Créer une expérience révolutionnaire en matière de certification de sécurité
Comment une institution financière de premier plan a créé une expérience de certification de sécurité révolutionnaire
Un jeu pourrait-il être le chemin vers le cœur d'un développeur lorsqu'il s'agit de conformité en matière de sécurité ?
Avec des millions de clients, une riche histoire en tant qu'institution financière mondiale de confiance, et un engagement à innover et à suivre le rythme de la transformation numérique, ce client bancaire de niveau 1 a utilisé Secure Code Warrior dans le cadre d'une expérience de formation vraiment unique au sein de son organisation.
Ils ont créé une initiative de formation technologique interne, visant à soutenir des milliers d'employés pour qu'ils acquièrent des compétences pratiques et de pointe dans un certain nombre de disciplines, y compris l'apprentissage automatique et la cybersécurité.
Le secteur des services financiers traverse actuellement une période de transformation rapide et radicale, au cours de laquelle de nombreuses entreprises modifient leurs offres de services pour s'aligner sur le développement rapide des technologies émergentes. En fait, elles deviennent des entreprises technologiques à part entière, axées sur la finance. L'approche de notre client lui a permis non seulement de suivre cette tendance, mais aussi d'obtenir des résultats meilleurs (et plus intelligents) que la plupart des autres. Il a énormément investi dans son personnel pour rester au fait de ces domaines vitaux et en plein essor, ce qui lui permet d'être à la pointe de l'innovation et de l'expertise FinTech.
Pour mener à bien ce programme, notre client et l'ensemble de l'équipe ont jugé nécessaire de s'assurer que leurs développeurs maîtrisaient parfaitement le codage sécurisé et qu'ils avaient un niveau élevé de sensibilisation à la cybersécurité. Le responsable de la sensibilisation à la sécurité a cherché à impliquer l'équipe de manière positive, en l'enthousiasmant dès le départ pour la sécurité.
Le défi
Le responsable de la sensibilisation à la sécurité de notre client travaille depuis longtemps dans le secteur de la sécurité, ce qui lui a permis d'être aux premières loges pour assister à la croissance explosive de l'adoption des applications en ligne par les entreprises, grandes et petites, ainsi qu'à l'augmentation rapide du nombre d'équipes axées sur le numérique. Il a été le témoin direct de l'inévitable cloisonnement des compétences qui peut résulter d'une telle hyper-expansion et, en fin de compte, cela a été un problème pour de nombreuses équipes de sécurité et de développement : "Au début de l'adoption des services en ligne, les développeurs pensaient à la sécurité et l'appliquaient à leurs logiciels. Cependant, dans un environnement de plus en plus cloisonné, une équipe travaillera, par exemple, sur un système d'exploitation qui sera ensuite envoyé à une équipe de sécurité pour analyse, et reviendra souvent avec un tas de marques rouges et des notes sur la façon de le corriger. Le système est inévitablement sécurisé, mais les résultats et les connaissances disparaissent dans un trou noir, pour se reproduire encore et encore", a-t-il déclaré.
Il a évoqué le "défi humain" en parlant des problèmes de sécurité qu'il rencontre fréquemment dans le cadre de ses fonctions :
Les ingénieurs logiciels sont payés pour créer des fonctionnalités, et la sécurité peut être considérée comme un obstacle majeur au développement agile. Ils sont occupés par leurs propres priorités et considèrent souvent l'aspect sécurité comme le travail de quelqu'un d'autre. À l'extrémité la plus extrême de l'échelle, certains adoptent le point de vue suivant : "Rien ne s'est encore produit. Pourquoi nous préoccupons-nous tant de la sécurité de ce logiciel et pourquoi cela interrompt-il mon cycle de développement ? Dans un monde de plus en plus numérisé, cette attitude doit changer. Plutôt que d'être considérés comme une nuisance, nous devons insister sur l'importance du partage des responsabilités en matière de sécurité des logiciels.
Compte tenu de la dépendance croissante à l'égard du développement pour alimenter nos vies numériques, il a vu l'écriture sur le mur : en tant que société, nous sommes des cibles faciles pour les pirates informatiques sur un terrain de jeu de plus en plus injuste pour les gentils. Les développeurs devaient prendre la sécurité au sérieux, s'y intéresser de près et devenir la première ligne de défense de son organisation (et, en fait, de toute entreprise technologique sérieuse).
Il a donc entrepris de bouleverser la formation traditionnelle.
La mise en œuvre
Le responsable de la sensibilisation à la sécurité est à l'origine de la philosophie générale de notre client, qui consiste à établir une nouvelle norme en matière de qualité des logiciels. Plus précisément, la notion selon laquelle le niveau de sécurité inhérent à un logiciel est une indication de sa qualité globale et de la viabilité du produit. Aujourd'hui, la sécurité n'est pas étroitement liée aux mesures de qualité dans la plupart des cas, et certainement pas de la même manière que l'interface utilisateur, la vitesse et la facilité d'utilisation sont prises en compte lors de l'évaluation d'un logiciel.
"La sécurité doit devenir une exigence non négociable pour la qualité des logiciels", a-t-il déclaré. "Elle est en corrélation avec la fiabilité, qui est une préoccupation majeure pour la plupart des entreprises, en particulier celles dont le modèle d'entreprise se transforme et se numérise rapidement.
