Comment convaincre votre patron d'investir dans une formation au codage sécurisé ?

Il y a de fortes chances que si vous travaillez avec des logiciels d'une manière ou d'une autre, que vous soyez développeur, responsable de l'assurance qualité, responsable de l'ingénierie ou professionnel de l'AppSec, la sécurité fasse partie de votre travail. C'est le travail de l'équipe de sécurité de signaler les vulnérabilités des logiciels, et c'est le travail du développeur de faire de son mieux pour écrire un code sans faille au départ. Mais pour que ces tâches soient aussi efficaces que possible, il est important que toutes les parties collaborent pour lutter contre les menaces de sécurité, en commençant par le code sur lequel s'exécutent vos applications. 

L'apprentissage efficace du codage sécurisé et la conservation de ces connaissances peuvent toutefois donner l'impression qu'il s'agit d'une tâche difficile en soi. Avec les bons outils, ce n'est pas nécessaire. Mais il n'est pas toujours facile de convaincre les parties prenantes et les supérieurs d'investir dans le bon type de formation. La formation est trop souvent choisie dans le seul but de cocher une case de conformité et, la plupart du temps, elle n'a rien à voir avec le travail quotidien d'un développeur. Et si les développeurs pouvaient se former à la sécurité en temps réel, dans le langage et le cadre qu'ils utilisent tous les jours, tout en s'amusant ? Et pour couronner le tout ? Votre organisation se conforme en même temps aux normes de l'industrie.

Nous vous soutenons. Voici quelques stratégies pour obtenir l'adhésion de vos pairs, de vos responsables et des décideurs finaux de votre organisation à un programme de formation au codage de la sécurité axé sur les développeurs.   

Éviter les vulnérabilités des logiciels dès le départ permet d'économiser un temps et un argent incommensurables.

Passez-vous trop de temps à trouver, signaler ou résoudre des problèmes de sécurité récurrents ? Vous n'êtes pas le seul. 

Imaginez le scénario suivant : Dès que l'AppSec trouve une vulnérabilité et la signale au développement, les développeurs se lancent dans une leçon de formation pertinente et apprennent non seulement comment corriger cette faille, mais aussi comment éviter de commettre la même erreur à l'avenir. Quel serait, selon vous, le résultat ? Le développeur se souviendrait très probablement de cette leçon en raison de sa pertinence et serait moins susceptible de commettre à nouveau la même erreur. Cela signifie que si vous travaillez dans une équipe de sécurité, c'est un développeur de moins qui risque de créer à nouveau cette vulnérabilité sans le savoir et ce même développeur est moins susceptible de devoir revenir en arrière et la corriger à nouveau.

Regardez cette vidéo de notre client, Contrast Security, sur la puissance de la formation en temps réel pour son équipe de développement.

Si tous les développeurs participaient régulièrement à des formations sur le code sécurisé et disposaient d'outils leur permettant de se renseigner sur les problèmes de sécurité en temps réel, le temps récupéré pour créer des logiciels remarquables et travailler sur des programmes de sécurité serait incommensurable. Cela semble être un bon argument pour que votre organisation investisse dans un tel outil, n'est-ce pas ? 

Si vous avez trouvé un outil génial que vous aimeriez utiliser pour vous perfectionner en sécurité, quelque chose comme (cough) Secure Code Warriorc'est un excellent argument pour le présenter au CISO ou au CTO de votre organisation. 

Des développeurs responsabilisés produisent de meilleurs résultats et sont plus heureux.

Le temps et l'argent sont bien sûr très importants pour votre équipe de direction, mais la satisfaction au travail l'est tout autant. Des employés satisfaits obtiennent de meilleurs résultats, restent plus longtemps à leur poste et contribuent à un environnement de travail positif. C'est pourquoi le développement de carrière et la formation constituent un investissement et non un coût. Et si cette formation est amusante et qu'elle enseigne quelque chose de pertinent ? C'est un billet d'or pour la réussite. 

La bonne nouvelle, c'est que les développeurs sont généralement très motivés pour apprendre la sécurité parce qu'ils savent à quel point elle est importante pour leur travail. Nous avons interrogé des développeurs du monde entier dans le cadre d'une étude menée avec Evans Data Corporation et nous avons découvert que les développeurs veulent apprendre la sécurité pour les raisons suivantes : 

1. Il augmente la productivité et l'efficacité
2. Ils sont curieux et personnellement intéressés par le sujet.
3. Ils veulent éviter les problèmes liés à un code non sécurisé
4. Ils comprennent qu'ils ont la possibilité de progresser dans leur carrière.
5. Il s'agit d'une utilisation plus efficace des ressources humaines.
   

(Téléchargez le livre blanc complet ici).

Le seul problème, c'est que la plupart des formations au codage sécurisé les laissent tomber. Elle n'est pas adaptée à leur travail quotidien et, avouons-le, elle est carrément ennuyeuse. Ce sont là des caractéristiques qui ne donnent généralement pas de bons résultats en termes de rétention des informations et d'apprentissage réel. En revanche, lorsque le site learning platform est axé sur les développeurs, qu'il est amusant et attrayant et qu'il est en rapport avec leur travail, il peut donner de vrais résultats et créer des individus autonomes qui veulent écrire du code sécurisé. Et pourquoi votre patron, qu'il s'agisse d'un responsable du développement, d'un CISO ou d'un CTO, ne voudrait-il pas que les développeurs soient intéressés par le codage sécurisé et qu'ils aient les compétences nécessaires pour le faire ?

