple centre de coûts à un moteur vérifiable de résultats commerciaux cruciaux, une première étape nécessaire pour atteindre la maturité du programme.

Ensuite, nous allons plonger dans Facilitateur 2 : Parrainage de la haute direction pour discuter du rôle clé que joue le leadership dans le déploiement réussi d'un programme de codage sécurisé.

Vous avez d'autres questions ? Les clients peuvent contacter l'équipe chargée du compte ou support@securecodewarrior.com. Les clients potentiels peuvent parler à un membre de notre équipe commerciale en nous contactant ici.