Les coûts de correction des vulnérabilités dans un code validé étant jusqu'à trente fois plus élevés que s'il avait été écrit de manière sécurisée dès le départ, il est devenu essentiel d'intégrer une culture de la sécurité viable au sein des équipes de développement. Après tout, il existe certaines vulnérabilités que les outils d'analyse ne détectent pas, et la solution la plus efficace pour les combattre est une équipe de développement soucieuse de la sécurité.
Le responsable de la sensibilisation à la sécurité a détaillé son expérience des autres formes de formation, dont beaucoup sont encore couramment utilisées pour "convaincre" les développeurs et les préparer à répondre aux préoccupations croissantes en matière de sécurité : "Lorsque les développeurs doivent se familiariser avec la sécurité par le biais d'une tonne de travaux théoriques ou, pire encore, d'une formation peu fréquente à la conformité, il n'y a tout simplement pas assez d'apprentissage pratique ou de temps consacré à la sécurité pour avoir un impact durable. J'étais déterminé à changer cela en appliquant une solution plus efficace", a-t-il déclaré.
Les avantages d'un engagement élevé
Sous les conseils d'un Security Awareness Manager avisé et de son équipe, notre client a mis en place un programme de certification sur mesure, dont la plateforme Secure Code Warrior fait partie intégrante.
Leur recherche d'une solution de formation des développeurs plus efficace et plus attrayante les a conduits à adopter très tôt la gamification, dont ils ont maximisé la puissance et le potentiel grâce à leur propre programme structuré à grande échelle.
"Il était essentiel que nous fassions de la formation à fort engagement une partie intégrante de la culture et que les étudiants reviennent pour poursuivre leur apprentissage. Le système est une approche délibérée visant à développer les connaissances, les compétences et le sens de la valeur de la sécurité, ce qui leur permet de travailler avec du code source réel qu'ils utilisent tous les jours", a-t-il déclaré.
En veillant à ce que la solution soit holistique, couvrant à la fois les meilleures pratiques de sécurité standard de l'industrie et les directives internes, notre client a pu mobiliser rapidement la formation, ce qui a eu un impact positif sur la sécurité des logiciels au sein de l'organisation.
Le résultat
Le programme de certification de notre client est un format de formation réussi, en constante évolution, qui convient parfaitement à des initiatives avant-gardistes telles que leurs installations internes de formation technique. Le cours approfondi, dispensé de manière ludique, interactive et incitative, garantit à tous les étudiants les meilleures chances de rétention des connaissances, ainsi que le soutien nécessaire au développement d'une culture et d'un état d'esprit axés sur la sécurité. Bien que la ludification rende l'apprentissage plus agréable, l'aspect pratique du programme est resté le même : donner aux développeurs les compétences nécessaires pour identifier et contrecarrer les vulnérabilités à haut risque dans leurs applications.
Il est important de noter que la formation n'était pas obligatoire et qu'elle nécessitait au contraire un élément de motivation de la part du développeur. Bien que cette motivation ait sans aucun doute été soutenue par des incitations et des récompenses, l'adoption du programme par l'ensemble de l'équipe a été le résultat du soutien et de l'approbation du processus par l'équipe de gonflement.
Outre la poursuite du développement de compétences vitales, le programme permet également de combler les lacunes relationnelles entre les équipes de développement et d'AppSec, en les mettant sur la même longueur d'onde, en leur faisant parler le même langage et en suscitant un intérêt mutuel.
Loin d'être une simple case à cocher de conformité, ce programme est devenu fondamental pour le soutien continu d'un personnel apprécié et de sa carrière, en fournissant des compétences mesurables dans l'un des secteurs à plus forte croissance de la planète : la cybersécurité. Ce sont des programmes de formation comme celui-ci qui deviendront la référence en matière d'amélioration de la sécurité des logiciels dès le départ.
En bref
- Il y a eu une réponse sans précédent de la part des étudiants qui ont obtenu la certification et qui ont exprimé le souhait de devenir instructeurs. Cet évangélisme de terrain est un puissant facteur de diffusion du soutien de bouche à oreille, d'adoption et de sensibilisation générale à la sécurité.
- Notre client est en train de déployer le programme auprès de plus de 2500 développeurs au sein de son organisation, dont plus de 90% sont déjà actifs dans le système.
- Ils utilisent cette formation pour aider le personnel à développer sa carrière, en veillant à ce qu'il soit armé des connaissances nécessaires pour utiliser ses compétences dans un espace technologique en constante évolution.
Découvrez comment ils ont créé une initiative de formation technologique interne, visant à aider des milliers d'employés à acquérir des compétences pratiques et de pointe dans un certain nombre de disciplines, notamment l'apprentissage automatique et la cybersécurité.
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Réservez une démonstration
Comment une institution financière de premier plan a créé une expérience de certification de sécurité révolutionnaire
Un jeu pourrait-il être le chemin vers le cœur d'un développeur lorsqu'il s'agit de conformité en matière de sécurité ?
Avec des millions de clients, une riche histoire en tant qu'institution financière mondiale de confiance, et un engagement à innover et à suivre le rythme de la transformation numérique, ce client bancaire de niveau 1 a utilisé Secure Code Warrior dans le cadre d'une expérience de formation vraiment unique au sein de son organisation.
