Pourquoi la gamification est essentielle pour améliorer la sécurité de vos logiciels

Responsables de la sécurité des applications, RSSI, DSI, experts en cybersécurité - j'ai eu l'occasion de m'entretenir avec un grand nombre d'entre eux, travaillant dans divers types d'entreprises à travers le monde, au cours de ma carrière dans le développement de logiciels et la sécurité.

Quelle que soit leur situation, l'expérience de leur équipe ou le temps qui passe dans ce monde numérique en constante évolution, un problème demeure : ils sont rarement en mesure d'impliquer positivement leur équipe de développement en matière de sécurité. La sécurité reste un sujet sensible, source de conflits entre les équipes et véritable difficulté du secteur.

Cependant, la sécurité logicielle revêt une importance trop capitale pour que notre état d'esprit général continue dans cette voie. Nous devons nous efforcer de changer la donne, de faire de la sécurité une partie intégrante de la vie professionnelle de chaque développeur. Et je pense que l'un des meilleurs moyens d'y parvenir est de responsabiliser les développeurs et de les impliquer en matière de sécurité par le biais, par exemple, de la gamification.

Le paysage actuel

Les développeurs quittent l'université avec très peu de connaissances pratiques sur la fourniture de code sécurisé. Ils occupent des emplois où la formation à la sécurité est rarement une priorité (et lorsque c'est le cas, elle fait généralement partie des vidéos de conformité obligatoires en matière de santé et de sécurité, qui sont si ennuyeuses que personne ne se soucierait du codage sécurisé). Très souvent, leur première expérience en matière de sécurité est un rapport de bogue d'audit ou de test qui interrompt soudainement une future version, perturbant instantanément leur esprit créatif. Ils se trouvent en désaccord avec les responsables des rapports de sécurité, de sorte que « sécurité » devient synonyme de « critique » dans leur esprit.

Il est regrettable que cette perception négative de la sécurité des logiciels soit si répandue. Après tout, certains des meilleurs souvenirs que je garde de ma carrière sont liés à l'apprentissage de la sécurité logicielle. J'ai passé mes premières journées dans le domaine du piratage informatique à assister à des conférences, où je pouvais non seulement tester mes compétences (et, pour être honnête, me mettre un peu en avant) par rapport à mes pairs, mais aussi m'amuser énormément à rencontrer des personnes partageant les mêmes idées qui aimaient autant que moi pirater des logiciels.

BruCon, DefCon, BlackHat... ces événements ont permis à des personnes comme moi de mettre en pratique leurs compétences lors de compétitions amicales. Je ne reconnaîtrais jamais avoir participé à de telles activités, mais certains démontraient même leurs prouesses en matière de piratage informatique en accédant aux téléphones des autres participants et en affichant leurs informations sur les écrans de présentation à la vue de tous. C'est devenu un jeu, trouver ces failles, les exploiter et les corriger, afin d'améliorer les logiciels. Il y a quelques années, j'ai eu le privilège de rencontrer des centaines d'enfants du Moyen-Orient pour leur enseigner la cybersécurité. Je me souviens encore d'une fillette de huit ans parmi mes élèves, qui apprenait le forçage brut des mots de passe et l'encodage base64 tout en jouant à des jeux.

La gamification est également employée pour enseigner les techniques de codage. Les établissements d'enseignement à travers le monde adoptent cette approche pour enseigner le codage aux très jeunes enfants, même jusqu'au niveau secondaire. Des enfants âgés d'à peine quatre ans participent désormais régulièrement à des initiatives de vacances telles que Code Camp, et il existe de nombreux programmes en ligne exceptionnels qui enseignent aux enfants à coder en Python et dans d'autres langages. J'ai même acheté l'incroyable outil de codage sans écran, Cubetto, pour ma fille de quatre ans.

Cependant, malgré tous ces avantages et ces progrès, il existe un écart. Personne n'a envisagé la possibilité de tirer parti de la gamification pour former les développeurs à l'écriture de code sécurisé.

Eh bien... presque personne. Il y a quelques années, j'ai réalisé que nous devions redonner de l'inspiration à la sécurité et motiver réellement les développeurs à s'impliquer et à commencer à s'engager.

Gamification : la solution la plus simple.

Je suis profondément déterminé à aider les développeurs à acquérir des connaissances en matière de sécurité, et c'est cette passion qui m'a amené à créer Secure Code Warrior. La sécurité des logiciels est très importante, et elle peut vraiment être passionnante.

Je ne suis pas le seul à avoir cette opinion.

La gamification peut rendre les tâches les plus banales encore plus amusantes et permet aux joueurs de rester suffisamment motivés pour continuer à jouer, à gagner et à progresser. Il suffit de considérer la manière dont Pokemon Go est joué. Cela a motivé même les personnes les plus inactives à se lever du canapé, à sortir à la recherche de créatures imaginaires, ou à découvrir comment FitBit se fixe comme objectif quotidien d'atteindre un certain nombre de pas... Si ces objectifs ne sont pas atteints, si les séries sont interrompues et que les badges ne sont pas gagnés, un véritable sentiment de déception se manifeste.

Revenons donc à la formation en matière de sécurité. Nous avons démontré à de nombreux clients que la gamification est essentielle pour transformer véritablement la culture de sécurité de leurs organisations, en établissant des liens entre les équipes AppSec et les équipes de développement, et en les aidant de manière générale à créer des logiciels répondant à des normes plus élevées.

À l'heure actuelle, la sécurité n'est pas la priorité des développeurs. En intégrant un élément convivial, compétitif et engageant à vos méthodes d'entraînement, vous les motivez non seulement à « jouer », mais aussi à revenir pour gagner plus de points, battre les meilleurs scores, devenir plus précis et défier les autres membres de l'équipe.

Nous savons déjà qu'une formation réussie se présente comme suit :

• Les développeurs sont en mesure de travailler sur du code réel et dans leurs propres langages/frameworks.
• Les défis sont courts et couvrent toutes les failles de sécurité courantes.
• Les défis sont constamment élargis et mis à jour afin que les développeurs puissent continuer à développer leurs compétences au fil du temps.
• Les défis présentent différents niveaux de complexité, ce qui les rend intéressants tant pour les développeurs expérimentés que pour ceux qui ont moins d'expérience.
• Les développeurs et leurs responsables peuvent visualiser les progrès réalisés, notamment les défis qu'ils ont relevés, leurs forces et leurs faiblesses, le temps consacré à la formation et leur précision globale.

L'un de nos principaux clients a démontré la véritable efficacité d'une plateforme gamifiée lors de son déploiement, en fournissant à ses développeurs du matériel d'équipe thématique, en offrant des prix exceptionnels aux gagnants des jeux et en faisant de son tournoi une journée mémorable. Depuis, ils organisent des compétitions internationales et toute leur équipe continue de s'entraîner sérieusement à ce jour.

Votre propre révolution logicielle commence ici. Le secteur bancaire australien est à l'avant-garde en adoptant la formation gamifiée pour lutter contre les mauvais codes, dans le cadre d'une approche véritablement innovante qui bouleverse la formation traditionnelle (ou ennuyeuse). Il suffit de regarder ce que notre client a accompli avec son tournoi de niveau supérieur. Êtes-vous prêt à améliorer votre équipe avec nous ?

Il est essentiel que nous nous efforcions de changer la situation, de faire de la sécurité une partie intégrante de la vie professionnelle de chaque développeur. Je suis convaincu que l'un des meilleurs moyens d'y parvenir est de responsabiliser les développeurs et de les impliquer en matière de sécurité, par exemple à travers la gamification.