La sécurité en tant que culture : Comment Blue Prism cultive des développeurs sécurisés de classe mondiale

Contexte

Blue Prism est le leader mondial de l'automatisation intelligente pour l'entreprise ; une entreprise technologique passionnante qui crée des logiciels et des outils de pointe qui aident les organisations à rester agiles, efficaces et compétitives. Depuis deux décennies, Blue Prism veille à ce que certaines des entreprises les plus performantes et les plus innovantes du monde puissent innover rapidement tout en les aidant à relever les défis mondiaux et commerciaux. Aujourd'hui, Blue Prism passe rapidement à la phase suivante de ses opérations.

Maria Morris, ingénieure principale en sécurité des applications chez Blue Prism, travaille en première ligne pour maintenir leur programme de sécurité enviable et de première classe. Son dévouement à maintenir une forte culture de meilleures pratiques de sécurité, de collaboration interfonctionnelle et de sensibilisation, est essentiel au déploiement efficace de logiciels sécurisés au sein de l'organisation. Dans le cadre de ses initiatives, Maria recherchait une solution de formation pratique qui pourrait continuer à inspirer la cohorte de développement à développer leur sensibilisation à la sécurité et leurs compétences en matière de codage sécurisé, en utilisant du code du monde réel.

Le défi

Blue Prism vit et respire le succès de ses clients. En mettant l'accent sur la sécurité et sur l'automatisation des processus robotiques (RPA) à la pointe de la technologie, il n'est pas étonnant que tant d'entreprises du Global 2000 fassent confiance à leurs produits et à leurs services. Bien entendu, cette confiance s'accompagne d'une grande responsabilité, et la sécurité doit être au premier plan de chaque processus et de chaque décision.

Avec la nécessité d'assurer la conformité réglementaire en matière de sécurité avec des législations telles que PCI-DSS, HIPAA, FISMA et FIPS, il est essentiel d'être en mesure d'atténuer les vulnérabilités courantes mais puissantes figurant dans le Top 10 de l'OWASP et dans le SANSTop 25 Most Dangerous Software Weaknesses(CWE) (faiblesses logicielles les plus dangereuses). Pour y parvenir efficacement, ils doivent donner à leurs employés compétents en matière de sécurité les moyens de se protéger contre les vulnérabilités.

"Nous sommes très doués pour recruter des personnes qui accordent la priorité à la sécurité. Tout le monde ici aime la sécurité ; lors des réunions, c'est l'un des trois principaux sujets de discussion. Pour chaque décision, nous nous demandons : "Est-ce assez sûr ? Pour chaque décision, nous nous demandons : "Est-ce que c'est assez sûr ? Est-ce qu'on peut le rendre plus sûr ? La sécurité est toujours au premier plan, car elle est importante, comme elle doit l'être", déclare Maria.

La mise en œuvre

Maria et son équipe préconisent l'approche "shift left" de la sécurité des logiciels, en lui donnant la priorité dès le début de chaque étape du cycle de développement des logiciels :

Si vous commencez par être sûr, vous n'avez pas à "devenir" sûr, ce qui est beaucoup plus difficile à réaliser. Cela réduit la charge et le temps de travail des développeurs. Cela réduit le risque de revenir sur les problèmes et d'essayer de mettre en place un correctif lorsque le logiciel est déjà en place dans l'environnement des utilisateurs. Il est essentiel de bien faire les choses dès la première fois", déclare Maria.

Sa cohorte de développement est triée sur le volet en raison de son intérêt pour la sécurité, et la culture de sécurité en plein essor de Blue Prism favorise l'épanouissement de leurs compétences en matière de sécurité. Elle a pu utiliser le site Secure Code Warrior's Learning Platform pour évaluer et renforcer les compétences existantes, s'appuyer sur les connaissances et l'expérience antérieures et s'attaquer aux problèmes de sécurité dans le code qui leur est familier :

"Les développeurs ont tout de suite aimé Secure Code Warrior - il n'y a eu aucune friction pour qu'ils aient envie de s'impliquer, d'utiliser et de s'engager dans la plateforme", déclare Maria. "C'était un excellent moyen de renforcer les connaissances qu'ils possédaient déjà, tout en leur permettant d'apprendre de nouvelles choses.

Blue Prism fait passer leur apprentissage au niveau supérieur en utilisant également la fonction Courses , ce qui permet à Maria de créer des parcours de précision pour ses développeurs qui s'alignent sur la stratégie et aident à atteindre les objectifs de sécurité dans l'entreprise.

"Les développeurs apprécient mon site courses, ce qui est agréable. J'essaie de les rendre très spécifiques aux projets en cours. Nous avons le cours 'traitement des données sensibles', par exemple. Je fais en sorte que le matériel soit très pertinent. J'utilise des vidéos comme récapitulatif, puis des exercices sur le sujet, suivis d'un assessment à la fin. Les développeurs apprécient cette approche car ils disposent de peu de temps. Ils veulent quelque chose de tangible pour avoir l'impression d'avoir accompli quelque chose de grand", explique Maria.

Le résultat

L'équipe de Blue Prism a mis en place une formation efficace et engageante et courses pour leur cohorte de développement afin d'affiner les compétences qui soutiennent leur programme de sécurité de premier ordre. Leur approche très positive de la sécurité a fait deSecure Code Warrior une solution idéale pour leur organisation, en renforçant la formation qui est si cruciale pour atteindre la conformité réglementaire, et la mise à l'échelle de la sécurité à la vitesse à travers les nombreux produits et services qui alimentent certaines des plus grandes entreprises du monde.

L'utilisation par Maria de parcours d'apprentissage structurés contraste totalement avec les formations génériques et ponctuelles que l'on voit si souvent dans d'autres entreprises. Cela lui permet d'étendre la partie formation de sa stratégie de sécurité de manière très efficace, en soulignant encore davantage le dévouement de Blue Prism à la qualité et aux initiatives axées sur le client.

"Nous avons la chance que nos développeurs adhèrent également à la philosophie de l'excellence technologique. Ils ne veulent pas se contenter de respecter ce qui est écrit sur le papier. Ils veulent faire ce qui est juste. Ils veulent savoir que notre produit est sûr et ils veulent être assurés que si quelque chose arrive, ce ne sera pas parce que Blue Prism a été le seul point de défaillance. C'est cette confiance dans le produit qui fait la différence", déclare Maria.

"Merci de l'avoir organisé ! C'était vraiment, vraiment bien. Il est difficile de savoir à quoi cela ressemblera tant qu'on ne s'y est pas mis et qu'on ne l'a pas fait. Mais c'est une excellente façon d'apprendre. Je connais généralement toute la théorie, mais le fait de recevoir un code fonctionnel pour l'essayer est vraiment efficace." Ben, développeur de Blue Prism, retour d'expérience après une formation de tournament