Ils ont créé une initiative de formation technologique interne, visant à soutenir des milliers d'employés pour qu'ils acquièrent des compétences pratiques et de pointe dans un certain nombre de disciplines, y compris l'apprentissage automatique et la cybersécurité.
Le secteur des services financiers traverse actuellement une période de transformation rapide et radicale, au cours de laquelle de nombreuses entreprises modifient leurs offres de services pour s'aligner sur le développement rapide des technologies émergentes. En fait, elles deviennent des entreprises technologiques à part entière, axées sur la finance. L'approche de notre client lui a permis non seulement de suivre cette tendance, mais aussi d'obtenir des résultats meilleurs (et plus intelligents) que la plupart des autres. Il a énormément investi dans son personnel pour rester au fait de ces domaines vitaux et en plein essor, ce qui lui permet d'être à la pointe de l'innovation et de l'expertise FinTech.
Pour mener à bien ce programme, notre client et l'ensemble de l'équipe ont jugé nécessaire de s'assurer que leurs développeurs maîtrisaient parfaitement le codage sécurisé et qu'ils avaient un niveau élevé de sensibilisation à la cybersécurité. Le responsable de la sensibilisation à la sécurité a cherché à impliquer l'équipe de manière positive, en l'enthousiasmant dès le départ pour la sécurité.
Le défi
Le responsable de la sensibilisation à la sécurité de notre client travaille depuis longtemps dans le secteur de la sécurité, ce qui lui a permis d'être aux premières loges pour assister à la croissance explosive de l'adoption des applications en ligne par les entreprises, grandes et petites, ainsi qu'à l'augmentation rapide du nombre d'équipes axées sur le numérique. Il a été le témoin direct de l'inévitable cloisonnement des compétences qui peut résulter d'une telle hyper-expansion et, en fin de compte, cela a été un problème pour de nombreuses équipes de sécurité et de développement : "Au début de l'adoption des services en ligne, les développeurs pensaient à la sécurité et l'appliquaient à leurs logiciels. Cependant, dans un environnement de plus en plus cloisonné, une équipe travaillera, par exemple, sur un système d'exploitation qui sera ensuite envoyé à une équipe de sécurité pour analyse, et reviendra souvent avec un tas de marques rouges et des notes sur la façon de le corriger. Le système est inévitablement sécurisé, mais les résultats et les connaissances disparaissent dans un trou noir, pour se reproduire encore et encore", a-t-il déclaré.
Il a évoqué le "défi humain" en parlant des problèmes de sécurité qu'il rencontre fréquemment dans le cadre de ses fonctions :
Les ingénieurs logiciels sont payés pour créer des fonctionnalités, et la sécurité peut être considérée comme un obstacle majeur au développement agile. Ils sont occupés par leurs propres priorités et considèrent souvent l'aspect sécurité comme le travail de quelqu'un d'autre. À l'extrémité la plus extrême de l'échelle, certains adoptent le point de vue suivant : "Rien ne s'est encore produit. Pourquoi nous préoccupons-nous tant de la sécurité de ce logiciel et pourquoi cela interrompt-il mon cycle de développement ? Dans un monde de plus en plus numérisé, cette attitude doit changer. Plutôt que d'être considérés comme une nuisance, nous devons insister sur l'importance du partage des responsabilités en matière de sécurité des logiciels.
Compte tenu de la dépendance croissante à l'égard du développement pour alimenter nos vies numériques, il a vu l'écriture sur le mur : en tant que société, nous sommes des cibles faciles pour les pirates informatiques sur un terrain de jeu de plus en plus injuste pour les gentils. Les développeurs devaient prendre la sécurité au sérieux, s'y intéresser de près et devenir la première ligne de défense de son organisation (et, en fait, de toute entreprise technologique sérieuse).
Il a donc entrepris de bouleverser la formation traditionnelle.
La mise en œuvre
Le responsable de la sensibilisation à la sécurité est à l'origine de la philosophie générale de notre client, qui consiste à établir une nouvelle norme en matière de qualité des logiciels. Plus précisément, la notion selon laquelle le niveau de sécurité inhérent à un logiciel est une indication de sa qualité globale et de la viabilité du produit. Aujourd'hui, la sécurité n'est pas étroitement liée aux mesures de qualité dans la plupart des cas, et certainement pas de la même manière que l'interface utilisateur, la vitesse et la facilité d'utilisation sont prises en compte lors de l'évaluation d'un logiciel.
"La sécurité doit devenir une exigence non négociable pour la qualité des logiciels", a-t-il déclaré. "Elle est en corrélation avec la fiabilité, qui est une préoccupation majeure pour la plupart des entreprises, en particulier celles dont le modèle d'entreprise se transforme et se numérise rapidement.
Les coûts de correction des vulnérabilités dans un code validé étant jusqu'à trente fois plus élevés que s'il avait été écrit de manière sécurisée dès le départ, il est devenu essentiel d'intégrer une culture de la sécurité viable au sein des équipes de développement. Après tout, il existe certaines vulnérabilités que les outils d'analyse ne détectent pas, et la solution la plus efficace pour les combattre est une équipe de développement soucieuse de la sécurité.