La compréhension de la sécurité fait de nous de meilleurs ingénieurs 

Lorsque les ingénieurs comprennent comment les logiciels peuvent être vulnérables aux attaques, ils font leur travail en gardant cela à l'esprit. Plus une personne comprend ce qui peut mal tourner, plus elle adopte une approche préventive.

En outre, un code de mauvaise qualité est plus susceptible de contenir des vulnérabilités logicielles et il est plus facile pour un développeur d'introduire à son insu une vulnérabilité dans ce code. Pourquoi ? Parce qu'une grande partie de leur travail consiste à lire et à modifier du code. Lorsque ce code est mal organisé et utilise une mauvaise logique, il faut plus de temps pour effectuer ces tâches et il devient plus facile de modifier quelque chose et d'introduire accidentellement un bogue de sécurité critique.

Lorsque l'on comprend la sécurité et la manière d'éviter les problèmes, on réfléchit aussi davantage à la qualité globale du code et à la manière de l'écrire de manière à ce qu'un bogue ne puisse pas être facilement introduit par accident. La formation à la sécurité est une formule gagnant-gagnant. Les développeurs apprennent à coder en toute sécurité, mais ils deviennent aussi de meilleurs ingénieurs. 

Le nombre fait la force

Une autre tactique efficace pour obtenir l'adhésion de vos dirigeants à l'adoption d'un codage sécurisé learning platform est d'obtenir l'adhésion de vos collègues. Plus il y a de développeurs désireux d'améliorer leurs connaissances en matière de sécurité, plus il sera facile de convaincre la direction ou la suite de la direction d'investir dans ce domaine.

Alors, comment faire ? Étant donné que la plupart des développeurs comprennent la nécessité de s'améliorer en matière de sécurité et veulent apprendre, cela ne devrait pas être trop difficile. Vous pouvez également leur demander de jeter un coup d'œil à la vitrine des développeurssecure code warrior , de découvrir notre produit et de commencer à tester leurs compétences en matière de codage sécurisé. Une fois qu'ils auront vu l'impact d'un code non sécurisé et appris que l'apprentissage de la sécurité peut être amusant, ils se sentiront encouragés à en apprendre davantage.

Une fois que vous avez adopté l'outil adéquat, une compétition saine est un excellent moyen d'inciter vos développeurs à s'impliquer. Essayez de lancer votre programme de formation en organisant un concours tournament. 

Découvrez comment Nelnet a fait preuve d'une grande créativité avec tournaments pour créer une culture de la sécurité au sein de son entreprise.

La formation continue en matière de sécurité favorise une culture d'entreprise souhaitable

La formation n'a pas à être ennuyeuse, et elle ne devrait pas l'être. Nous savons que les cours magistraux sont coûteux, difficiles à organiser - en particulier avec des équipes distribuées - et qu'il est peu probable que vous en retiriez grand-chose. Mais les organisations continuent à proposer aux développeurs des formations sur le codage sécurisé qui ne font guère plus que cocher une case chaque année pour la conformité. Il ne suffit plus de maintenir le statu quo. Il est temps que les responsables du développement et de l'AppSec améliorent leur jeu et travaillent ensemble pour mettre en œuvre un outil de formation qui favorise un apprentissage continu et engageant. Et cela commence par convaincre les décideurs.

Une formation continue et pratique est nécessaire pour un certain nombre de raisons. Les menaces liées à la cybersécurité évoluent en permanence, il est donc naturel que la formation à la lutte contre ces menaces soit elle aussi continue. De plus, comme nous l'avons déjà mentionné, lorsque nous apprenons en temps réel, nous avons beaucoup plus de chances de retenir ce que nous avons appris. Il est difficile de coder en tenant compte de la sécurité, car il est irréaliste d'attendre d'un développeur qu'il se souvienne de quelque chose qu'il a appris dans un diaporama hors contexte, peut-être près d'un an auparavant. Mais s'il apprend comment éviter une vulnérabilité logicielle particulière au moment où elle lui est signalée et qu'il a l'impression de jouer à un jeu en même temps, c'est une toute autre affaire. 

Dès qu'une formation pratique et pertinente est mise en place, la sécurité fait partie de la culture de l'entreprise et n'est plus considérée comme une réflexion après coup. Elle est intégrée au processus de développement dès le début du cycle de vie du logiciel. 

Qu'attendez-vous ? Commencez à améliorer la sécurité au sein de votre organisation et à protéger les données vitales de votre entreprise et de vos clients. Obtenez l'adhésion de vos développeurs et de vos supérieurs pour faire passer le codage sécurisé au niveau supérieur dans votre organisation. Ne subissez plus les mêmes vulnérabilités une fois pour toutes en pensant à la sécurité dès le départ. 

Besoin de plus de ressources? ‍

Téléchargez le kit complet "Convaincre votre RSSI / CTO".