Pourquoi la gamification est essentielle pour renforcer la sécurité de vos logiciels

Responsables de la sécurité des applications, directeurs informatiques, experts en cybersécurité — au cours de ma carrière dans le développement de logiciels et la sécurité, j'ai eu l'occasion de m'entretenir avec un grand nombre d'entre eux, qui ont travaillé dans des entreprises de tous types à travers le monde.

Quelle que soit la diversité de votre situation, l'expérience de votre équipe ou le temps qui passe dans ce monde numérique en constante évolution, il existe un problème qui reste toujours le même : vous êtes rarement en mesure d'inciter votre équipe de développement à adopter une attitude positive envers la sécurité. La sécurité reste un sujet sensible, source de conflits entre les équipes et véritable casse-tête pour le secteur.

La sécurité logicielle revêt une importance trop capitale dans notre mode de pensée général pour que nous continuions dans cette voie. Nous devons nous efforcer de changer le débat et faire de la sécurité une partie intégrante de la vie professionnelle de chaque développeur. À mon avis, l'un des meilleurs moyens d'y parvenir consiste à responsabiliser les développeurs en matière de sécurité et à interagir avec eux, par exemple par le biais de la gamification.

Le paysage actuel

Les développeurs quittent l'université avec très peu de connaissances pratiques sur la fourniture de code sécurisé. Ils occupent des postes dans lesquels la formation à la sécurité est rarement une priorité (et lorsqu'elle l'est, elle fait généralement partie des vidéos obligatoires sur la conformité en matière de santé et de sécurité, qui sont si ennuyeuses que personne ne serait jamais incité à s'intéresser à la programmation sécurisée). Très souvent, leur première expérience en matière de sécurité est un rapport d'audit ou de test de bogues qui interrompt soudainement une future publication et devient immédiatement une perturbation de leur pensée créative, avec la plus haute priorité. Ils entrent en conflit avec les responsables des rapports de sécurité, de sorte que « sécurité » devient dans leur esprit synonyme de « critique ».

Il est regrettable que cette perception négative de la sécurité logicielle soit si répandue. Après tout, certains de mes meilleurs souvenirs professionnels sont liés à l'apprentissage de la sécurité logicielle. J'ai passé mes premiers jours de hacker à assister à des conférences où je pouvais non seulement tester mes compétences par rapport à celles de mes collègues (et, pour être honnête, m'en vanter un peu), mais aussi prendre beaucoup de plaisir à rencontrer des personnes partageant les mêmes idées et qui aimaient autant que moi développer des logiciels.

BruCon, DefCon, BlackHat... ces événements ont permis à des personnes comme moi de mettre en pratique nos compétences dans le cadre d'une compétition amicale. Bien que je n'admettrais jamais avoir participé à de telles activités, certains ont même démontré leurs compétences en matière de piratage informatique en accédant aux téléphones d'autres participants et en affichant leurs informations sur les écrans de présentation, à la vue de tous. C'est devenu un jeu consistant à trouver, exploiter et corriger ces erreurs afin d'améliorer les logiciels. Il y a quelques années, j'ai eu le privilège de me tenir devant des centaines d'enfants au Moyen-Orient pour leur enseigner la cybersécurité. Je me souviens encore d'une fillette de huit ans parmi mes élèves qui, tout en jouant, a appris le brute-forcing des mots de passe et le codage Base64.

La gamification est également utilisée pour enseigner la programmation. Des établissements d'enseignement du monde entier utilisent cette approche pour enseigner la programmation à de très jeunes enfants, même jusqu'à un âge avancé. Des enfants âgés de quatre ans participent désormais régulièrement à des initiatives pendant les vacances, telles que CodeCamp, et il existe toute une série de programmes en ligne exceptionnels qui enseignent aux enfants à programmer en Python et dans d'autres langages. J'ai même acheté le formidable outil de codage sans écran Cubetto pour ma fille de quatre ans.

