Facteur clé n° 2 : Parrainage de la haute direction

Dans notre dernier article, nous avons établi qu'un programme de codage sécurisé réellement efficace doit définir ses objectifs en les liant directement à des résultats commerciaux critiques (Facteur clé n° 1 : Critères de réussite définis et mesurables). Mais un programme performant nécessite plus que des objectifs et des indicateurs ; il a besoin de l'influence, de la visibilité et de la crédibilité émanant des plus hautes instances de l'organisation.

This brings us to Enabler 2: Senior Leadership Sponsorship, a critical factor in ensuring widespread buy-in and adoption for your program. Securing C-Suite/Executive buy-in is essential for driving a smooth program rollout and helping drive sustained interdepartmental support.

Une adhésion active, pas une sensibilisation passive

Pour que le codage sécurisé prospère, la direction doit être pleinement engagée dans le programme. Il est indispensable que les dirigeants apportent un soutien actif, plutôt qu'une simple prise de conscience passive. Ils doivent soutenir sans réserve le « quoi » et le « pourquoi » du programme.

Il est crucial que les noms des hauts dirigeants soient associés au programme et aux résultats commerciaux visés. Ils doivent croire en la corrélation fondamentale entre des pratiques de codage sécurisé efficaces et la réduction des risques à l'échelle de l'entreprise.

En pratique, cela peut se traduire par :

Executive Participation in Program Launch - This may come in the form of email communications, company-wide kickoffs, departmental meetings, and more. They can communicate the program's rationale from the start to help build buy-in from the developer organization.

Celebrating Wins - Leadership actively celebrating developer wins can go a long way in incentivizing program participation. Whether it’s presenting awards to developers in meetings, shout-outs or kudos in company communications, or even having an executive signature on certificates of completion, it often helps developers to know that leadership is watching and appreciates their efforts.

Reviewing Value and ROI - A regular cadence of reviewing the Joint Success Plan with leadership helps ensure the program's value and return on investment (ROI) are realized. When necessary, leadership can help pull in necessary resources to help continue gaining buy-in for a program.

‍

L'équipe de direction indispensable

Pour qu'un programme de codage sécurisé gagne en importance stratégique et en élan, l'implication doit idéalement dépasser le cadre d'un seul dirigeant. Les parrains essentiels au niveau de la direction doivent inclure le(s) DSI, le CDO/CTO et le RSSI. Dans les grandes organisations, l'adhésion de ces trois rôles est nécessaire.

Ces rôles apportent des domaines d'influence distincts, cruciaux pour la réussite du programme :‍

• ‍DSI (Directeur des Systèmes d'Information) : Cette personne décide de ce que les développeurs construisent pour soutenir et faire avancer l'entreprise. Dans les grandes organisations, il peut y avoir plusieurs unités commerciales avec leurs propres DSI, potentiellement dirigés par un DSI mondial supervisant l'ensemble de la structure informatique.
• ‍CDO/CTO (Directeur du Développement / Directeur Technique) : Cette personne décide de la manière dont les développeurs construisent. Cela inclut l'établissement de normes et de modèles de conception, les outils de développement, l'architecture des applications et les pipelines de build. Il est essentiel que ce dirigeant adhère à la sécurité pour que votre programme puisse être intégré à la stratégie d'ingénierie.
• ‍RSSI (Responsable de la Sécurité des Systèmes d'Information) : Ce dirigeant est chargé de veiller à ce que les développeurs construisent de manière sécurisée. Son rôle est de garantir la sécurité des applications utilisées par l'entreprise, afin de prévenir les fuites de données ou l'exposition à des risques excessifs.
  ‍

Why the CISO Alone is Not Enough

While the CISO plays a fundamental role in driving risk management and compliance, relying solely on them can be a challenge. It is a harsh reality that developers may not be incentivized by, or necessarily respond to, the CISO alone.

Therefore, at least one of the ‘voices from the top’ communicating the ‘why’ of the program to the development community needs to be credible and respected by the majority of those developers.

Avec des objectifs clairement définis (Facteur clé n° 1) et un capital politique assuré (Facteur clé n° 2), le programme est prêt à prendre de l'élan, en passant au Facteur clé n° 3 : Plan de communication pour les développeurs.

Vous avez d'autres questions ? 

Les clients peuvent contacter leur équipe de compte ou support@securecodewarrior.com. Les prospects peuvent s'adresser à un membre de notre équipe commerciale en nous contactant ici.

Consultez notre dernier facteur clé de succès sur les critères de réussite définis et mesurables.