Pourquoi la gamification est la clé pour renforcer la sécurité de vos logiciels

Responsables AppSec, RSSI, DSI, experts en cybersécurité : j'en ai rencontré beaucoup, travaillant dans toutes sortes d'entreprises à travers le monde, au cours de ma propre carrière dans le développement logiciel et la sécurité.

Peu importe leurs différences de situation, l'expérience de leur équipe ou le temps qui passe dans ce monde numérique en constante évolution, un problème demeure : ils parviennent rarement à impliquer positivement leurs équipes de développement sur les questions de sécurité. La sécurité reste un sujet tabou, une source de conflit entre les équipes et un véritable casse-tête pour le secteur.

Pourtant, la sécurité logicielle est bien trop importante pour que nous continuions sur cette voie. Nous devons changer notre façon d'aborder le sujet pour faire de la sécurité une partie intégrante du quotidien de chaque développeur. Je pense que l'un des meilleurs moyens d'y parvenir est de responsabiliser les développeurs et de les impliquer dans la sécurité, par exemple grâce à la ludification.

Le paysage actuel

Les développeurs sortent de l'université avec très peu de connaissances pratiques sur la manière de produire du code sécurisé. Ils occupent des postes où la formation à la sécurité est rarement une priorité (et quand elle l'est, elle fait généralement partie des vidéos de conformité obligatoires sur la santé et la sécurité, si ennuyeuses que personne ne se sent concerné par le codage sécurisé). Très souvent, leur première expérience avec la sécurité est un audit ou un rapport de bug qui interrompt soudainement une future version, devenant une perturbation prioritaire qui vient briser leur élan créatif. Ils se retrouvent en conflit avec les responsables de la sécurité, si bien que le mot « sécurité » devient synonyme de « critique » dans leur esprit. Quel dommage.

Il est vraiment regrettable que cette perception négative de la sécurité logicielle soit si répandue. Après tout, certains des meilleurs souvenirs de ma carrière sont liés à l'apprentissage de la sécurité logicielle. À mes débuts dans le hacking, je participais à des conférences où je pouvais non seulement tester mes compétences (et, pour être honnête, un peu frimer) face à mes pairs, mais aussi prendre un plaisir immense à rencontrer des personnes partageant les mêmes idées et aimant autant que moi décortiquer les logiciels.

BruCon, DefCon, BlackHat... ces événements permettaient à des gens comme moi de mettre nos compétences à l'épreuve dans une compétition amicale. Bien que je n'admettrais jamais avoir participé à de telles activités antisociales, certains allaient jusqu'à montrer leurs prouesses en piratant les téléphones des autres participants pour afficher leurs informations sur les écrans de présentation. C'est devenu un jeu : trouver ces failles, les exploiter et les corriger pour améliorer les logiciels. Il y a quelques années, j'ai eu le privilège de m'adresser à des centaines de jeunes au Moyen-Orient pour leur enseigner la cybersécurité. Je me souviens encore d'une fillette de huit ans parmi mes élèves qui apprenait le piratage de mots de passe par force brute et l'encodage base64 tout en jouant.

La ludification est également utilisée pour enseigner les compétences en programmation. Des établissements d'enseignement du monde entier utilisent cette approche pour apprendre à coder aux très jeunes enfants, jusqu'au lycée. Des enfants dès l'âge de quatre ans participent régulièrement à des initiatives de vacances comme CodeCamp, et il existe une multitude de programmes en ligne fantastiques qui apprennent aux enfants à coder en Python et dans d'autres langages. J'ai même acheté l'incroyable outil de codage sans écran, Cubetto, pour ma fille de quatre ans.

Cependant, malgré tout ce plaisir et ces progrès, il manque quelque chose. Personne n'avait pensé à exploiter la ludification pour apprendre aux développeurs à écrire du code sécurisé.

Enfin... presque personne. Il y a quelques années, j'ai pris conscience que nous devions rendre la sécurité inspirante à nouveau et motiver réellement les développeurs à s'impliquer et à commencer à jouer.

La ludification : la voie simple vers l'avenir.

J'ai une volonté profonde d'élever et de responsabiliser les développeurs grâce aux connaissances en sécurité, et c'est cette passion qui m'a conduit à créer Secure Code Warrior. La sécurité logicielle est tellement importante, et elle peut vraiment être passionnante.

Je ne suis pas seul à le penser.

La ludification peut rendre même les tâches les plus banales plus amusantes et maintenir l'engagement des gens, leur donnant envie de continuer à jouer, à gagner et à progresser. Il suffit de voir comment Pokémon Go ! a poussé même les plus paresseux à sortir de leur canapé pour chercher des créatures imaginaires, ou comment FitBit transforme le nombre de pas quotidiens en un objectif pour beaucoup... un sentiment de déception bien réel apparaît si ces objectifs ne sont pas atteints, si les séries sont interrompues et les badges non gagnés.

Revenons donc à la formation à la sécurité. Nous avons prouvé auprès de nombreux clients que la ludification est la clé pour transformer réellement la culture de sécurité au sein de leurs organisations, en jetant des ponts entre les équipes AppSec et les développeurs, tout en les aidant globalement à créer des logiciels de meilleure qualité.

À l'heure actuelle, la sécurité n'est pas la priorité des développeurs. En ajoutant un élément convivial, compétitif et engageant à vos méthodes de formation, vous les motivez non seulement à « jouer », mais aussi à revenir pour gagner plus de points, battre des records, devenir plus précis et défier leurs collègues.

Nous savons déjà qu'une formation réussie ressemble à ceci :

• Les développeurs peuvent travailler sur du code réel, dans leurs propres langages et frameworks.
• Les défis sont courts et couvrent toutes les vulnérabilités de sécurité courantes.
• Les défis sont constamment enrichis et mis à jour afin que les développeurs puissent continuer à développer leurs compétences au fil du temps.
• La complexité variable des défis les rend stimulants aussi bien pour les développeurs seniors que pour les moins expérimentés.
• Les développeurs et leurs managers peuvent suivre leur progression, notamment les défis terminés, leurs points forts et faibles, le temps consacré à la formation et leur précision globale.

L'un de nos plus grands clients a démontré la véritable magie d'une plateforme ludique lors de son déploiement : ils ont équipé leurs développeurs avec des accessoires d'équipe thématiques, offert des prix incroyables aux gagnants et fait de leur tournoi un événement mémorable. Depuis, ils organisent des compétitions internationales et toute leur équipe continue d'accumuler des heures de formation intensives.

Votre propre révolution logicielle commence ici. Le secteur bancaire australien montre la voie en adoptant la formation ludique pour lutter contre le code défaillant, avec une approche innovante qui bouleverse la formation traditionnelle (souvent ennuyeuse). Découvrez ce que notre client a réalisé avec son tournoi de haut niveau. Êtes-vous prêt à faire monter votre équipe en compétence avec nous ?

Nous devons changer la donne pour faire de la sécurité une partie intégrante du quotidien de chaque développeur. Je pense que l'un des meilleurs moyens d'y parvenir est de responsabiliser et d'impliquer les développeurs sur les enjeux de sécurité, notamment par la gamification.