Facilitateur 1 : Critères de réussite définis et mesurables

Nous commençons notre immersion approfondie dans les 10 facteurs de réussite par l'étape fondamentale du facilitateur n° 1 : des critères de réussite définis et mesurables. Si un programme de codage sécurisé est un voyage, la première étape, et la plus importante, consiste à savoir exactement où l'on va. C'est l'essence même du premier facilitateur.

Lier les critères de réussite aux résultats de l'entreprise

La mise en place d'un programme de codage sécurisé efficace nécessite la définition d'objectifs clairs, étroitement liés aux résultats de l'entreprise. Le facteur 1 répond aux questions principales suivantes : « Quel est, en termes très spécifiques et mesurables, le problème ou le point faible que nous essayons de résoudre avec notre programme de codage sécurisé ? »

Votre organisation cherche peut-être à se conformer à certaines exigences réglementaires ou à éviter les failles de sécurité et les cyberattaques. Ou peut-être souhaitez-vous prendre un bon départ en tant qu'organisation, réduire les coûts et le temps de refonte en formant les développeurs à coder de manière sécurisée dès le début.

Indépendamment de vos motivations, de l'état actuel de votre organisation ou même de la plateforme de formation à la sécurité que vous choisissez, le succès à long terme de votre programme dépend en grande partie de la définition d'objectifs clairs et liés aux objectifs de l'entreprise afin d'obtenir l'adhésion et de garantir un succès durable.

Tenez compte des principales parties prenantes de votre programme lorsque vous déterminez les critères de réussite. Connaître vos sponsors exécutifs et leurs objectifs commerciaux vous aidera à favoriser une adoption plus large dans tous les services.

Rendre le succès tangible et mesurable

Ces objectifs doivent, par nature, être spécifiques à votre organisation. Cela étant dit, veuillez examiner ces objectifs commerciaux courants et réfléchir à la manière dont ils pourraient vous inspirer d'autres idées :

Réduction des risques : atténuez les risques liés aux développeurs et réduisez les vulnérabilités introduites par les failles de codage. Cela inclut l'identification des risques et la réduction de la surface d'attaque des applications.

Les programmes visent souvent des indicateurs tels que la réduction et la prévention de la densité des vulnérabilités ou du taux d'injection de vulnérabilités.

Vitesse opérationnelle : optimisez la vitesse de livraison des produits, réduisez la frustration et l'attrition des développeurs, et diminuez le temps consacré aux retouches. La formation au code sécurisé constitue une incitation importante pour les développeurs, car elle leur permet d'éviter les retouches fastidieuses du code bogué identifié plus tard dans le cycle de vie du développement logiciel.

Les programmes visent souvent à réduire le temps moyen de correction (MTTR) des vulnérabilités par les développeurs.

Conformité réglementaire : Assurez la conformité externe, par exemple en respectant des normes telles que PCI-DSS (qui impose une formation à tous les développeurs travaillant sur des systèmes de paiement).

Talent et confiance : Renforcez l'engagement et la sensibilisation à la sécurité et aux vulnérabilités au sein de l'organisation des développeurs, tout en maintenant et en renforçant la confiance des clients. Pour certaines entreprises, les développeurs sensibilisés à la sécurité contribuent à établir une différenciation sur le marché.

Les programmes établissent souvent des exigences minimales en matière de compétences pour les développeurs ou créent même des programmes spécialisés de champions de la sécurité.

Documenter la réussite dans un plan de réussite commun

Unefois que vous avez défini vos critères de réussite, l'étape suivante consiste à les consigner dans un plan de réussite commun. Ce plan est un modèle partagé de manière interdisciplinaire avec toutes les parties prenantes clés de votre programme, y compris les soutiens externes, tels que votre plateforme de formation CSM.

Le plan de réussite comprend :

1. Facteurs de valeur: Ceux-ci comprennent les objectifs commerciaux de haut niveau liés à l'amélioration de la sécurité du code et à la réponse à la question « pourquoi » de votre programme.
2. Situation actuelle: cela définit « où nous en sommes actuellement » (par exemple, les compétences actuelles en matière de codage sécurisé ou les programmes de formation existants).
3. État futur (souhaité): Ensuite, documentez « Où souhaitons-nous être ? » et déterminez comment combler le déficit de compétences en matière de codage sécurisé.
4. Indicateurs clés de performance/Mesures: Il s'agit des indicateurs qui démontrent le succès et prouvent que l'écart entre les situations actuelles et futures se réduit à mesure que le programme est mis en œuvre.

Nous recommandons de commencer par une ou deux mesures spécifiques et de les élargir ultérieurement si nécessaire. Ces KPI/mesures doivent respecter le principe S.M.A.R.T. (spécifique, mesurable, atteignable, pertinent et limité dans le temps). Ils doivent être faciles à suivre et ne pas prêter à des interprétations vagues. Toutes les parties doivent rendre des comptes pour mettre en œuvre le plan, à un rythme régulier et convenu, afin d'examiner la valeur et le retour sur investissement avec les dirigeants.

En définissant et en mesurant explicitement ces critères, votre programme de codage sécurisé passe du statut de simple centre de coûts à celui de moteur vérifiable de résultats commerciaux essentiels, une première étape nécessaire pour atteindre la maturité du programme.

Nous allons maintenant nous plonger dans le deuxième catalyseur : le parrainage des cadres supérieurs, afin d'analyser le rôle clé que joue le leadership dans la mise en œuvre réussie d'un programme de codage sécurisé.

Avez-vous des questions supplémentaires ? Les clients peuvent contacter l'équipe chargée des comptes ou support@securecodewarrior.com. Les clients potentiels peuvent s'adresser à un membre de notre équipe commerciale en nous contactant ici.