Le responsable de la sensibilisation à la sécurité a détaillé son expérience des autres formes de formation, dont beaucoup sont encore couramment utilisées pour "convaincre" les développeurs et les préparer à répondre aux préoccupations croissantes en matière de sécurité : "Lorsque les développeurs doivent se familiariser avec la sécurité par le biais d'une tonne de travaux théoriques ou, pire encore, d'une formation peu fréquente à la conformité, il n'y a tout simplement pas assez d'apprentissage pratique ou de temps consacré à la sécurité pour avoir un impact durable. J'étais déterminé à changer cela en appliquant une solution plus efficace", a-t-il déclaré.
Les avantages d'un engagement élevé
Sous les conseils d'un Security Awareness Manager avisé et de son équipe, notre client a mis en place un programme de certification sur mesure, dont la plateforme Secure Code Warrior fait partie intégrante.
Leur recherche d'une solution de formation des développeurs plus efficace et plus attrayante les a conduits à adopter très tôt la gamification, dont ils ont maximisé la puissance et le potentiel grâce à leur propre programme structuré à grande échelle.
"Il était essentiel que nous fassions de la formation à fort engagement une partie intégrante de la culture et que les étudiants reviennent pour poursuivre leur apprentissage. Le système est une approche délibérée visant à développer les connaissances, les compétences et le sens de la valeur de la sécurité, ce qui leur permet de travailler avec du code source réel qu'ils utilisent tous les jours", a-t-il déclaré.
En veillant à ce que la solution soit holistique, couvrant à la fois les meilleures pratiques de sécurité standard de l'industrie et les directives internes, notre client a pu mobiliser rapidement la formation, ce qui a eu un impact positif sur la sécurité des logiciels au sein de l'organisation.
Le résultat
Le programme de certification de notre client est un format de formation réussi, en constante évolution, qui convient parfaitement à des initiatives avant-gardistes telles que leurs installations internes de formation technique. Le cours approfondi, dispensé de manière ludique, interactive et incitative, garantit à tous les étudiants les meilleures chances de rétention des connaissances, ainsi que le soutien nécessaire au développement d'une culture et d'un état d'esprit axés sur la sécurité. Bien que la ludification rende l'apprentissage plus agréable, l'aspect pratique du programme est resté le même : donner aux développeurs les compétences nécessaires pour identifier et contrecarrer les vulnérabilités à haut risque dans leurs applications.
Il est important de noter que la formation n'était pas obligatoire et qu'elle nécessitait au contraire un élément de motivation de la part du développeur. Bien que cette motivation ait sans aucun doute été soutenue par des incitations et des récompenses, l'adoption du programme par l'ensemble de l'équipe a été le résultat du soutien et de l'approbation du processus par l'équipe de gonflement.
Outre la poursuite du développement de compétences vitales, le programme permet également de combler les lacunes relationnelles entre les équipes de développement et d'AppSec, en les mettant sur la même longueur d'onde, en leur faisant parler le même langage et en suscitant un intérêt mutuel.
Loin d'être une simple case à cocher de conformité, ce programme est devenu fondamental pour le soutien continu d'un personnel apprécié et de sa carrière, en fournissant des compétences mesurables dans l'un des secteurs à plus forte croissance de la planète : la cybersécurité. Ce sont des programmes de formation comme celui-ci qui deviendront la référence en matière d'amélioration de la sécurité des logiciels dès le départ.
En bref
- Il y a eu une réponse sans précédent de la part des étudiants qui ont obtenu la certification et qui ont exprimé le souhait de devenir instructeurs. Cet évangélisme de terrain est un puissant facteur de diffusion du soutien de bouche à oreille, d'adoption et de sensibilisation générale à la sécurité.
- Notre client est en train de déployer le programme auprès de plus de 2500 développeurs au sein de son organisation, dont plus de 90% sont déjà actifs dans le système.
- Ils utilisent cette formation pour aider le personnel à développer sa carrière, en veillant à ce qu'il soit armé des connaissances nécessaires pour utiliser ses compétences dans un espace technologique en constante évolution.
Comment une institution financière de premier plan a créé une expérience de certification de sécurité révolutionnaire
Un jeu pourrait-il être le chemin vers le cœur d'un développeur lorsqu'il s'agit de conformité en matière de sécurité ?
Avec des millions de clients, une riche histoire en tant qu'institution financière mondiale de confiance, et un engagement à innover et à suivre le rythme de la transformation numérique, ce client bancaire de niveau 1 a utilisé Secure Code Warrior dans le cadre d'une expérience de formation vraiment unique au sein de son organisation.
Ils ont créé une initiative de formation technologique interne, visant à soutenir des milliers d'employés pour qu'ils acquièrent des compétences pratiques et de pointe dans un certain nombre de disciplines, y compris l'apprentissage automatique et la cybersécurité.
Le secteur des services financiers traverse actuellement une période de transformation rapide et radicale, au cours de laquelle de nombreuses entreprises modifient leurs offres de services pour s'aligner sur le développement rapide des technologies émergentes. En fait, elles deviennent des entreprises technologiques à part entière, axées sur la finance. L'approche de notre client lui a permis non seulement de suivre cette tendance, mais aussi d'obtenir des résultats meilleurs (et plus intelligents) que la plupart des autres. Il a énormément investi dans son personnel pour rester au fait de ces domaines vitaux et en plein essor, ce qui lui permet d'être à la pointe de l'innovation et de l'expertise FinTech.
