Le chemin vers les champions de la sécurité : comment Workday a utilisé l'apprentissage agile pour faire monter ses développeurs en compétences

Situation

Avant d'adopter l'apprentissage agile avec Secure Code Warrior, Workday utilisait des formations internes composées d'enregistrements de présentations PowerPoint traitant du top 10 de l'OWASP avec quelques exemples de pseudocode. Alex Uda, responsable du programme de formation en sécurité pour les développeurs, a réalisé que cette approche n'aidait ni son équipe ni l'équipe de sécurité dans son ensemble à atteindre leurs objectifs d'amélioration de la posture de sécurité globale de Workday. Les développeurs se désintéressant rapidement de ces formations, ils ont décidé de solliciter leurs retours et ont identifié deux points récurrents :

1. Le besoin d'une formation plus pratique
2. Le besoin de contenus plus spécifiques aux langages de programmation
   

Action

En collaborant avec les développeurs, Alex et son équipe ont identifié deux priorités majeures pour obtenir l'adhésion des équipes et créer un programme d'apprentissage du code sécurisé engageant et efficace.

Clarté et simplicité

La plupart des développeurs n'arrivent pas en poste avec des connaissances en sécurité. Tout ce qui est frustrant ou chronophage pousse les développeurs à chercher des solutions de contournement. Ce que Workday a remarqué avec SCW, c'est que la plateforme permet aux développeurs d'avoir une vision claire du processus, de se l'approprier et de l'intégrer naturellement dans leurs flux de travail.

Opérationnalité et valeur

Les développeurs veulent avant tout pouvoir agir rapidement sur ce qui affecte leur base de code ou leur cycle de vie. Pour ce faire, ils doivent être formés aux bonnes méthodes. Si vous voulez qu'un développeur s'intéresse à la sécurité, il est essentiel de mettre en avant la valeur concrète de ces sujets.

Pour structurer le programme, Alex et son équipe ont d'abord recueilli les avis d'un groupe pilote de « champions de la sécurité » sur la plateforme, puis ont travaillé avec leur responsable de la réussite client pour mettre en œuvre leurs suggestions. Alex et son équipe ont ensuite analysé leurs outils SAST et diverses métriques sur le nombre d'incidents et d'événements de sécurité pour évaluer les risques les plus élevés dans leur environnement actuel et les tendances du secteur. Ils se sont initialement concentrés sur le top 10 de l'OWASP et sur les vulnérabilités à haut risque les plus courantes chez Workday
‍

« En offrant aux développeurs cet apprentissage et cette autonomie, SCW nous a permis d'apporter des améliorations concrètes à la sécurité de nos logiciels. Il ne s'agit pas seulement d'écrire du code, mais aussi d'opportunités de croissance et de carrière. Le soutien de Workday envers le programme de sécurité existe parce que toute l'entreprise est alignée sur cet objectif ; les développeurs ont donc pu consacrer du temps à leur apprentissage et à leur développement. Consacrer deux heures par semaine à la formation sur la durée permet de développer cette mémoire musculaire par la régularité. »
‍

Résultats

Traditionnellement, on a tendance à considérer la sécurité comme une étape finale du processus de développement. En travaillant avec l'équipe de sécurité, les développeurs de Workday perçoivent désormais la sécurité comme une composante essentielle du cycle de développement. Ils peuvent traiter les problèmes de sécurité rapidement et plus tôt dans le SDLC, ce qui constitue l'impact majeur de ce programme. Pour une équipe basée à Dublin, le nombre de problèmes de sécurité est passé de 4 662 — soit une moyenne de près de 31,08 problèmes par jour — à 0 en l'espace d'environ 18 mois.

Alex décrit la croissance du programme comme « un effet boule de neige après avoir commencé avec des champions de la sécurité très impliqués. À mesure que nous avons fait connaître le programme et ses avantages à la direction, et que nous avons augmenté le nombre de participants, nous avons constaté une croissance naturelle grâce au bouche-à-oreille. Du point de vue de la formation, notre objectif est de donner à nos développeurs les compétences nécessaires pour développer du code de manière sécurisée. C'est d'autant plus crucial que Workday continue de croître. »

Points clés

Selon Alex, « Pour réussir à mettre la sécurité à l'échelle, il est impératif que nos développeurs adoptent un état d'esprit axé sur la sécurité afin d'aider à identifier les risques dès la phase de conception. Cela s'inscrit dans notre initiative "shift left" visant à donner à nos développeurs les moyens d'économiser du temps, de l'argent et bien des tracas. Plus nous réussissons notre apprentissage du code sécurisé, moins nous détectons de vulnérabilités lors de nos scans et tests d'intrusion. »

Pour les développeurs, il est important de prendre du plaisir en apprenant la sécurité
SCW excelle à montrer à quel point cela peut être stimulant. Si vous vous impliquez dans l'apprentissage de la sécurité, faites-le pleinement. Considérez cela comme une partie intégrante de votre processus de développement et de votre évolution de carrière.

‍Encouragez les développeurs à contacter l'équipe s'ils sont curieux au sujet de la sécurité
Engagez la conversation et lancez cette collaboration.‍

Considérer la sécurité comme une boîte noire ou un ajout optionnel à votre projet est une approche archaïque qui finit par nuire à votre logiciel
Adopter la sécurité comme partie intégrante du processus de développement — au même titre que le TDD, l'agilité et le linting — améliorera le flux de travail et augmentera la qualité des logiciels livrés aux clients.