Comment déployer une formation efficace à la sécurité pour les développeurs : 5 leçons clés

Pourquoi certains programmes de formation à la sécurité applicative pour les développeurs obtiennent-ils de meilleurs résultats que d'autres ?

Au cours de mes 10 années en tant que formateur SANS et des trois dernières années passées à fonder et développer Secure Code Warrior (SCW), j'ai pu constater la valeur qu'il y a à investir du temps et des ressources pour optimiser les résultats des programmes de formation.

Lors de notre première année d'activité, notre entreprise a impliqué plus de 10 000 développeurs dans une formation au code sécurisé, et j'ai remarqué plusieurs tendances chez ceux qui ont réussi le déploiement le plus efficace. Les résultats sont encourageants : un engagement fort, une meilleure sensibilisation à la sécurité et un excellent retour sur investissement, grâce à la détection précoce des failles de sécurité avant qu'elles ne deviennent coûteuses.

Je n'aime pas l'admettre, mais certains ont opté pour une approche « effort minimal » en tentant de lancer le programme par un simple e-mail contenant un lien vers la formation. Sans surprise, cela n'a pas très bien fonctionné et nous avons dû rectifier le tir.

Je partage ci-dessous ce que je considère comme cinq leçons importantes qui amélioreront considérablement le niveau d'engagement, l'impact et le succès de tout programme de formation à la sécurité pour les développeurs, y compris le nôtre.

1. Misez sur le ludique pour le lancement si vous voulez que votre programme ait de l'impact

Organiser un événement de lancement spécial ou donner à votre programme une thématique geek, cinéma ou jeu vidéo peut faire une grande différence sur le niveau d'enthousiasme et de participation dès le départ. L'un de nos grands clients a créé tout un univers fantastique autour d'une série télévisée populaire, avec t-shirts, badges et autocollants, transformant la formation en une expérience incontournable pour les développeurs. Un autre a choisi le thème Star Wars, organisé opportunément le 4 mai. Un peu de fun aide grandement à convaincre les employés, faisant de ces courtes sessions de formation aux compétences de code sécurisé une pause bienvenue plutôt qu'une tâche supplémentaire à accomplir. Premier objectif atteint : nous avons capté leur attention et ils connaissent le programme.

2. Trouvez le bon champion de la formation à la sécurité (indice : les compétences en communication priment sur les compétences techniques !)

Identifier les bons champions de la sécurité au sein de chaque équipe Scrum est crucial pour la réussite continue du programme, surtout dans les grandes organisations. D'après mon expérience, tous les experts en sécurité ou développeurs chevronnés ne possèdent pas forcément de grandes qualités relationnelles ou de communication. Les meilleurs champions de la sécurité, ceux qui auront un impact positif durable, sont ceux qui sont passionnés par la sécurité et dotés d'un excellent sens du contact, de l'influence et de la communication. Choisissez-les avec soin en tenant compte de leur personnalité et de leurs aptitudes relationnelles.

3. Proposez des récompenses sympas qui valorisent les compétences

En général, tout geek — développeurs inclus — aime voir son intelligence et ses compétences reconnues. Lorsque vous les récompensez avec des autocollants exclusifs, des gadgets geek, des badges spéciaux ou des t-shirts personnalisés qui soulignent leur savoir-faire, ils les porteront ou les afficheront avec fierté. Si quelqu'un réalise quelque chose d'important dans le cadre du programme, il est essentiel de trouver des moyens de le valoriser et de le mettre en avant. J'ai vu une excellente initiative chez un client qui prenait régulièrement des photos de ses champions Secure Code Warrior pour les publier dans la newsletter interne, accompagnées d'un message du RSSI de l'entreprise.

4. Ne cherchez pas à faire de vos développeurs des experts en sécurité

Bien que vous souhaitiez faire de vos développeurs la « première ligne de défense » de votre programme de sécurité en les aidant à coder de manière sécurisée, cela ne signifie pas qu'ils doivent devenir les experts en sécurité les plus pointus de votre entreprise, ni que vous deviez les inonder en permanence d'exemples de nouvelles vulnérabilités et de fuites de données. Si la sécurité est importante, leur objectif premier reste souvent de créer un produit ou un service de qualité tout en suivant le rythme de l'entreprise. Si vous surchargez quelqu'un avec trop de sécurité, vous risquez de le décourager. La leçon clé est la suivante : ils doivent comprendre les bases de l'hygiène informatique et être soutenus par des outils pour coder en toute sécurité, mais ils n'ont pas besoin d'être les experts sécurité de la société.

5. Ne mesurez pas la formation, mesurez l'impact

Ne mesurez pas le nombre d'heures de formation suivies par vos développeurs ou le nombre de vidéos visionnées ; mesurez plutôt le nombre de failles détectées dans le cycle de vie du développement via l'analyse de code, les programmes de bug bounty ou les tests de vulnérabilité classiques avant le lancement du programme dans chaque équipe. Si votre programme de formation fonctionne, le nombre de vulnérabilités identifiées diminuera. Le deuxième indicateur à mesurer est le temps nécessaire pour corriger une vulnérabilité. Si un développeur met un mois à la corriger, cela montre clairement qu'il ne maîtrise pas la méthode, mais s'il peut le faire en une heure, vous savez qu'il possède les compétences. Ce sont les deux indicateurs que les entreprises intelligentes utilisent pour mesurer l'impact de leur formation au code sécurisé.

5 leçons essentielles pour déployer une formation efficace à la sécurité pour les développeurs :

1. Misez sur le ludique pour le lancement si vous voulez que votre programme ait de l'impact
2. Trouvez le bon champion de la formation à la sécurité (indice : les compétences en communication priment sur les compétences techniques !)
3. Proposez des récompenses sympas qui valorisent les compétences
4. Ne cherchez pas à faire de vos développeurs des experts en sécurité
5. Ne mesurez pas la formation, mesurez l'impact