Pour mener à bien ce programme, notre client et l'ensemble de l'équipe ont jugé nécessaire de s'assurer que leurs développeurs maîtrisaient parfaitement le codage sécurisé et qu'ils avaient un niveau élevé de sensibilisation à la cybersécurité. Le responsable de la sensibilisation à la sécurité a cherché à impliquer l'équipe de manière positive, en l'enthousiasmant dès le départ pour la sécurité.
Le défi
Le responsable de la sensibilisation à la sécurité de notre client travaille depuis longtemps dans le secteur de la sécurité, ce qui lui a permis d'être aux premières loges pour assister à la croissance explosive de l'adoption des applications en ligne par les entreprises, grandes et petites, ainsi qu'à l'augmentation rapide du nombre d'équipes axées sur le numérique. Il a été le témoin direct de l'inévitable cloisonnement des compétences qui peut résulter d'une telle hyper-expansion et, en fin de compte, cela a été un problème pour de nombreuses équipes de sécurité et de développement : "Au début de l'adoption des services en ligne, les développeurs pensaient à la sécurité et l'appliquaient à leurs logiciels. Cependant, dans un environnement de plus en plus cloisonné, une équipe travaillera, par exemple, sur un système d'exploitation qui sera ensuite envoyé à une équipe de sécurité pour analyse, et reviendra souvent avec un tas de marques rouges et des notes sur la façon de le corriger. Le système est inévitablement sécurisé, mais les résultats et les connaissances disparaissent dans un trou noir, pour se reproduire encore et encore", a-t-il déclaré.
Il a évoqué le "défi humain" en parlant des problèmes de sécurité qu'il rencontre fréquemment dans le cadre de ses fonctions :
Les ingénieurs logiciels sont payés pour créer des fonctionnalités, et la sécurité peut être considérée comme un obstacle majeur au développement agile. Ils sont occupés par leurs propres priorités et considèrent souvent l'aspect sécurité comme le travail de quelqu'un d'autre. À l'extrémité la plus extrême de l'échelle, certains adoptent le point de vue suivant : "Rien ne s'est encore produit. Pourquoi nous préoccupons-nous tant de la sécurité de ce logiciel et pourquoi cela interrompt-il mon cycle de développement ? Dans un monde de plus en plus numérisé, cette attitude doit changer. Plutôt que d'être considérés comme une nuisance, nous devons insister sur l'importance du partage des responsabilités en matière de sécurité des logiciels.
Compte tenu de la dépendance croissante à l'égard du développement pour alimenter nos vies numériques, il a vu l'écriture sur le mur : en tant que société, nous sommes des cibles faciles pour les pirates informatiques sur un terrain de jeu de plus en plus injuste pour les gentils. Les développeurs devaient prendre la sécurité au sérieux, s'y intéresser de près et devenir la première ligne de défense de son organisation (et, en fait, de toute entreprise technologique sérieuse).
Il a donc entrepris de bouleverser la formation traditionnelle.
La mise en œuvre
Le responsable de la sensibilisation à la sécurité est à l'origine de la philosophie générale de notre client, qui consiste à établir une nouvelle norme en matière de qualité des logiciels. Plus précisément, la notion selon laquelle le niveau de sécurité inhérent à un logiciel est une indication de sa qualité globale et de la viabilité du produit. Aujourd'hui, la sécurité n'est pas étroitement liée aux mesures de qualité dans la plupart des cas, et certainement pas de la même manière que l'interface utilisateur, la vitesse et la facilité d'utilisation sont prises en compte lors de l'évaluation d'un logiciel.
"La sécurité doit devenir une exigence non négociable pour la qualité des logiciels", a-t-il déclaré. "Elle est en corrélation avec la fiabilité, qui est une préoccupation majeure pour la plupart des entreprises, en particulier celles dont le modèle d'entreprise se transforme et se numérise rapidement.
Les coûts de correction des vulnérabilités dans un code validé étant jusqu'à trente fois plus élevés que s'il avait été écrit de manière sécurisée dès le départ, il est devenu essentiel d'intégrer une culture de la sécurité viable au sein des équipes de développement. Après tout, il existe certaines vulnérabilités que les outils d'analyse ne détectent pas, et la solution la plus efficace pour les combattre est une équipe de développement soucieuse de la sécurité.
Le responsable de la sensibilisation à la sécurité a détaillé son expérience des autres formes de formation, dont beaucoup sont encore couramment utilisées pour "convaincre" les développeurs et les préparer à répondre aux préoccupations croissantes en matière de sécurité : "Lorsque les développeurs doivent se familiariser avec la sécurité par le biais d'une tonne de travaux théoriques ou, pire encore, d'une formation peu fréquente à la conformité, il n'y a tout simplement pas assez d'apprentissage pratique ou de temps consacré à la sécurité pour avoir un impact durable. J'étais déterminé à changer cela en appliquant une solution plus efficace", a-t-il déclaré.
Les avantages d'un engagement élevé
Sous les conseils d'un Security Awareness Manager avisé et de son équipe, notre client a mis en place un programme de certification sur mesure, dont la plateforme Secure Code Warrior fait partie intégrante.
