Le chemin vers les champions de la sécurité : Comment Workday a utilisé l'apprentissage agile pour améliorer les compétences des développeurs

Situation

Avant que Workday ne mette en œuvre l'apprentissage agile avec Secure Code Warrior, ils utilisaient en interne courses qui comprenait des enregistrements de présentations PowerPoint qui couvraient les 10 principales vulnérabilités de l'OWASP avec quelques exemples de pseudocode. Alex Uda, responsable du programme de formation des développeurs à la sécurité, s'est rendu compte que cela n'aidait pas son équipe et l'équipe de sécurité dans son ensemble à atteindre leurs objectifs d'amélioration de la posture de sécurité globale de Workday. Comme les développeurs se désintéressaient rapidement de leur formation, ils ont décidé de commencer à solliciter leurs commentaires et ont remarqué que deux points revenaient sans cesse :

1. Le besoin d'une formation plus pratique 
2. La nécessité d'un contenu plus spécifique à la langue
   

Action 

En travaillant avec les développeurs, Alex et son équipe ont identifié deux priorités principales pour obtenir l'adhésion des développeurs afin de créer un programme d'apprentissage du code sécurisé attrayant et réussi.

Clarté et simplicité 

La plupart des développeurs n'arrivent pas à leur poste avec des connaissances en matière de sécurité. Tout ce qui est frustrant ou qui prend du temps conduira les développeurs à s'orienter vers des solutions de contournement et de piratage. Workday a remarqué que le SCW permettait aux développeurs d'avoir une idée claire du processus, de se l'approprier et de l'intégrer dans leurs flux de travail.

Capacité d'action et valeur ajoutée 

Les développeurs veulent avant tout être en mesure d'agir sur quelque chose qui affecte la base de code/le cycle de vie, et de le faire rapidement. Pour ce faire, les développeurs ont besoin d'être éduqués sur la manière de procéder. Si vous voulez qu'un développeur s'intéresse à un sujet comme la sécurité, mettez en évidence la valeur de ces sujets.

Pour structurer le programme, Alex et son équipe ont d'abord recueilli les commentaires d'un groupe pilote de champions de la sécurité sur la plateforme et ont travaillé avec leur responsable de la réussite des clients pour mettre en œuvre leurs suggestions. Alex et son équipe ont ensuite examiné leurs outils SAST et différentes mesures du nombre d'incidents et d'événements de sécurité pour évaluer les risques les plus élevés dans leur environnement actuel et ce qui se passe dans l'ensemble de l'industrie. Ils se sont d'abord concentrés sur le top 10 de l'OWASP et sur les vulnérabilités les plus courantes et les plus risquées de Workday
‍

"En donnant aux développeurs la possibilité d'apprendre et d'agir, le SCW nous a permis d'améliorer activement la sécurité de nos logiciels. Il ne s'agit pas seulement d'écrire du code, il s'agit aussi d'opportunités de croissance et de carrière. Si Workday soutient le programme de sécurité, c'est parce qu'il s'agit d'un domaine dans lequel l'ensemble de l'entreprise est aligné, de sorte que les développeurs ont pu consacrer du temps à l'apprentissage et au développement. Le fait de consacrer deux heures par semaine à l'apprentissage sur une certaine période permet de développer la mémoire musculaire avec constance."
‍

Résultats

Traditionnellement, il est facile de considérer la sécurité comme une étape finale du processus de développement. En travaillant avec l'équipe de sécurité, les développeurs de Workday considèrent désormais la sécurité comme un élément important du cycle de développement. Ils peuvent prendre des mesures de sécurité rapidement et plus tôt dans le cycle de développement, ce qui a été l'impact le plus important de ce programme. Pour une équipe basée à Dublin, les développeurs sont passés de 4662 problèmes de sécurité - soit une moyenne de 31,08 problèmes par jour - à 0 en l'espace d'environ 18 mois.

Alex décrit la croissance du programme comme "un effet boule de neige après avoir commencé avec les champions de la sécurité les plus en vue. Au fur et à mesure que nous faisions connaître le programme et ses avantages aux dirigeants et que nous continuions à augmenter le nombre de nos membres, nous avons constaté une croissance presque naturelle due au bouche-à-oreille. Du point de vue de la formation, notre objectif est de donner à nos développeurs les compétences nécessaires pour développer du code en toute sécurité. C'est d'autant plus important que Workday continue à se développer.

Principaux enseignements

Selon Alex, "pour réussir à faire évoluer la sécurité, il est impératif que nos développeurs aient un état d'esprit sécuritaire qui les aide à identifier les risques de sécurité pendant la phase de conception de leur logiciel. Cette démarche s'inscrit dans le cadre de notre initiative "shift left" visant à donner à nos développeurs les moyens d'économiser du temps, de l'argent et quelques maux de cœur. Plus nous améliorons l'apprentissage du code sécurisé, moins nous voyons de vulnérabilités dans nos analyses et les résultats de nos pentests.

Pour les développeurs, il est important de s'amuser lors de l'apprentissage de la sécurité
Le SCW est excellent pour montrer à quel point cela peut être passionnant. Si vous vous engagez dans l'apprentissage de la sécurité, profitez-en pleinement. Considérez-le comme un élément de votre processus de développement et de votre évolution de carrière.

‍Encouragezles développeurs à contacter l'équipe s'ils sont curieux au sujet de la sécurité
Ayez une conversation et commencez cette collaboration.‍

La sécurité comme une boîte noire ou comme un ajout à votre projet est archaïque et ne rend finalement pas service à votre logiciel.
L'intégration de la sécurité dans le processus de développement - de la même manière que nous adoptons le TDD, l'agile et le linting - améliorera le flux et la qualité des logiciels livrés aux clients.

‍