Comment « Game of Codes » guide le groupe IAG vers un avenir de codage plus sécurisé

IAG Group est le nom derrière bon nombre des principales compagnies d'assurance de la région Asie-Pacifique, souscrivant des polices pour des millions de clients pour un montant d'environ 11,4 milliards de dollars australiens de primes par an. Bianca Wirth est responsable de l'éducation et de la sensibilisation à la sécurité d'entreprise pour IAG Group. Très consciente de la nécessité d'une sensibilisation et de pratiques de sécurité rigoureuses au sein de l'équipe de développement, elle a entrepris de créer un environnement véritablement innovant et optimal dans lequel l'équipe pourrait apprendre des techniques essentielles de codage sécurisé.

ENTRÉE : Game of Codes

Le défi

Les développeurs manquent souvent de temps, avec de multiples livrables et projets en cours. Cependant, rester à jour sur les meilleures pratiques de sécurité est de la plus haute importance pour toute organisation, et encore plus pour une entreprise qui doit protéger des millions de profils de données clients sensibles contre les pirates informatiques. Bianca et son équipe ont défini des objectifs clairs pour rendre leurs initiatives de cybersécurité plus robustes. Ils ont déterminé que la priorité était de minimiser la surface d'attaque des applications développées par IAG, et qu'ils y parviendraient en apprenant aux développeurs à identifier et à corriger les vulnérabilités critiques et à haut risque. Il existe certes des formations longues au codage sécurisé, mais elles peuvent être laborieuses, fastidieuses et détourner le personnel clé des projets de développement aux délais de livraison stricts, ce qui crée une pression dans toute l'entreprise. Le besoin de faire monter en compétences l'équipe de développement rapidement, avec un impact minimal sur la charge de travail et les opérations, est devenu évident. Et avec des développeurs répartis en Australie et en Nouvelle-Zélande, travaillant chacun sur des systèmes qui n'étaient pas nécessairement les mêmes, ce n'était pas une mince affaire.

« Cette année, j'ai apporté une modification à notre code source qui a supprimé une vulnérabilité d'injection SQL. Pour cette reconnaissance, je crédite Game of Codes. Même le simple fait de garder le codage sécurisé à l'esprit est utile. La compétition est un bon moyen de pousser les gens à donner le meilleur d'eux-mêmes… car soyons honnêtes, la sécurité n'est pas le sujet le plus amusant pour tout le monde, donc c'est un bon moyen d'impliquer les gens. » R, développeur chez IAG

La mise en œuvre

Bianca a élaboré la stratégie de déploiement d'une expérience de formation ludique, en travaillant en collaboration avec son équipe et Secure Code Warrior pour mettre en place des tournois et des formations visant à promouvoir les compétences de leurs développeurs internes. Pour cela, il était essentiel d'établir une stratégie de communication solide, ainsi que de répondre aux différentes motivations et personnalités des employés lors de l'adoption d'une toute nouvelle plateforme et de son utilisation à son plein potentiel :

« Nous avons conçu un plan de communication, détaillant la manière dont nous allions communiquer aux employés et aux principales parties prenantes les points essentiels, les messages clés et les incitations que nous leur offrions également. La plupart des gens apprécient vraiment l'expérience ludique. Cela dépend simplement de leur personnalité, de leur motivation et de ce qui les anime. C'est pourquoi nous essayons de répondre à une grande variété de motivations. Pour certains, ce sont les prix qui comptent, pour d'autres, l'aspect accomplissement en lui-même est un facteur suffisant », a-t-elle déclaré

Bianca et IAG ont brillamment mis en avant la plateforme d'apprentissage ludique de Secure Code Warrior, transformant leur tournoi en une compétition amusante baptisée « Game of Codes », où le personnel, réparti en maisons aux thèmes médiévaux (avec des produits dérivés à l'effigie de leur équipe), s'est affronté dans une bataille digne de son homonyme produit par HBO.

Le tournoi a même été porté sur la scène internationale, avec un match Australie contre Nouvelle-Zélande bientôt lancé. Cela donne à IAG l'opportunité d'identifier les champions de la sécurité dans les deux pays, tout en garantissant que les équipes montent en compétences ensemble.

Le résultat

Game of Codes est, en réalité, un programme de formation spécialisé. Son déploiement sous forme de tournoi interactif et amusant a permis de maintenir l'engagement du personnel de diverses manières, tout en conservant l'aspect pratique fondamental de l'exercice : donner aux développeurs les compétences nécessaires pour identifier et contrer les vulnérabilités à haut risque dans les applications développées par IAG.

En veillant à ce que les développeurs et les équipes de sécurité travaillent avec une mentalité axée sur la sécurité, et en étant équipés non seulement pour identifier, mais aussi pour corriger les vulnérabilités dès le départ, IAG prévoit une réduction des coûteux exercices de tests d'intrusion et de la pression sur l'équipe qui les réalise.

En plus du développement continu de cette compétence vitale, Game of Codes a également contribué à renforcer les relations, en insufflant un sentiment de camaraderie et une saine compétitivité entre les équipes impliquées, tout en aidant les individus à se sentir plus confiants dans leurs capacités de codage sécurisé lorsqu'ils les voient mesurées dans un tournoi basé sur les points.

Bianca a déclaré que le soutien interne au programme était immense, avec un accueil positif de la part de la direction. Cela a également conduit à la création d'un programme d'ambassadeurs, où les personnes désireuses de promouvoir le programme et de défendre la sécurité au sein de l'organisation pouvaient s'impliquer :

« Cela a été une visibilité fantastique pour certains développeurs et une excellente promotion de leurs compétences. Ils en tirent également profit dans leur propre travail, ce qui est important à constater. »

Loin d'être « juste un jeu » ou simplement un moyen plus agréable pour les responsables de département de valider leurs formations de conformité, Game of Codes offre une solution engageante à haute rétention qui transforme rapidement les novices en champions de la sécurité, ce qui est essentiel pour minimiser le risque d'une faille à grande échelle.

Et le conseil ultime, de la bouche même de Bianca :

« Si vous lancez un programme en espérant que les gens l'utilisent simplement, cela ne fonctionnera pas. Vous devez concevoir un programme autour de celui-ci pour initier et motiver un changement de comportement. Ce que nous avons construit est essentiellement un programme de gestion du changement pour les développeurs, axé sur la sécurité. »

« Après avoir suivi les sessions de formation sur Game of Codes, je m'intéresse davantage à la sécurité et j'y pense lors de la création de tests d'automatisation. Je suis testeur senior dans une équipe agile et ces sessions m'ont motivé à en apprendre davantage sur les tests de sécurité et à envisager une spécialisation dans ce domaine. » A, testeur senior chez IAG

EN BREF

• En plus de l'apprentissage ludique, IAG utilise également Secure Code Warrior comme outil d'évaluation des compétences lors du recrutement de développeurs.
• Le programme est en cours de déploiement auprès de 100 % de leur équipe de développement, et 55 % des effectifs sont déjà actifs sur la plateforme.
• Ils ont développé un ensemble d'indicateurs internes clés leur permettant de mesurer le succès du programme dans la minimisation des risques et la réduction des coûts sur le long terme.
  ‍