Leur recherche d'une solution de formation des développeurs plus efficace et plus attrayante les a conduits à adopter très tôt la gamification, dont ils ont maximisé la puissance et le potentiel grâce à leur propre programme structuré à grande échelle.
"Il était essentiel que nous fassions de la formation à fort engagement une partie intégrante de la culture et que les étudiants reviennent pour poursuivre leur apprentissage. Le système est une approche délibérée visant à développer les connaissances, les compétences et le sens de la valeur de la sécurité, ce qui leur permet de travailler avec du code source réel qu'ils utilisent tous les jours", a-t-il déclaré.
En veillant à ce que la solution soit holistique, couvrant à la fois les meilleures pratiques de sécurité standard de l'industrie et les directives internes, notre client a pu mobiliser rapidement la formation, ce qui a eu un impact positif sur la sécurité des logiciels au sein de l'organisation.
Le résultat
Le programme de certification de notre client est un format de formation réussi, en constante évolution, qui convient parfaitement à des initiatives avant-gardistes telles que leurs installations internes de formation technique. Le cours approfondi, dispensé de manière ludique, interactive et incitative, garantit à tous les étudiants les meilleures chances de rétention des connaissances, ainsi que le soutien nécessaire au développement d'une culture et d'un état d'esprit axés sur la sécurité. Bien que la ludification rende l'apprentissage plus agréable, l'aspect pratique du programme est resté le même : donner aux développeurs les compétences nécessaires pour identifier et contrecarrer les vulnérabilités à haut risque dans leurs applications.
Il est important de noter que la formation n'était pas obligatoire et qu'elle nécessitait au contraire un élément de motivation de la part du développeur. Bien que cette motivation ait sans aucun doute été soutenue par des incitations et des récompenses, l'adoption du programme par l'ensemble de l'équipe a été le résultat du soutien et de l'approbation du processus par l'équipe de gonflement.
Outre la poursuite du développement de compétences vitales, le programme permet également de combler les lacunes relationnelles entre les équipes de développement et d'AppSec, en les mettant sur la même longueur d'onde, en leur faisant parler le même langage et en suscitant un intérêt mutuel.
Loin d'être une simple case à cocher de conformité, ce programme est devenu fondamental pour le soutien continu d'un personnel apprécié et de sa carrière, en fournissant des compétences mesurables dans l'un des secteurs à plus forte croissance de la planète : la cybersécurité. Ce sont des programmes de formation comme celui-ci qui deviendront la référence en matière d'amélioration de la sécurité des logiciels dès le départ.
En bref
- Il y a eu une réponse sans précédent de la part des étudiants qui ont obtenu la certification et qui ont exprimé le souhait de devenir instructeurs. Cet évangélisme de terrain est un puissant facteur de diffusion du soutien de bouche à oreille, d'adoption et de sensibilisation générale à la sécurité.
- Notre client est en train de déployer le programme auprès de plus de 2500 développeurs au sein de son organisation, dont plus de 90% sont déjà actifs dans le système.
- Ils utilisent cette formation pour aider le personnel à développer sa carrière, en veillant à ce qu'il soit armé des connaissances nécessaires pour utiliser ses compétences dans un espace technologique en constante évolution.
Cliquez sur le lien ci-dessous et téléchargez le PDF de cette ressource.
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Voir le rapportRéservez une démonstration
Comment une institution financière de premier plan a créé une expérience de certification de sécurité révolutionnaire
Un jeu pourrait-il être le chemin vers le cœur d'un développeur lorsqu'il s'agit de conformité en matière de sécurité ?
Avec des millions de clients, une riche histoire en tant qu'institution financière mondiale de confiance, et un engagement à innover et à suivre le rythme de la transformation numérique, ce client bancaire de niveau 1 a utilisé Secure Code Warrior dans le cadre d'une expérience de formation vraiment unique au sein de son organisation.
Ils ont créé une initiative de formation technologique interne, visant à soutenir des milliers d'employés pour qu'ils acquièrent des compétences pratiques et de pointe dans un certain nombre de disciplines, y compris l'apprentissage automatique et la cybersécurité.
Le secteur des services financiers traverse actuellement une période de transformation rapide et radicale, au cours de laquelle de nombreuses entreprises modifient leurs offres de services pour s'aligner sur le développement rapide des technologies émergentes. En fait, elles deviennent des entreprises technologiques à part entière, axées sur la finance. L'approche de notre client lui a permis non seulement de suivre cette tendance, mais aussi d'obtenir des résultats meilleurs (et plus intelligents) que la plupart des autres. Il a énormément investi dans son personnel pour rester au fait de ces domaines vitaux et en plein essor, ce qui lui permet d'être à la pointe de l'innovation et de l'expertise FinTech.
Pour mener à bien ce programme, notre client et l'ensemble de l'équipe ont jugé nécessaire de s'assurer que leurs développeurs maîtrisaient parfaitement le codage sécurisé et qu'ils avaient un niveau élevé de sensibilisation à la cybersécurité. Le responsable de la sensibilisation à la sécurité a cherché à impliquer l'équipe de manière positive, en l'enthousiasmant dès le départ pour la sécurité.
