Facilitateur 1 : Critères de réussite prédéfinis et mesurables

Nous allons approfondir les 10 facteurs clés de réussite. La première étape fondamentale est le catalyseur n° 1 : des critères de réussite clairement définis et mesurables. Si le programme de codage sécurisé est comparé à un voyage, la première étape, et la plus importante, consiste à savoir précisément où l'on se dirige. C'est l'essence même du premier catalyseur.

Relier les critères de réussite aux résultats commerciaux

Pour élaborer un programme de codage sécurisé efficace, il est nécessaire de définir des objectifs clairs étroitement liés aux résultats commerciaux. Le premier facteur répond à la question fondamentale suivante : « Quels sont les problèmes et les défis que le programme de codage sécurisé vise à résoudre, en termes concrets et mesurables ? »

Votre organisation est probablement à la recherche de conformité aux exigences réglementairesou souhaite éviter les violations de sécurité et les cyberattaques. Ou peut-être souhaitez-vous commencer à réduire les coûts et le temps nécessaires à la refonte en formant vos développeurs à coder de manière sécurisée dès le départ.

Indépendamment de la motivation, de la situation actuelle de l'organisation ou de la plateforme de formation à la sécurité choisie, le succès à long terme du programme dépend en grande partie de la définition d'objectifs clairs, liés aux objectifs commerciaux, afin d'obtenir l'adhésion et d'assurer un succès durable.

Tenez compte des principales parties prenantes de votre programme lorsque vous déterminez les critères de réussite. Connaître vos sponsors exécutifs et leurs objectifs commerciaux vous aidera à favoriser une adoption plus large dans tous les services.

Rendre le succès concret et mesurable

Ces objectifs doivent, de par leur nature, être propres à l'organisation. Cela étant dit, veuillez examiner les objectifs commerciaux typiques ci-dessous et réfléchir à la manière dont ils peuvent générer de nouvelles idées.

Réduction des risques : atténuez les risques liés aux développeurs et réduisez les vulnérabilités introduites par les failles de codage. Cela inclut l'identification des risques et la réduction de la surface d'attaque des applications.

Les programmes visent souvent des indicateurs tels que la réduction et la prévention de la densité des vulnérabilités ou du taux d'injection de vulnérabilités.

Vitesse opérationnelle : optimisez la vitesse de livraison des produits, réduisez la frustration et l'attrition des développeurs, et diminuez le temps consacré aux retouches. La formation au code sécurisé constitue une incitation importante pour les développeurs, car elle leur permet d'éviter les retouches fastidieuses du code bogué identifié plus tard dans le cycle de vie du développement logiciel.

Les programmes visent souvent à réduire le temps moyen de correction (MTTR) des vulnérabilités par les développeurs.

Conformité réglementaire : Assurez la conformité externe, par exemple en respectant des normes telles que PCI-DSS (qui impose une formation à tous les développeurs travaillant sur des systèmes de paiement).

Talent et confiance : Renforcez l'engagement et la sensibilisation à la sécurité et aux vulnérabilités au sein de l'organisation des développeurs, tout en maintenant et en renforçant la confiance des clients. Pour certaines entreprises, les développeurs sensibilisés à la sécurité contribuent à établir une différenciation sur le marché.

Les programmes établissent souvent des exigences minimales en matière de compétences pour les développeurs ou créent même des programmes spécialisés de champions de la sécurité.

Documentation des réussites dans le cadre du plan de réussite commune

Une fois les critères de réussitedéfinis, l'étape suivante consiste à les documenter dans un plan de réussite commun. Ce plan est un document de référence partagé entre les principaux acteurs du programme et les différents services, qui inclut également des soutiens externes tels que la plateforme de formation CSM.

Le plan de réussite comprend les éléments suivants.

1. Facteurs de valeur: Ceux-ci comprennent l'amélioration de la sécurité du code et les objectifs commerciaux généraux liés à la justification du programme.
2. État actuel: Cela permet de déterminer où nous en sommes actuellement (par exemple, les compétences actuelles en matière de codage sécurisé et les programmes de formation existants).
3. État souhaité : Ensuite, veuillez noter « Où souhaitons-nous aller ? ». Puis, veuillez indiquer comment combler les lacunes en matière de compétences de codage sécurisé.
4. Indicateurs clés de performance (KPI): Ces indicateurs reflètent le succès et démontrent que l'écart entre la situation actuelle et la situation future se réduit progressivement à mesure que le programme est déployé.

Il est recommandé de commencer par un ou deux indicateurs spécifiques, puis de les étendre ultérieurement si nécessaire.Ces KPI/mesures doivent respecter les principes S.M.A.R.T. (spécifiques, mesurables, atteignables, pertinents, temporellement définis). Ils doivent être faciles à suivre et ne pas permettre d'interprétation vague. La mise en œuvre du plan nécessite une responsabilité à tous les niveaux et une évaluation régulière et convenue de la valeur et du retour sur investissement avec les dirigeants.

En définissant explicitement ces critères et en les évaluant, le programme de codage sécurisé évolue d'un simple centre de coûts vers un moteur vérifiable de résultats commerciaux importants. Il s'agit de la première étape nécessaire pour faire mûrir le programme.

Ensuite, nous expliquerons en détail le deuxième facteur : le parrainage par les cadres supérieurs . Nous discuterons du rôle important que joue le leadership dans la réussite du déploiement du programme de codage sécurisé.

Avez-vous d'autres questions ?Les clients peuvent contacter l'équipe chargée des comptes ou envoyer un e-mail à support@securecodewarrior.com. Les prospects peuvent contacter notre entreprise pour discuter avec un membre de l'équipe commerciale ici.