Arrêtez de perturber mon flux de travail ! Comment obtenir la bonne formation en sécurité au bon moment

Pensez à la dernière fois où vous étiez au travail, peut-être dans une équipe de développement logiciel confrontée à une échéance impossible. Votre manager arrive alors et vous annonce qu'une formation obligatoire à la sécurité doit être suivie, et qu'elle doit être intégrée à votre journée de travail en plus de tout le reste.

Ils le savent, et vous le savez. C'est une perte de temps monumentale, mais pour des raisons de conformité, vous finissez par lancer des vidéos de formation ennuyeuses en arrière-plan tout en continuant à coder, en passant d'une tâche à l'autre sans accorder toute votre attention à aucune des deux. C'est un scénario courant ; c'est extrêmement perturbant et cela fait perdre du temps à tout le monde. La plupart des formations à la sécurité sont trop génériques, et il est facile d'ignorer quelque chose qui s'immisce dans une journée de travail sans apporter de réelle valeur ajoutée.

En tant qu'entreprise, notre objectif est de vous proposer un type de formation à la sécurité plus efficace. Cette approche est née de notre compréhension de ce que l'on ressent lorsqu'on se sent déconnecté des priorités de l'équipe AppSec, surtout quand nos propres priorités ne sont pas alignées. Ce qui est intéressant, c'est que nous avons cherché à réduire les obstacles à l'accès à la formation au moment opportun. Même avec notre plateforme complète, certaines étapes vous éloignent de votre travail, à des moments où vous avez besoin d'un coup de pouce, mais sans pouvoir consacrer un bloc de temps à une session de formation.

Nous avons étudié comment le micro-apprentissage pouvait être intégré à votre flux de travail, dans votre IDE ou votre outil de suivi des tickets, de manière plus fluide. Voici ce que nous avons imaginé :

Cette approche repose sur les principes du « Just-in-Time » (JiT), où vous recevez les connaissances appropriées au moment précis où elles sont utiles et immédiatement applicables. C'est l'opposé de l'apprentissage « au cas où », qui entraîne souvent une surcharge d'informations et consomme un temps et une énergie précieux que vous pourriez consacrer au développement de fonctionnalités.

Un code de qualité est un code sécurisé. Si vous avez besoin d'un assistant de sécurité non intrusif pour collaborer occasionnellement, cela vaut peut-être la peine de l'essayer.

Éliminez les obstacles et faites venir la formation à vous.

La cybersécurité peut intéresser certains, mais pas tout le monde. Personne ne devrait attendre des développeurs qu'ils deviennent des experts en sécurité ; cela reste le rôle des équipes spécialisées en AppSec. Cependant, les développeurs sensibilisés à la sécurité sont reconnus pour leurs compétences et la protection qu'ils offrent aux organisations dès la phase de développement. C'est un profil très recherché, et vous pouvez construire ces bases au fil du temps grâce au micro-apprentissage contextuel.

Si vous comparez cette formation intégrée à Clippy (paix à son âme), sachez que les intégrations de Secure Code Warrior sont conçues par des développeurs pour des développeurs : le facteur d'irritation a été pris en compte et éliminé.

Voyons cela en action :

Secure Code Warrior pour GitHub analyse votre code à la recherche de références CWE (Common Weakness Enumeration) ou OWASP dans les étiquettes, les titres et le corps des tickets afin d'afficher une formation contextuelle « juste à temps ». Si une référence à une vulnérabilité est détectée, un commentaire est ajouté au ticket pour faciliter une résolution rapide et prévenir les vulnérabilités récurrentes. L'outil s'intègre à votre flux de travail sans interruption et sans vous compliquer la tâche.

Si vous utilisez Jira, le processus est similaire :

Pour les superstars déjà sensibilisées à la sécurité, n'oubliez pas que vous n'êtes pas seuls pour accomplir des miracles. Vous aurez besoin de soutien, de formation et de raisons concrètes de prendre la sécurité au sérieux au sein de votre flux de travail. Heureusement, cela fait partie intégrante d'un processus DevSecOps fonctionnel, et de nombreuses organisations l'ont déjà compris. Pourquoi ne pas prendre une longueur d'avance ?

Téléchargez-les maintenant, et dites-nous ce que vous en pensez.