Le défi
Le responsable de la sensibilisation à la sécurité de notre client travaille depuis longtemps dans le secteur de la sécurité, ce qui lui a permis d'être aux premières loges pour assister à la croissance explosive de l'adoption des applications en ligne par les entreprises, grandes et petites, ainsi qu'à l'augmentation rapide du nombre d'équipes axées sur le numérique. Il a été le témoin direct de l'inévitable cloisonnement des compétences qui peut résulter d'une telle hyper-expansion et, en fin de compte, cela a été un problème pour de nombreuses équipes de sécurité et de développement : "Au début de l'adoption des services en ligne, les développeurs pensaient à la sécurité et l'appliquaient à leurs logiciels. Cependant, dans un environnement de plus en plus cloisonné, une équipe travaillera, par exemple, sur un système d'exploitation qui sera ensuite envoyé à une équipe de sécurité pour analyse, et reviendra souvent avec un tas de marques rouges et des notes sur la façon de le corriger. Le système est inévitablement sécurisé, mais les résultats et les connaissances disparaissent dans un trou noir, pour se reproduire encore et encore", a-t-il déclaré.
Il a évoqué le "défi humain" en parlant des problèmes de sécurité qu'il rencontre fréquemment dans le cadre de ses fonctions :
Les ingénieurs logiciels sont payés pour créer des fonctionnalités, et la sécurité peut être considérée comme un obstacle majeur au développement agile. Ils sont occupés par leurs propres priorités et considèrent souvent l'aspect sécurité comme le travail de quelqu'un d'autre. À l'extrémité la plus extrême de l'échelle, certains adoptent le point de vue suivant : "Rien ne s'est encore produit. Pourquoi nous préoccupons-nous tant de la sécurité de ce logiciel et pourquoi cela interrompt-il mon cycle de développement ? Dans un monde de plus en plus numérisé, cette attitude doit changer. Plutôt que d'être considérés comme une nuisance, nous devons insister sur l'importance du partage des responsabilités en matière de sécurité des logiciels.
Compte tenu de la dépendance croissante à l'égard du développement pour alimenter nos vies numériques, il a vu l'écriture sur le mur : en tant que société, nous sommes des cibles faciles pour les pirates informatiques sur un terrain de jeu de plus en plus injuste pour les gentils. Les développeurs devaient prendre la sécurité au sérieux, s'y intéresser de près et devenir la première ligne de défense de son organisation (et, en fait, de toute entreprise technologique sérieuse).
Il a donc entrepris de bouleverser la formation traditionnelle.
La mise en œuvre
Le responsable de la sensibilisation à la sécurité est à l'origine de la philosophie générale de notre client, qui consiste à établir une nouvelle norme en matière de qualité des logiciels. Plus précisément, la notion selon laquelle le niveau de sécurité inhérent à un logiciel est une indication de sa qualité globale et de la viabilité du produit. Aujourd'hui, la sécurité n'est pas étroitement liée aux mesures de qualité dans la plupart des cas, et certainement pas de la même manière que l'interface utilisateur, la vitesse et la facilité d'utilisation sont prises en compte lors de l'évaluation d'un logiciel.
"La sécurité doit devenir une exigence non négociable pour la qualité des logiciels", a-t-il déclaré. "Elle est en corrélation avec la fiabilité, qui est une préoccupation majeure pour la plupart des entreprises, en particulier celles dont le modèle d'entreprise se transforme et se numérise rapidement.
Les coûts de correction des vulnérabilités dans un code validé étant jusqu'à trente fois plus élevés que s'il avait été écrit de manière sécurisée dès le départ, il est devenu essentiel d'intégrer une culture de la sécurité viable au sein des équipes de développement. Après tout, il existe certaines vulnérabilités que les outils d'analyse ne détectent pas, et la solution la plus efficace pour les combattre est une équipe de développement soucieuse de la sécurité.
Le responsable de la sensibilisation à la sécurité a détaillé son expérience des autres formes de formation, dont beaucoup sont encore couramment utilisées pour "convaincre" les développeurs et les préparer à répondre aux préoccupations croissantes en matière de sécurité : "Lorsque les développeurs doivent se familiariser avec la sécurité par le biais d'une tonne de travaux théoriques ou, pire encore, d'une formation peu fréquente à la conformité, il n'y a tout simplement pas assez d'apprentissage pratique ou de temps consacré à la sécurité pour avoir un impact durable. J'étais déterminé à changer cela en appliquant une solution plus efficace", a-t-il déclaré.
Les avantages d'un engagement élevé
Sous les conseils d'un Security Awareness Manager avisé et de son équipe, notre client a mis en place un programme de certification sur mesure, dont la plateforme Secure Code Warrior fait partie intégrante.
Leur recherche d'une solution de formation des développeurs plus efficace et plus attrayante les a conduits à adopter très tôt la gamification, dont ils ont maximisé la puissance et le potentiel grâce à leur propre programme structuré à grande échelle.
"Il était essentiel que nous fassions de la formation à fort engagement une partie intégrante de la culture et que les étudiants reviennent pour poursuivre leur apprentissage. Le système est une approche délibérée visant à développer les connaissances, les compétences et le sens de la valeur de la sécurité, ce qui leur permet de travailler avec du code source réel qu'ils utilisent tous les jours", a-t-il déclaré.
