Arrêtez de perturber mon flux de travail ! Comment obtenir la bonne formation en matière de sécurité au bon moment ?

Pensez à la dernière fois que vous étiez au travail, peut-être dans une équipe de projet logiciel travaillant dans des délais impossibles à tenir. Et voilà que votre responsable arrive et vous dit qu'il y a une formation obligatoire à faire en matière de sécurité, et qu'il faut la caser dans votre journée de travail en plus de tout le reste.

Ils le savent, et vous le savez. C'est un énorme problème, mais pour des raisons de conformité, vous passerez des vidéos de formation ennuyeuses en arrière-plan pendant que vous continuez à coder, en alternant les deux tâches et en ne consacrant toute votre attention ni à l'une ni à l'autre. Il s'agit d'un scénario courant, très perturbant et qui fait perdre du temps à tout le monde. La plupart des formations à la sécurité sont trop génériques, et il est facile d'ignorer quelque chose qui entre et sort d'une journée de travail sans réelle valeur.

En tant qu'entreprise, notre objectif est de vous apporter un type de formation à la sécurité meilleur et plus efficace, et ceci est né du fait que nous savons exactement ce que c'est que d'être désengagé de ce que l'équipe AppSec vous dit être important, quand chacune de vos priorités est désalignée. Ce qui est intéressant, cependant, c'est que nous avons commencé à réfléchir à ce que nous pourrions faire pour réduire les obstacles à l'obtention d'une formation lorsque vous en avez besoin - même avec notre plateforme complète, il y a quelques étapes qui vous éloignent de votre travail, à des moments où vous avez toujours besoin d'un coup de pouce utile mais où vous ne pouvez pas consacrer un bloc de concentration à une session de formation.

Nous avons cherché à savoir comment le micro-apprentissage pouvait être mis en œuvre dans votre flux de travail, dans l'IDE ou le gestionnaire d'incidents, d'une manière plus transparente. Voici ce que nous avons trouvé :

Cette approche repose sur les principes du "juste à temps" (JiT), selon lesquels vous recevez les bonnes connaissances, au bon moment, pour qu'elles soient immédiatement efficaces et utiles. C'est le contraire de l'approche de l'apprentissage "juste au cas où", qui est souvent un état de surcharge d'informations qui vous prive d'un temps et d'un espace de réflexion précieux pour construire des caractéristiques.

Un code de qualité est un code sûr, et si vous avez besoin d'un compagnon de sécurité non invasif avec lequel collaborer occasionnellement, cela vaut peut-être la peine de l'essayer.

Éliminez les obstacles et faites venir la formation à vous.

La cybersécurité peut intéresser certains, mais pas tout le monde. Et personne ne doit s'attendre à ce que les développeurs deviennent des experts en sécurité - cela reste le travail d'équipes spécialisées dans l'AppSec. Cependant, les développeurs sensibilisés à la sécurité sont vénérés pour leurs compétences et la protection qu'ils peuvent offrir aux organisations dès la phase de construction du code. C'est un poste très demandé, et vous pouvez construire les fondations au fil du temps avec un micro-apprentissage contextuel.

Maintenant, si vous pensez que la formation intégrée ressemble davantage à Clippy(qu'il repose en paix), il est important de noter que dans le cas des intégrations de Secure Code Warrior, elles sont construites par des développeurs pour des développeurs, de sorte que le facteur d'irritation a été pris en compte et oblitéré.

Voyons ce qu'il en est :

Secure Code Warrior pour Github inspecte le code à la recherche de références CWE (Common Weakness Enumeration) ou OWASP dans les étiquettes, le titre du problème et le corps du problème afin d'afficher une formation contextuelle juste à temps. Si une référence à une vulnérabilité est trouvée, un commentaire sera posté sur le problème afin d'aider à la résolution rapide et à la prévention des vulnérabilités récurrentes. Il s'intègre au problème sans perturber votre processus ni vous obliger à faire des pieds et des mains pour trouver une solution.

Si vous utilisez Jira, le processus est similaire :

Pour les superstars de la sécurité déjà en place, il est important de se rappeler que ce n'est pas à vous de faire la magie. Vous aurez besoin de soutien, de formation et d'une raison de prendre la sécurité au sérieux et de l'intégrer dans votre propre flux de travail. Heureusement, tout cela fait partie d'un processus DevSecOps fonctionnel, et de nombreuses organisations en prennent déjà note. Pourquoi ne pas prendre une longueur d'avance ?

Téléchargez-les dès maintenant et dites-nous ce que vous en pensez.