L'union fait la force : comment l'esprit de communauté permet de former des développeurs plus vigilants

L'expression « il faut tout un village » est un vieux proverbe africain, qui traverse de nombreuses cultures, dialectes et régions géographiques d'Afrique. Bien que les mots utilisés pour transmettre cette sagesse puissent varier, le sentiment reste le même : il faut l'apport de toute une communauté pour créer un environnement sûr, positif et enrichissant afin d'élever les générations futures en adultes épanouis.

Cela peut sembler tiré par les cheveux, mais la communauté des développeurs prospère réellement depuis des décennies sur ce principe même. L'image du geek asocial et « loup solitaire » derrière son ordinateur est, comme la plupart des stéréotypes, exagérée et ne reflète pas la réalité de notre fonctionnement. Il existe des développeurs de tous types et de tous horizons, et un esprit de communauté a toujours imprégné tout ce que nous entreprenons.

Bien avant que l'internet ne devienne la norme, nous étions sur des forums de discussion à partager des astuces, à résoudre les problèmes des uns et des autres et à débattre des meilleures pratiques (et, pour ma part, à travailler dur pour casser des choses). Ce sentiment n'a pas changé. L'internet est devenu une bête différente, avec plus de trolls et beaucoup plus de bruit, mais un saut rapide sur des plateformes comme Reddit et Stack Overflow vous donnera immédiatement un aperçu de cette volonté d'entraide, de camaraderie et de cette mine d'informations.

Cependant, nous pourrions tous contribuer à soutenir ces connexions réelles avec des personnes vivant les mêmes expériences. Interagir dans le monde physique donne une nouvelle dimension aux échanges, et favoriser une communauté « IRL » peut accélérer le partage des connaissances, clarifier les points obscurs et élargir les horizons de manière formidable.

Comment la communauté des développeurs soutient-elle la sécurité ?

Des organisations comme OWASP accomplissent un travail incroyable au sein de la communauté de la sécurité, en proposant une abondance de ressources gratuites sur les vulnérabilités, l'actualité et les alertes critiques. Hors ligne, il existe des sections OWASP dans des villes du monde entier, organisant régulièrement des événements pour permettre aux gens de se réunir, de parler de sécurité et de partager des conseils pour rendre nos logiciels plus sûrs. C'est vraiment génial, et pour moi, c'est l'essence même de la communauté du développement.

Ces communautés, qu'elles soient en ligne ou en personne, aident notamment à combler le fossé des compétences et des connaissances entre les développeurs. De nombreux développeurs expérimentés sont ravis de transmettre leur savoir, d'aider quelqu'un à débuter ou de l'orienter dans la bonne direction (tout bon Jedi sait qu'il doit aider un Padawan de temps à autre).

C'est donc toujours un réel plaisir de nous associer à eux pour organiser des événements tels que des tournois de codage sécurisé. Jusqu'à présent, nous avons soutenu des rencontres en Australie, en Angleterre, en Inde et aux États-Unis, et j'espère qu'il y en aura beaucoup d'autres à venir.

À quoi ressemble une rencontre de tournoi OWASP ? Découvrez cette vidéo d'un tournoi OWASP organisé à Londres dans les emblématiques studios de la BBC :

Ces événements contribuent certainement à renforcer la sensibilisation, et cette dynamique peut être exploitée au sein des organisations lorsqu'elles soutiennent ces initiatives locales, introduisent une formation complète au codage sécurisé et s'engagent à instaurer une culture de sécurité positive.

Comment la gamification et les tournois aident-ils à former des développeurs plus soucieux de la sécurité ?

Les rencontres OWASP sont axées sur la socialisation, le partage des connaissances et la discussion d'idées avec un large éventail de personnes sensibilisées à la sécurité. Cependant, pour ceux qui débutent dans la sécurité (ou qui n'y portent pas encore d'intérêt), ces événements peuvent passer inaperçus.

Lorsque les organisations jouent un rôle actif dans le renforcement de la sensibilisation à la sécurité et suscitent un réel intérêt parmi les développeurs, cela peut avoir un effet d'entraînement positif en instillant une quête permanente de connaissances en sécurité — le genre de motivation dont nous avons besoin pour que tout le monde prenne le codage sécurisé plus au sérieux.

Les méthodes de formation classiques sont rarement très motivantes (pensez à rester assis dans une salle de classe pendant que vos tâches quotidiennes s'accumulent, ou à essayer de rester éveillé devant des vidéos interminables), mais susciter un esprit de compétition, de plaisir et gamifier le processus peut rendre l'apprentissage beaucoup moins fastidieux. Les méthodes d'apprentissage ludiques rendent les connaissances techniques (parfois arides) beaucoup plus digestes, en les décomposant en petits morceaux qui sont contextuels, mémorisables et encouragent l'apprentissage répété. Secure Code Warrior a été conçu sur une base d'accessibilité, permettant aux développeurs de continuer à enrichir leurs acquis étape par étape, d'une manière qui fait appel à leur créativité et à leur instinct naturel de résolution de problèmes.

Les évaluations aident à garder tout le monde sur la bonne voie et à identifier les points à améliorer, mais un tournoi de codage sécurisé peut servir de catalyseur pour la sensibilisation à la sécurité au sein de l'organisation et pour un changement positif, tout en permettant aux participants de mettre en valeur leurs compétences solides. Après tout, lorsque vous voyez un classement de tournoi se mettre à jour en temps réel, vous êtes motivé à continuer à accumuler des points et à vraiment démontrer votre expertise en matière de sécurité.

À quoi ressemble un tournoi réussi ?

L'objectif de nos rencontres avec l'OWASP est toujours d'investir dans la santé durable de la communauté de la sécurité, en les aidant à promouvoir l'idée que l'apprentissage de la sécurité peut aussi être amusant.

Les tournois de programmation sécurisée sont une évidence pour mobiliser les développeurs, leur permettant d'affiner et de mettre en pratique leurs compétences dans un cadre social avec des pairs. Ils aident à briser les barrières artificielles entourant la « sécurité », souvent héritées d'expériences professionnelles ou éducatives peu gratifiantes.

Un tournoi réussi repose généralement sur les éléments suivants :

• Un peu de publicité autour de l'événement ; informez les équipes hors développement de ce qui se passe et pourquoi
• Un environnement bienveillant, qui soutient les développeurs quel que soit leur niveau
• Quelques avantages : prévoyez à manger et à boire, choisissez un thème et encouragez l'expression de chacun
• Récompenses et reconnaissance : nous adorons les goodies, et des prix originaux pour les gagnants sont un vrai plus. N'oubliez pas : vos futurs champions de la sécurité pourraient bien se révéler à cette occasion
• Un esprit de communauté et de camaraderie.

Nous évoluons vers un monde DevSecOps. La sécurité étant enfin placée au cœur des projets dès leur conception, les développeurs doivent être impliqués très tôt grâce à une formation efficace. Ils jouent un rôle clé dans la protection de l'organisation dès l'écriture du code, et dans une culture de sécurité dynamique, tout le monde peut travailler plus sereinement.