Créer une expérience de certification en sécurité révolutionnaire

Comment une institution financière de premier plan a créé une expérience de certification en sécurité révolutionnaire

Le jeu pourrait-il être le meilleur moyen de sensibiliser les développeurs à la conformité en matière de sécurité ?

Avec des millions de clients, une riche histoire en tant qu'institution financière mondiale de confiance et un engagement envers l'innovation et la transformation numérique, ce client bancaire de premier plan a intégré Secure Code Warrior à une expérience éducative véritablement unique au sein de son organisation.

Ils ont créé une initiative interne de formation technologique visant à aider des milliers d'employés à acquérir des compétences pratiques et de pointe dans diverses disciplines, notamment l'apprentissage automatique et la cybersécurité.

Le secteur des services financiers traverse actuellement une période de transformation rapide et radicale, où de nombreuses entreprises adaptent leurs offres de services pour suivre le développement effréné des technologies émergentes. En substance, elles deviennent des entreprises technologiques à part entière axées sur la finance. L'approche de notre client lui a non seulement permis de suivre cette tendance, mais aussi d'obtenir des résultats meilleurs (et plus intelligents) que la plupart des autres. Ils ont investi massivement dans leurs propres collaborateurs pour qu'ils restent à la pointe de ces domaines vitaux et en pleine expansion, se plaçant ainsi à l'avant-garde de l'innovation et de l'expertise FinTech.

Pour mener à bien ce programme, notre client et son équipe ont estimé qu'il était nécessaire de s'assurer que leurs développeurs maîtrisaient parfaitement le codage sécurisé et possédaient un haut niveau de sensibilisation à la cybersécurité. Le responsable de la sensibilisation à la sécurité a cherché à impliquer l'équipe de manière positive, en suscitant leur enthousiasme pour la sécurité dès le départ.

Le défi

Le responsable de la sensibilisation à la sécurité de notre client possède une longue expérience dans le secteur de la sécurité, ce qui lui a permis d'être aux premières loges de l'adoption massive des applications en ligne par les entreprises, grandes et petites, ainsi que de la croissance rapide des équipes axées sur le numérique. Il a constaté de visu le cloisonnement inévitable de l'expertise qui peut découler d'une telle hyper-expansion, un problème récurrent pour de nombreuses équipes de sécurité et de développement : « Au début de l'adoption du numérique, les développeurs pensaient à la sécurité et l'appliquaient à leurs builds logiciels. Cependant, dans un environnement de plus en plus cloisonné, une équipe travaille par exemple sur un système d'exploitation qui est ensuite envoyé à une équipe de sécurité pour analyse ; il revient souvent avec une série de corrections et de remarques. Le logiciel est sécurisé, certes, mais les conclusions et les connaissances disparaissent dans un trou noir, pour que le cycle se répète indéfiniment », explique-t-il.

Il évoque le « défi humain » lorsqu'il parle des problèmes de sécurité qu'il rencontre fréquemment dans le cadre de ses fonctions :

Les ingénieurs logiciels sont payés pour créer des fonctionnalités, et la sécurité peut être perçue comme un frein majeur au développement agile. Ils sont occupés par leurs propres priorités et considèrent souvent la sécurité comme le travail de quelqu'un d'autre. À l'extrême, certains pensent : « Eh bien, rien ne s'est passé jusqu'à présent. Pourquoi s'inquiéter autant de la sécurisation de ce logiciel, et pourquoi cela interrompt-il mon cycle de développement ? » Dans un monde de plus en plus numérisé, cette attitude doit changer. Plutôt que de la considérer comme une nuisance, nous devons faire comprendre l'importance de partager la responsabilité de la sécurité logicielle.

Face à la dépendance croissante envers le développement pour alimenter nos vies numériques, il a vu le danger venir : en tant que société, nous sommes des cibles faciles pour les pirates informatiques, sur un terrain de jeu de plus en plus inégal pour les « gentils ». Les développeurs devaient prendre la sécurité au sérieux, développer un vif intérêt et devenir la première ligne de défense de son organisation (et, en fait, de toute entreprise technologique sérieuse).

Il a donc entrepris de bouleverser la formation traditionnelle.

La mise en œuvre

Le responsable de la sensibilisation à la sécurité a porté la philosophie globale de notre client visant à établir une nouvelle norme en matière de qualité logicielle. Plus précisément, l'idée que le niveau de sécurité inhérent à un logiciel est un indicateur de sa qualité globale et de sa viabilité. À l'heure actuelle, la sécurité n'est pas étroitement liée aux mesures de qualité dans la plupart des cas, et certainement pas de la même manière que l'interface utilisateur, la vitesse et la facilité d'entretien sont prises en compte lors de l'évaluation d'un logiciel.