En veillant à ce que la solution soit holistique, couvrant à la fois les meilleures pratiques de sécurité standard de l'industrie et les directives internes, notre client a pu mobiliser rapidement la formation, ce qui a eu un impact positif sur la sécurité des logiciels au sein de l'organisation.
Le résultat
Le programme de certification de notre client est un format de formation réussi, en constante évolution, qui convient parfaitement à des initiatives avant-gardistes telles que leurs installations internes de formation technique. Le cours approfondi, dispensé de manière ludique, interactive et incitative, garantit à tous les étudiants les meilleures chances de rétention des connaissances, ainsi que le soutien nécessaire au développement d'une culture et d'un état d'esprit axés sur la sécurité. Bien que la ludification rende l'apprentissage plus agréable, l'aspect pratique du programme est resté le même : donner aux développeurs les compétences nécessaires pour identifier et contrecarrer les vulnérabilités à haut risque dans leurs applications.
Il est important de noter que la formation n'était pas obligatoire et qu'elle nécessitait au contraire un élément de motivation de la part du développeur. Bien que cette motivation ait sans aucun doute été soutenue par des incitations et des récompenses, l'adoption du programme par l'ensemble de l'équipe a été le résultat du soutien et de l'approbation du processus par l'équipe de gonflement.
Outre la poursuite du développement de compétences vitales, le programme permet également de combler les lacunes relationnelles entre les équipes de développement et d'AppSec, en les mettant sur la même longueur d'onde, en leur faisant parler le même langage et en suscitant un intérêt mutuel.
Loin d'être une simple case à cocher de conformité, ce programme est devenu fondamental pour le soutien continu d'un personnel apprécié et de sa carrière, en fournissant des compétences mesurables dans l'un des secteurs à plus forte croissance de la planète : la cybersécurité. Ce sont des programmes de formation comme celui-ci qui deviendront la référence en matière d'amélioration de la sécurité des logiciels dès le départ.
En bref
- Il y a eu une réponse sans précédent de la part des étudiants qui ont obtenu la certification et qui ont exprimé le souhait de devenir instructeurs. Cet évangélisme de terrain est un puissant facteur de diffusion du soutien de bouche à oreille, d'adoption et de sensibilisation générale à la sécurité.
- Notre client est en train de déployer le programme auprès de plus de 2500 développeurs au sein de son organisation, dont plus de 90% sont déjà actifs dans le système.
- Ils utilisent cette formation pour aider le personnel à développer sa carrière, en veillant à ce qu'il soit armé des connaissances nécessaires pour utiliser ses compétences dans un espace technologique en constante évolution.
Table des matières
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Réservez une démonstrationTéléchargerRessources pour vous aider à démarrer
Évaluation comparative des compétences en matière de sécurité : Rationalisation de la conception sécurisée dans l'entreprise
Le mouvement "Secure-by-Design" (conception sécurisée) est l'avenir du développement de logiciels sécurisés. Découvrez les éléments clés que les entreprises doivent garder à l'esprit lorsqu'elles envisagent une initiative de conception sécurisée.
DigitalOcean réduit sa dette de sécurité avec Secure Code Warrior
L'utilisation par DigitalOcean de la formation Secure Code Warrior a considérablement réduit la dette de sécurité, permettant aux équipes de se concentrer davantage sur l'innovation et la productivité. L'amélioration de la sécurité a renforcé la qualité des produits et l'avantage concurrentiel de l'entreprise. À l'avenir, le score de confiance SCW les aidera à améliorer leurs pratiques de sécurité et à continuer à stimuler l'innovation.
Ressources pour vous aider à démarrer
Sécurité réactive contre sécurité préventive : La prévention est un meilleur remède
L'idée d'apporter une sécurité préventive aux codes et systèmes existants en même temps qu'aux applications plus récentes peut sembler décourageante, mais une approche "Secure-by-Design", mise en œuvre en améliorant les compétences des développeurs, permet d'appliquer les meilleures pratiques de sécurité à ces systèmes. C'est la meilleure chance qu'ont de nombreuses organisations d'améliorer leur sécurité.
.png)
Les avantages de l'évaluation des compétences des développeurs en matière de sécurité
L'importance croissante accordée au code sécurisé et aux principes de conception sécurisée exige que les développeurs soient formés à la cybersécurité dès le début du cycle de développement durable, et que des outils tels que le Trust Score de Secure Code Warriorles aident à mesurer et à améliorer leurs progrès.
Assurer le succès des initiatives de conception sécurisée de l'entreprise
Notre dernier document de recherche, Benchmarking Security Skills : Streamlining Secure-by-Design in the Enterprise est le résultat d'une analyse approfondie d'initiatives réelles de conception sécurisée au niveau de l'entreprise, et de l'élaboration d'approches de meilleures pratiques basées sur des conclusions fondées sur des données.
Plongée en profondeur : Naviguer dans la vulnérabilité critique de CUPS dans les systèmes GNU-Linux
Découvrez les derniers défis de sécurité auxquels sont confrontés les utilisateurs de Linux en explorant les récentes vulnérabilités de haute sévérité dans le système d'impression commun d'UNIX (CUPS). Apprenez comment ces problèmes peuvent conduire à une potentielle exécution de code à distance (RCE) et ce que vous pouvez faire pour protéger vos systèmes.
