Il faut un village : Comment l'esprit de communauté crée des développeurs plus sûrs

L'expression "il faut un village" est un vieux proverbe africain qui s'applique à de nombreuses cultures, dialectes et lieux géographiques africains. Si le langage utilisé pour transmettre cette perle de sagesse peut être différent, le sentiment est le même : il faut la contribution de toute la communauté pour créer un environnement sûr, positif et instructif afin d'élever les générations futures et d'en faire des adultes équilibrés.

Cela peut sembler un peu long, mais en réalité, la communauté des développeurs a prospéré pendant des décennies grâce à ce même principe. La notion de geek antisocial, "loup solitaire" derrière un ordinateur est comme la plupart des stéréotypes : exagérée et ce n'est pas la meilleure façon d'apprendre comment nous fonctionnons. Il y a des développeurs de tous types, de tous horizons, et il y a toujours eu un sens de la communauté dans tout ce que nous faisons.

Bien avant que l'internet ne devienne la norme, nous nous retrouvions sur des tableaux d'affichage pour échanger des conseils, résoudre les problèmes des uns et des autres et nous chamailler sur les meilleures pratiques (et, en tout cas de mon côté de la barrière, travailler dur pour casser des choses). Ce sentiment n'a pas changé. L'internet est aujourd'hui une bête différente, avec plus de trolls sous les ponts et beaucoup plus de bruit, mais un saut rapide sur des sites comme Reddit et Stack Overflow vous donnera un sentiment immédiat de volonté d'aider, de camaraderie et d'une richesse d'informations.

Cependant, il y a une chose que nous pourrions tous aider à soutenir, ce sont les liens avec les personnes qui vivent la même chose que vous dans le monde réel. L'interaction dans le monde réel revêt une nouvelle dimension et l'animation d'une communauté "IRL" peut accélérer le partage des connaissances, la clarification et l'élargissement des horizons de manière merveilleuse.

Comment la communauté des développeurs soutient-elle la sécurité ?

Des organisations comme l'OWASP font un travail incroyable dans la communauté de la sécurité, avec d'abondantes ressources gratuites sur les vulnérabilités, les nouvelles et les alertes critiques. Hors ligne, il existe des chapitres de l'OWASP dans des villes du monde entier, qui organisent régulièrement des événements permettant aux gens de se réunir, de parler de sécurité et de partager des astuces pour rendre nos logiciels plus sûrs. C'est vraiment génial, et pour moi, c'est ce qu'est la communauté de développement.

L'une des choses que ces communautés, qu'elles soient en ligne ou en personne, aident à combler est le manque de compétences et de connaissances parmi les développeurs. De nombreux développeurs expérimentés ne sont que trop heureux de transmettre des informations, d'aider quelqu'un à démarrer ou de l'orienter dans la bonne direction (tout bon Jedi sait qu'il doit aider un Padawan de temps en temps).

C'est donc toujours un véritable plaisir lorsque nous nous associons à eux pour organiser des événements tels que Secure Coding tournaments. Jusqu'à présent, nous avons soutenu des rencontres en Australie, en Angleterre, en Inde et aux États-Unis, et j'espère qu'il y en aura encore beaucoup d'autres.

À quoi ressemble une réunion OWASP tournament ? Regardez cette vidéo d'une réunion OWASP tournament qui s'est tenue à Londres dans les studios emblématiques de la BBC :

Ces événements contribuent certainement à la sensibilisation, et cet élan peut être utilisé au sein des organisations lorsqu'elles soutiennent ces initiatives locales, introduisent une formation complète au codage sécurisé, et s'engagent à opérer avec une culture de sécurité positive.

Comment la gamification et le site tournaments peuvent-ils aider à créer des développeurs plus sûrs ?

Les rencontres de l'OWASP sont construites autour de la socialisation, du partage des connaissances et de la discussion d'idées avec un large éventail de personnes sensibilisées à la sécurité. Cependant, pour ceux qui ne connaissent pas la sécurité (ou qui ne s'y intéressent pas encore), ces événements peuvent passer inaperçus.

Lorsque les organisations jouent un rôle actif dans la sensibilisation à la sécurité et suscitent un réel intérêt au sein de la cohorte des développeurs, cela peut avoir pour effet positif d'instiller une quête permanente de connaissances en matière de sécurité - le type de connaissances dont nous avons besoin pour que tout le monde prenne au sérieux la sécurité du codage.

Les méthodes de formation classiques sont rarement très motivantes (pensez à vous asseoir dans une salle de classe pendant que vos tâches quotidiennes s'accumulent, ou à essayer de rester éveillé en regardant d'interminables vidéos), mais en suscitant un sentiment de compétition, d'amusement et de gamification du processus, l'apprentissage peut devenir beaucoup moins une corvée. Les méthodes d'apprentissage par le jeu rendent les connaissances techniques (et parfois arides) beaucoup plus digestes, en les divisant en petits morceaux qui sont contextuels, mémorisables et encouragent l'apprentissage répété. Secure Code Warrior a été construit sur une base d'accessibilité, permettant aux développeurs de continuer à ajouter à leurs apprentissages précédents étape par étape, d'une manière qui fait appel à leur créativité et à leur instinct général pour résoudre les problèmes.

Les évaluations aident à maintenir tout le monde sur la bonne voie et à identifier les domaines à améliorer, mais un codage sécurisé tournament peut servir de catalyseur pour la sensibilisation à la sécurité de l'organisation et le changement positif, ainsi que de moyen pour les participants de montrer leurs solides compétences. Après tout, lorsque vous voyez un tableau de classement tournament mis à jour en temps réel, vous êtes motivé pour continuer à gagner des points et à montrer vos prouesses en matière de sécurité.

À quoi ressemble un site tournament réussi ?

L'objectif de nos rencontres avec l'OWASP est toujours d'investir dans la santé de la communauté de la sécurité, en l'aidant à promouvoir l'idée que l'apprentissage de la sécurité peut être amusant.

Secure coding tournaments est une évidence lorsqu'il s'agit d'impliquer les développeurs, en les aidant à affiner et à réaliser leurs compétences dans un environnement social avec des personnes partageant les mêmes idées. Ils contribuent à briser les murs artificiels qui peuvent exister autour de l'idée de "sécurité", peut-être à la suite d'une expérience moins que plaisante au travail ou dans l'éducation.

Un vrai bon site tournament comprend généralement les éléments suivants :

• Un peu de fanfare autour de l'organisation ; faites savoir aux personnes extérieures aux équipes de développement ce qui se passe et pourquoi.
• Un environnement exempt de jugement, qui soutient les développeurs à tous les niveaux
• Quelques avantages particuliers : commandez de la nourriture et des boissons, donnez un thème et encouragez l'expression personnelle.
• Récompenses et reconnaissance : nous, les développeurs, aimons les cadeaux, et les prix intéressants pour les gagnants sont un bonus : n'oubliez pas que vos futurs champions de la sécurité pourraient être découverts au cours de ce processus.
• Un sens de la communauté et de la camaraderie.

Nous sommes en train de devenir un monde DevSecOps, et comme la sécurité est enfin prise en compte dès le début des projets de développement de logiciels, les développeurs doivent être impliqués très tôt grâce à une formation efficace. Ils font partie intégrante de la protection d'une organisation contre les vulnérabilités dès le moment où le code est écrit, et dans une culture de sécurité florissante, tout le monde peut dormir un peu plus tranquille.