Comment un « jeu de codes » conduit le groupe IAG vers un avenir de codage plus sécurisé

IAG Group est à l'origine de nombreuses compagnies d'assurance de premier plan de la région Asie-Pacifique, qui souscrit des polices pour des millions de clients à hauteur d'environ 11,4 milliards de dollars australiens de primes par an. Bianca Wirth est responsable de la formation et de la sensibilisation à la sécurité d'entreprise pour le groupe IAG. Très consciente de la nécessité d'une sensibilisation et de pratiques strictes en matière de sécurité au sein de l'équipe de développement, elle a entrepris de créer un environnement véritablement innovant et optimal dans lequel l'équipe pourrait apprendre des techniques de codage sécurisé vitales.

ENTREZ : Game of Codes

Le défi

Les développeurs sont souvent pressés par le temps, avec de multiples livrables et projets en ébullition. Cependant, il est de la plus haute importance pour toute organisation de se tenir au courant des meilleures pratiques en matière de sécurité, sans parler des millions de profils de données clients sensibles à protéger contre les pirates informatiques. Bianca et son équipe se sont fixé des objectifs clairs pour renforcer leurs initiatives en matière de cybersécurité. Ils ont déterminé que la priorité était de minimiser la surface d'attaque des applications développées par IAG, et ils aborderaient cette question en formant les développeurs à identifier et à corriger les vulnérabilités critiques et à haut risque. De longs cours de formation au codage sécurisé existent certes, mais ils peuvent être laborieux et fastidieux et empêcher le personnel clé de se consacrer à des projets de développement dont les délais de livraison sont stricts, ce qui crée une pression sur l'ensemble de l'entreprise. La nécessité d'améliorer rapidement les compétences de l'équipe de développement, avec un impact minimal sur la charge de travail et les opérations, est devenue évidente. Et avec des développeurs en Australie et en Nouvelle-Zélande travaillant chacun sur des systèmes qui n'étaient pas nécessairement les mêmes, ce n'était pas une mince affaire.

« Cette année, j'ai apporté une modification à notre code source qui a supprimé une vulnérabilité d'injection SQL. Pour leur connaissance de cela, je donne le mérite à Game of Codes. Il est même utile de garder le codage sécurisé à l'esprit. Le concours est un bon moyen de pousser les gens à faire de leur mieux... Parce que, avouons-le, la sécurité n'est pas le sujet le plus intéressant pour tout le monde. C'est donc un bon moyen de faire participer les gens. » Développeur R, IAG

La mise en œuvre

Bianca a élaboré une stratégie de déploiement d'une expérience d'entraînement ludique, en collaborant avec son équipe et Secure Code Warrior à la mise en œuvre de tournois et de formations visant à promouvoir les compétences de leurs développeurs internes. Pour cela, il était essentiel de mettre en place une stratégie de communication solide, ainsi que de prendre en compte les différentes motivations et personnalités des collaborateurs qui adoptent une toute nouvelle plateforme et l'utilisent à son plein potentiel :

« Nous avons conçu un plan de communication indiquant comment nous allons communiquer au personnel et aux principales parties prenantes les points à connaître, les messages clés et les incitations que nous leur donnons pour qu'ils répondent également. La plupart des gens apprécient vraiment l'expérience gamifiée. Tout dépend de leur personnalité, de leur motivation et de ce qui les anime. C'est pourquoi nous essayons de répondre à un tout autre éventail de motivations pour les gens. Pour certains, ils adorent les prix, pour d'autres, l'aspect réussite en lui-même est suffisant. » elle a dit

Bianca et IAG ont présenté de manière experte la plateforme d'apprentissage gamifiée de Secure Code Warrior, transformant leur tournoi en une expérience de compétition amusante surnommée le « Jeu des codes », avec des membres du personnel placés dans des maisons à thème médiéval (avec des articles de marque pour les joueurs) s'affrontant dans une bataille digne de l'homonyme produit par HBO.

Le tournoi a même été porté sur la scène internationale, avec un prochain match entre l'Australie et la Nouvelle-Zélande qui sera bientôt lancé. Cela donne à IAG l'occasion d'identifier les principaux champions de la sécurité dans les deux pays et de s'assurer que les équipes renforcent leurs compétences ensemble.

Le résultat

Game of Codes est en fait un programme d'entraînement spécialisé. Son déploiement sous la forme d'un tournoi interactif et amusant a permis au personnel de rester impliqué de différentes manières, mais l'aspect pratique de base de l'exercice est resté : donner aux développeurs les compétences nécessaires pour identifier et neutraliser les vulnérabilités à haut risque dans les applications développées par IAG.

En veillant à ce que les développeurs et les équipes de sécurité travaillent dans une optique axée sur la sécurité, et en étant équipés non seulement pour identifier, mais aussi pour corriger les vulnérabilités dès le début, IAG prévoit une réduction des exercices de tests d'intrusion coûteux et de la pression sur l'équipe qui les réalise.

Outre cette compétence vitale qui continue d'être développée, Game of Codes a également contribué à l'établissement de relations, en insufflant un sentiment de camaraderie et de compétitivité amicale entre les équipes impliquées, tout en aidant les joueurs à avoir plus confiance en leurs capacités de codage sécurisé lorsqu'elles étaient mesurées dans un environnement de tournoi de pointage.

Bianca a déclaré que le soutien interne au programme était immense, avec un accueil positif de la part de la suite exécutive. Cela a également conduit à un programme d'ambassadeurs, dans le cadre duquel des personnes désireuses de promouvoir le programme et de défendre la sécurité au sein de l'organisation pouvaient participer :

« Cela a été une exposition fantastique pour certains développeurs et une excellente promotion de leurs compétences. Ils en bénéficient également dans leur propre travail, ce qui est important à voir. »

Loin d'être « un simple jeu » ou simplement un moyen plus agréable pour les chefs de service de suivre une formation à la conformité, Game of Codes propose une solution attrayante et fidélisante qui transforme rapidement les novices en champions de la sécurité, ce qui est essentiel pour minimiser le risque d'une violation à grande échelle.

Et le dernier conseil, de la part de Bianca elle-même :

« Si vous déployez un programme et que vous vous attendez à ce que les gens l'utilisent, il ne fonctionnera pas. Vous devez concevoir un programme en fonction de cela dans le cadre duquel vous initiez et motivez un changement de comportement. Ce que nous avons créé était essentiellement un programme de gestion du changement pour les développeurs, axé sur la sécurité. »

« Après avoir suivi les sessions de formation sur Game of Codes, je me suis rendu compte que je suis davantage intéressée par la sécurité et que je pense à la sécurité lors de la création de tests d'automatisation. Je suis testeur senior au sein d'une équipe agile et ces sessions de formation m'ont motivée à en savoir plus sur les tests de sécurité et à y penser comme une spécialisation possible. » A, testeur senior IAG

FAITS RAPIDES

• Outre l'apprentissage gamifié, IAG utilise également Secure Code Warrior comme outil de test de compétences pour le recrutement de développeurs.
• Ils sont en train de déployer le programme auprès de 100 % de leur équipe de développement, 55 % d'entre eux étant déjà actifs dans le système.
• Ils ont développé un ensemble clé de paramètres internes leur permettant de mesurer le succès du programme en termes de minimisation des risques et de réduction des coûts au fil du temps.
  ‍