Cómo Colgate-Palmolive impulsó las habilidades de seguridad de los desarrolladores y creó una cultura de codificación segura

TL; TR

Acerca de Colgate-Palmolive

Colgate-Palmolive Company es una marca de productos de consumo reconocida y apreciada en los hogares de todo el mundo. A pesar de tener más de dos siglos de antigüedad, es una empresa innovadora en crecimiento que aprovecha la tecnología digital para reimaginar un futuro más saludable para las personas, sus mascotas y el planeta.

Situación

Colgate-Palmolive, al igual que casi cualquier otra organización, está atravesando una transformación digital para brindar un mejor servicio a sus clientes, y esto ha llevado a un cambio en la forma en que la organización aborda la seguridad de las aplicaciones.

Alex Schuchman, CISO de Colgate-Palmolive, lo expresa de esta manera:

«Para nosotros es muy importante proteger los datos de nuestros clientes y, por lo tanto, poder generar confianza, no solo en nuestros productos, sino también en las interacciones digitales que nuestros clientes tienen con nosotros».

Sin embargo, para Alex, el desafío consistía en proteger la fuente principal de las posibles violaciones de datos de los clientes: el código en sí.

«Trabajar en la parte de creación de aplicaciones fue muy útil cuando pasé a ocupar mi puesto de CISO. Comprendo el dolor que supone recibir tickets de AppSec o la frustración que supone no cumplir con los plazos debido a la necesidad de volver a trabajar. Como resultado, mi objetivo como CISO no solo ha sido aumentar la seguridad en el ciclo de vida del desarrollo del software, sino también simplificar la forma en que se implementa».

Acción

Colgate-Palmolive abordó este desafío dividiendo su capacitación en seguridad en partes más pequeñas y del tamaño de un bocado. Esto hizo que fuera más aceptable para los desarrolladores, ya que podían adaptarlo a su flujo de trabajo, en lugar de la larga y monolítica formación sobre cumplimiento a la que estaban acostumbrados. Al aprovechar el enfoque ágil y contextual de Secure Code Warrior para el aprendizaje seguro de código, los desarrolladores pudieron comprender las vulnerabilidades en el contexto de sus proyectos reales, lo que se tradujo en una mayor participación y en la retención a largo plazo de las habilidades de codificación segura.

«Quería implementar estas mejores prácticas y, al mismo tiempo, mantener la participación de los desarrolladores», afirma Alex. «Todavía tenemos partes fundamentales del programa que son obligatorias, pero mantener la capacitación de manera manejable y escuchar los comentarios de los desarrolladores ha contribuido a que el programa tenga éxito».

Colgate-Palmolive implementó un flujo de trabajo de Okta que bloquea el repositorio de GitHub, lo que permite que solo los desarrolladores que hayan aprobado evaluaciones específicas de SCW accedan a las solicitudes de incorporación de cambios, como se muestra en el siguiente diagrama.

Resultados

Según Alex, «Comprendimos que, para optimizar y lograr el éxito, necesitábamos contar con la participación de nuestros desarrolladores desde el principio. Así que nos aseguramos de que los desarrolladores supieran que serían una parte fundamental del éxito del programa. Como resultado, descubrimos que había una relación mucho mejor entre nuestro equipo de seguridad y nuestros desarrolladores, y realmente parecía que estábamos trabajando juntos como equipo en el programa. Continuamos ampliando y ampliando el programa de madurez en materia de seguridad, basándonos en el éxito del que ya hemos disfrutado».

Conclusiones clave

1. Defina claramente los objetivos del programa y haga hincapié en las aportaciones y el compromiso de los desarrolladores. Es más probable que los desarrolladores opten por un programa de aprendizaje de código seguro que esté integrado en su flujo de trabajo e integrado con las herramientas de desarrollo que utilizan a diario.
2. El uso de una herramienta de SSO como Okta para cerrar el repositorio de código incentiva al equipo. Solo los desarrolladores que hayan aprobado cursos y evaluaciones específicos de SCW pueden realizar solicitudes de cambios.
3. Con el tiempo, cree una cultura de seguridad que promueva una relación de trabajo sólida entre AppSec y los equipos de desarrollo.

‍