« La sécurité doit devenir une exigence non négociable pour une qualité logicielle élevée », a-t-il déclaré. « Elle est corrélée à la fiabilité, ce qui est une préoccupation majeure pour la plupart des entreprises, en particulier celles dont le modèle économique se transforme et se numérise rapidement. »

Le coût de correction des vulnérabilités dans le code déjà validé étant jusqu'à trente fois plus élevé que s'il avait été écrit de manière sécurisée dès le départ, l'objectif clé est devenu d'« intégrer » une culture de sécurité viable au sein de ses équipes de développement. Après tout, certaines vulnérabilités ne sont pas détectées par les outils d'analyse, et la solution la plus efficace pour les combattre est une équipe de développement soucieuse de la sécurité.

Le responsable de la sensibilisation à la sécurité a détaillé son expérience avec d'autres formes de formation, dont beaucoup sont encore couramment utilisées pour « convaincre » et préparer les développeurs à faire face aux préoccupations croissantes en matière de sécurité : « Lorsque les développeurs sont laissés à eux-mêmes pour apprendre la sécurité à travers une tonne de théorie, ou pire, une formation de conformité ponctuelle où il suffit de cocher des cases, il n'y a tout simplement pas assez d'apprentissage pratique ou de temps consacré pour avoir un impact durable. J'étais déterminé à changer cela en appliquant une solution plus efficace », a-t-il déclaré.

Les avantages d'un engagement élevé

Sur les conseils d'un responsable de la sensibilisation à la sécurité avisé et de son équipe, notre client a mis en œuvre un programme de certification sur mesure, dont la plateforme Secure Code Warrior fait partie intégrante.

Leur recherche d'une solution de formation des développeurs plus efficace et plus engageante les a conduits à adopter très tôt la gamification, en maximisant sa puissance et son potentiel grâce à leur propre programme structuré et complet.

« Il était essentiel d'intégrer une formation très engageante à notre culture pour inciter les étudiants à poursuivre leur apprentissage. Ce système repose sur une approche réfléchie visant à renforcer les connaissances, les compétences et la valeur accordée à la sécurité, pour aboutir à une manipulation concrète du code source utilisé au quotidien », a-t-il déclaré.

En garantissant une solution globale, couvrant à la fois les meilleures pratiques de sécurité du secteur et les directives internes, notre client a pu déployer rapidement sa formation, améliorant ainsi significativement la sécurité logicielle au sein de l'organisation.

Le résultat

Le programme de certification de notre client est un format de formation performant et en constante évolution, parfaitement adapté aux initiatives innovantes telles que leurs centres de formation technique internes. Ce cursus approfondi, déployé de manière ludique, interactive et stimulante, garantit aux étudiants une rétention optimale des connaissances, tout en favorisant l'émergence d'une culture et d'un état d'esprit axés sur la sécurité. Si la gamification rend l'apprentissage plus attrayant, l'objectif pratique demeure : doter les développeurs des compétences nécessaires pour identifier et contrer les vulnérabilités critiques de leurs applications.

Il est important de noter que cette formation n'était pas obligatoire, exigeant ainsi une certaine motivation de la part des développeurs. Bien que soutenue par des incitations et des récompenses, l'adoption du programme par l'ensemble de l'équipe a surtout résulté d'un engouement collectif et d'une adhésion croissante au processus.

En plus de développer des compétences essentielles, le programme aide à rapprocher les équipes de développement et de sécurité applicative, en les mettant sur la même longueur d'onde, en harmonisant leur langage et en créant des intérêts communs.

Bien loin d'une simple formalité de conformité, ce programme est devenu un pilier du développement professionnel des collaborateurs, offrant une montée en compétences mesurable dans l'un des secteurs les plus dynamiques au monde : la cybersécurité. Ce type de programme fera figure de référence pour améliorer la sécurité logicielle dès la conception.

En bref

• La réponse des étudiants ayant terminé la certification est sans précédent, beaucoup exprimant le souhait de devenir formateurs. Cet enthousiasme spontané est un moteur puissant pour le bouche-à-oreille, l'adoption du programme et la sensibilisation globale à la sécurité.
• Notre client déploie actuellement le programme auprès de plus de 2 500 développeurs, dont plus de 90 % sont déjà actifs sur la plateforme.
• Ils utilisent cette formation pour accompagner le développement de carrière de leurs collaborateurs, en leur donnant les moyens d'évoluer dans un paysage technologique en constante mutation.