Pourquoi la gamification est essentielle pour améliorer la sécurité des logiciels

Au cours de ma carrière dans le développement de logiciels et la sécurité, j'ai eu l'occasion de m'entretenir avec de nombreux responsables de la sécurité des applications, RSSI, DSI et experts en cybersécurité travaillant dans divers types d'entreprises à travers le monde.

Quelle que soit la situation, quelle que soit l'expérience de l'équipe, et quel que soit le temps qui passe dans ce monde numérique en constante évolution, il existe un problème qui reste toujours le même. Il est rare que les équipes de développement s'impliquent activement dans la sécurité. La sécurité reste un sujet délicat, source de tensions entre les équipes et de préoccupations dans les coulisses du secteur.

Cependant, la sécurité logicielle est trop importante dans notre conception générale pour que nous continuions dans cette voie. Afin que la sécurité devienne un élément indispensable du travail de tous les développeurs, nous devons changer notre approche. L'une des meilleures façons d'y parvenir est, selon moi, de responsabiliser les développeurs en matière de sécurité et de les impliquer, par exemple grâce à la gamification.

Le paysage actuel

Les développeurs obtiennent leur diplôme universitaire avec peu de connaissances pratiques sur la fourniture de code sécurisé et occupent des postes où la formation à la sécurité est rarement une priorité (lorsqu'elle l'est, il s'agit généralement d'une partie obligatoire d'une vidéo de conformité sur la santé et la sécurité, qui est très ennuyeuse et n'intéresse personne). Souvent, leur première expérience en matière de sécurité se fait lors d'audits ou de rapports de bogues de test, ce qui interrompt soudainement les versions futures etet leur créativité est immédiatement interrompue. Comme ils sont en conflit avec les responsables des rapports de sécurité, le mot « sécurité » est devenu synonyme de « critique » dans leur esprit.

Pour être honnête, je trouve regrettable que cette perception négative de la sécurité logicielle soit si répandue. Après tout, certains des meilleurs souvenirs de ma carrière sont liés à ce que j'ai appris sur la sécurité logicielle. Au début de ma carrière de hacker, j'ai passé beaucoup de temps à assister à des conférences. J'ai pris beaucoup de plaisir à y tester mes compétences avec mes collègues (et, pour être honnête, à les exhiber un peu), mais aussi à rencontrer des personnes partageant les mêmes idées, qui aimaient autant que moi détruire des logiciels.

BruCon, DefCon, BlackHat... Ces événements ont offert à des personnes comme moi l'opportunité de démontrer leurs compétences dans le cadre d'une compétition amicale. Bien que je ne cautionne en aucun cas les activités antisociales, certains participants ont démontré leurs talents en piratage en accédant aux téléphones d'autres participants et en affichant des informations sur l'écran de présentation pour que tout le monde puisse les voir. Trouver ces failles, les exploiter et les corriger pour améliorer les logiciels est devenu un véritable jeu.Il y a quelques années, j'ai eu l'opportunité de me présenter devant des centaines d'enfants au Moyen-Orient pour leur enseigner la cybersécurité. Je me souviens encore d'une élève de 8 ans qui apprenait le brute force et le codage base64 tout en jouant à un jeu.

La gamification est également utilisée pour enseigner les compétences en codage. Des établissements d'enseignement du monde entier utilisent cette approche pour enseigner le codage à de très jeunes enfants, jusqu'au niveau secondaire. Aujourd'hui, même des enfants de 4 ans participent régulièrement à des initiatives telles que Code Camp, et il existe de nombreux programmes en ligne de grande qualité qui enseignent aux enfants à coder en Python et dans d'autres langages. Nous avons également fait l'acquisition d'un excellent outil de codage sans écran, Cubetto, pour notre fille de 4 ans.

Cependant, malgré ces avantages et ces progrès, il existe un écart. Personne n'avait envisagé la possibilité d'utiliser la gamification pour enseigner aux développeurs comment écrire du code sécurisé.

Eh bien... il n'y a pratiquement personne. Il y a quelques années, nous avons réalisé qu'il était nécessaire de rendre la sécurité à nouveau stimulante et d'augmenter la motivation des développeurs à participer et à commencer à jouer.

Gamification : une approche simple.

J'ai une forte motivation à améliorer les connaissances des développeurs en matière de sécurité et à leur donner les moyens d'agir. C'est cette passion qui m'a poussé à créer Secure Code Warrior. La sécurité des logiciels est extrêmement importante et vraiment passionnante.

Je ne suis pas le seul à réfléchir à cela.

La gamification rend les tâches courantes plus agréables, incite à continuer à jouer, à gagner et à progresser, et empêche les gens de se lasser. Observez l'approche de Pokémon Go ! Même les personnes les plus inactives recherchent des créatures imaginaires à l'extérieur, et beaucoup se fixent comme objectif quotidien d'atteindre le nombre de pas recommandé par FitBit... Lorsque ces objectifs ne sont pas atteints, que la série de victoires prend fin ou que les badges ne sont pas obtenus, un sentiment de déception intense peut survenir.

Revenons maintenant à la formation en matière de sécurité. Nous avons démontré à de nombreux clients que la gamification est essentielle pour transformer véritablement la culture de sécurité d'une organisation, établir un pont entre l'équipe chargée de la sécurité des applications et l'équipe de développement, et favoriser la création de logiciels de haute qualité en général.

À l'heure actuelle, la sécurité n'est pas une priorité pour les développeurs. En ajoutant des éléments conviviaux, compétitifs et attrayants à la méthode d'entraînement, il est possible de renforcer la motivation des utilisateurs à revenir non seulement pour « jouer », mais aussi pour gagner plus de points, battre des records, améliorer leur précision et défier leurs coéquipiers.

Nous savons déjà que lorsque la formation est réussie, les résultats suivants sont obtenus.

• Les développeurs peuvent travailler avec du code réel et leur propre langage/cadre.
• Les défis sont courts et couvrent toutes les vulnérabilités générales en matière de sécurité.
• Les défis sont constamment élargis et mis à jour, ce qui permet aux développeurs de continuer à perfectionner leurs compétences au fil du temps.
• La complexité des défis est variée, ce qui rend ce poste attrayant tant pour les développeurs expérimentés que pour ceux qui ont moins d'expérience.
• Les développeurs et leurs responsables peuvent consulter l'état d'avancement des tâches terminées, les points forts et les points faibles, le temps consacré à la formation, ainsi que la précision globale.

Un client important a démontré le véritable attrait de la plateforme de gamification, a fourni aux développeurs des équipements thématiques pour les équipes et a offert des prix exceptionnels aux gagnants du jeu, rendant ainsi le tournoi vraiment mémorable. Depuis lors, ils ont organisé des compétitions internationales et l'ensemble de l'équipe consacre encore aujourd'hui un temps considérable à l'entraînement.

Votre propre révolution logicielle commence ici. Le secteur bancaire australien est à l'avant-garde de l'adoption de la formation par la gamification dans la lutte contre les codes défectueux, grâce à une approche véritablement innovante qui bouleverse les formations traditionnelles (ou ennuyeuses). Découvrez ce que nos clients ont accompli grâce à cette formation. Tournoi de niveau supérieur. Êtes-vous prêt ? Améliorez les compétences de votre équipe avec nous.

Nous devons changer de sujet et nous efforcer de faire de la sécurité un élément indispensable du travail de tous les développeurs. L'une des meilleures façons d'y parvenir est, selon moi, de responsabiliser les développeurs en matière de sécurité et de les impliquer dans ce domaine, notamment par le biais de la gamification.