Malgré tout le plaisir et les progrès réalisés, il existe toutefois une lacune. Personne n'a envisagé la possibilité d'utiliser la gamification pour enseigner aux développeurs à écrire du code sécurisé.

Eh bien... presque personne. Il y a quelques années, j'ai réalisé que nous devions redonner à la sécurité son caractère inspirant et vraiment motiver les développeurs à s'engager et à commencer à jouer.

Gamification : la voie simple vers l'avenir.

J'ai un profond désir de former les développeurs et de leur transmettre des connaissances en matière de sécurité, et c'est précisément cette passion qui m'a poussé à Secure Code Warrior . La sécurité des logiciels est extrêmement importante et peut être vraiment passionnante.

Je ne suis pas le seul à penser ainsi.

La gamification peut rendre les tâches les plus banales plus divertissantes et inciter les gens à continuer à jouer, à gagner et à progresser — il suffit de voir comment fonctionne Pokémon Go ! J'ai même réussi à faire sortir la personne la plus paresseuse de son canapé pour aller à la recherche de créatures imaginaires, ou encore FitBit qui incite de nombreuses personnes à atteindre leur objectif quotidien de pas... Un sentiment de déception très réel apparaît lorsque ces objectifs ne sont pas atteints, lorsque les séries ne sont pas terminées et que les badges ne sont pas gagnés.

Revenons à la formation à la sécurité. Nous avons démontré auprès de nombreux clients que la gamification est essentielle pour véritablement transformer la culture de la sécurité au sein de leurs organisations. Nous établissons des ponts entre les équipes AppSec et les équipes de développement et les aidons de manière générale à développer des logiciels répondant à des normes plus élevées.

À l'heure actuelle, la sécurité n'est pas la priorité du développeur. En ajoutant un élément convivial, compétitif et captivant à vos méthodes d'entraînement, vous les motivez non seulement à « jouer », mais aussi à revenir régulièrement pour accumuler plus de points, battre les meilleurs scores, gagner en précision et défier leurs coéquipiers.

Nous savons déjà qu'un entraînement efficace se présente généralement comme suit :

• Les développeurs peuvent travailler dans du code réel et dans leurs propres langages/frameworks.
• Les défis sont courts et couvrent toutes les failles de sécurité courantes.
• Les défis sont constamment élargis et mis à jour, permettant ainsi aux développeurs de continuer à développer leurs compétences au fil du temps.
• Les défis présentent différents niveaux de complexité et sont donc intéressants tant pour les développeurs expérimentés que pour les moins expérimentés.
• Les développeurs et leurs responsables peuvent suivre les progrès réalisés, y compris les défis qu'ils ont surmontés, leurs forces et leurs faiblesses, le temps consacré à la formation et leur niveau général de précision.

L'un de nos principaux clients a démontré la véritable efficacité d'une plateforme ludique lors de son déploiement. Il a fourni à ses développeurs des équipements d'équipe thématiques, a offert des prix exceptionnels aux gagnants et a fait de leur tournoi une journée mémorable. Depuis lors, ils organisent des compétitions internationales et toute leur équipe continue à s'entraîner sérieusement.

Votre propre révolution logicielle commence ici. Le secteur bancaire australien est pionnier dans l'introduction de formations ludiques pour lutter contre les codes de mauvaise qualité. Il s'agit d'une approche véritablement innovante qui bouleverse les formations traditionnelles (ou ennuyeuses). Découvrez ce que notre client a réalisé avec son tournoi de niveau supérieur. Êtes-vous prêt à améliorer votre équipe avec nous ?

Nous devons nous efforcer de changer le discours et de faire de la sécurité une partie intégrante de la vie professionnelle de chaque développeur. Je pense que l'un des meilleurs moyens d'y parvenir est de renforcer les compétences des développeurs en matière de sécurité et d'interagir avec eux, par exemple par le biais de la gamification.