Facteur 1 : Critères de réussite définis et mesurables

Nous commençons notre exploration approfondie des 10 facteurs clés de réussite par l'étape fondamentale du facteur 1 : des critères de réussite définis et mesurables. Si un programme de codage sécurisé est un voyage, la première étape, et la plus importante, consiste à savoir exactement où vous allez. C'est l'essence même du premier facteur.

Lien entre les critères de réussite et les résultats commerciaux

La mise en place d'un programme efficace pour un codage sécurisé nécessite des objectifs clairs, liés aux services de l'entreprise. Le catalyseur 1 a répondu aux questions fondamentales suivantes : « Concrètement et de manière mesurable, quel est le problème ou le point faible que nous essayons de résoudre avec notre programme de codage sécurisé ? »

Peut-être que votre organisation cherche à répondre à des exigences de conformité ou à éviter les failles de sécurité et les cyberattaques. Ou peut-être que vous souhaitez vous lancer en tant qu'organisation, réduire les coûts et le temps consacré à la formation de nos développeurs dès le début et dans les écoles, en toute sécurité jusqu'à la programmation.

Indépendamment de vos motivations, la situation actuelle de votre entreprise, voire la plateforme de formation à la sécurité que vous avez choisie, dépend de la définition d'objectifs clairs liés aux objectifs commerciaux afin de gagner en acceptation et de garantir un succès durable.

Tenez compte des principales parties prenantes de votre programme lorsque vous déterminez les critères de réussite. Connaître vos sponsors exécutifs et leurs objectifs commerciaux vous aidera à favoriser une adoption plus large dans tous les services.

Rendre le succès tangible et mesurable

Ces objectifs doivent bien sûr être spécifiques à votre entreprise. Cependant, veuillez examiner ces objectifs commerciaux typiques et réfléchir à la manière dont ils pourraient vous inspirer d'autres idées :

Réduction des risques : atténuez les risques liés aux développeurs et réduisez les vulnérabilités introduites par les failles de codage. Cela inclut l'identification des risques et la réduction de la surface d'attaque des applications.

Les programmes visent souvent des indicateurs tels que la réduction et la prévention de la densité des vulnérabilités ou du taux d'injection de vulnérabilités.

Vitesse opérationnelle : optimisez la vitesse de livraison des produits, réduisez la frustration et l'attrition des développeurs, et diminuez le temps consacré aux retouches. La formation au code sécurisé constitue une incitation importante pour les développeurs, car elle leur permet d'éviter les retouches fastidieuses du code bogué identifié plus tard dans le cycle de vie du développement logiciel.

Les programmes visent souvent à réduire le temps moyen de correction (MTTR) des vulnérabilités par les développeurs.

Conformité réglementaire : Assurez la conformité externe, par exemple en respectant des normes telles que PCI-DSS (qui impose une formation à tous les développeurs travaillant sur des systèmes de paiement).

Talent et confiance : Renforcez l'engagement et la sensibilisation à la sécurité et aux vulnérabilités au sein de l'organisation des développeurs, tout en maintenant et en renforçant la confiance des clients. Pour certaines entreprises, les développeurs sensibilisés à la sécurité contribuent à établir une différenciation sur le marché.

Les programmes établissent souvent des exigences minimales en matière de compétences pour les développeurs ou créent même des programmes spécialisés de champions de la sécurité.

Documentation des résultats dans un plan de réussite commun

Une fois quevous avez défini vos critères de réussite, l'étape suivante consiste à les intégrer dans un plan de réussite commun. Ce plan est basé sur un plan croisé fonctionnel, et tous les acteurs importants sont impliqués dans votre programme, y compris le soutien externe de votre plateforme scolaire CSM.

Le plan de réussite comprend :

1. Facteurs de valeur: Il s'agit des objectifs organisationnels ambitieux liés à l'amélioration de la sécurité des codes et à la justification de votre programme.
2. Statut actuel: Cela justifie la question « Où en sommes-nous actuellement ? » (par exemple, compétences actuelles en matière de programmation sécurisée ou programmes de formation existants).
3. État futur (souhaité): Ensuite, vous documentez « Où souhaitons-nous être ? » et déterminez comment combler les lacunes en matière de compétences en programmation sécurisée.
4. Indicateurs clés de performance/mesures: il s'agit des indicateurs, du succès et des résultats qui, avec la mise en œuvre du programme, réduisent l'écart entre la situation actuelle et la situation future.

Nous recommandons de commencer par 1 ou 2 indicateurs spécifiques et d'élargir ensuite si nécessaire. Ces KPI/mesures doivent respecter le principe S.M.A.R.T. (spécifique, mesurable, accessible, pertinent, limité dans le temps). Ils doivent être faciles à suivre et ne doivent pas pouvoir être interprétés de manière arbitraire. Pour mettre le plan en œuvre, une responsabilité mutuelle est nécessaire de la part de toutes les parties, la valeur et le retour sur investissement étant vérifiés régulièrement, selon des conditions convenues avec la direction.

Votre programme consiste en une programmation sécurisée via un site web économique afin de vérifier les résultats commerciaux importants — une première étape nécessaire pour que le programme arrive à maturité.

Ensuite, nous nous plongerons dans Enabler 2 : Sponsoring durch Führung um die Schlüsselrolle zu lesen, le guide pour la mise en place réussie d'un programme de codage sécurisé.

Avez-vous d'autres questions ? Les clients peuvent contacter l'équipe chargée des comptes ou support@securecodewarrior.com. Les clients potentiels peuvent s'adresser à un membre de notre équipe commerciale en nous contactant ici.