Pourquoi la gamification est essentielle pour améliorer le niveau de sécurité des logiciels

En tant que responsable de la sécurité des applications, responsable de la sécurité des systèmes d'information, directeur des systèmes d'information et expert en cybersécurité, j'ai acquis une expérience dans le développement et la sécurité des logiciels. J'ai eu l'opportunité de collaborer avec de nombreuses personnes issues de divers types d'entreprises à travers le monde.

Quelle que soit la situation, quelle que soit l'expérience de l'équipe, quel que soit le temps écoulé dans un monde numérique en constante évolution, il y a toujours un problème récurrent. Il est rare que les équipes de développement s'impliquent de manière positive dans la sécurité. La sécurité reste un sujet délicat, source de conflits entre les équipes et un problème sous-jacent dans le secteur.

Cependant, la sécurité logicielle est trop importante pour que nous continuions à suivre cette voie avec notre mode de pensée habituel. Nous devons changer notre discours et nous efforcer de faire de la sécurité un élément indispensable dans le quotidien professionnel de tous les développeurs. L'un des meilleurs moyens d'y parvenir consiste, par exemple, à renforcer les compétences des développeurs en matière de sécurité et à susciter leur engagement grâce à la gamification.

Le paysage actuel

Les développeurs obtiennent leur diplôme universitaire avec peu de connaissances pratiques sur la fourniture de codes sécurisés et travaillent dans des professions où la formation à la sécurité n'est généralement pas une priorité (et lorsqu'elle l'est, elle fait souvent partie des vidéos obligatoires sur la conformité aux réglementations en matière de santé et de sécurité, ce qui ne suscite généralement pas d'intérêt pour le codage sécurisé).Leur première expérience en matière de sécurité consiste souvent en des rapports d'audit ou de test de bogues, ce qui peut entraîner l'interruption soudaine des versions ultérieures et perturber leur créativité. Ils discutent avec les responsables des rapports de sécurité, ce qui fait que dans leur esprit, « sécurité » devient synonyme de « critique ».

Il est regrettable que cette perception négative de la sécurité logicielle soit si répandue. Après tout, certains des souvenirs les plus marquants de ma carrière sont liés à ce que j'ai appris sur la sécurité logicielle. J'ai passé mes débuts dans le piratage informatique à assister à des conférences. Ces conférences m'ont non seulement permis de tester mes compétences auprès de mes pairs (et, pour être honnête, de me mettre un peu en valeur), mais aussi de rencontrer des personnes partageant les mêmes idées que moi, qui appréciaient également de manipuler les logiciels, ce qui a été une expérience très enrichissante.

BruCon, DefCon, BlackHat... Ces événements ont offert à des personnes comme moi l'opportunité de mettre en pratique nos compétences lors de compétitions amicales. Bien que je ne puisse en aucun cas admettre avoir participé à de telles activités antisociales, certaines personnes ont démontré leurs talents de hackers en piratant les téléphones d'autres participants et en affichant leurs informations sur l'écran de présentation, à la vue de tous.Trouver ces failles afin d'améliorer les logiciels, c'est-à-dire les exploiter et les corriger, est devenu un jeu. Il y a quelques années, j'ai eu le privilège d'enseigner la cybersécurité à des centaines d'enfants vivant au Moyen-Orient. Je me souviens encore d'une élève de huit ans qui apprenait le cryptage obligatoire et l'encodage Base64 tout en jouant à un jeu.

La ludification est également utilisée pour enseigner les techniques de codage. Les établissements d'enseignement du monde entier utilisent cette approche pour enseigner le codage à de très jeunes enfants, y compris aux lycéens. Aujourd'hui, les enfants de moins de 4 ans participent régulièrement à des programmes de vacances tels que Code Camp. Ilexiste de nombreux programmes en ligne exceptionnels qui enseignent aux enfants à coder en Python et dans d'autres langages. J'ai même acheté un outil remarquable appelé Screenless Coding pour ma fille de 4 ans.

Cependant, malgré tout cet intérêt et ces progrès, il existe un écart. Personne n'a envisagé la possibilité d'utiliser la gamification pour former les développeurs à la rédaction de codes sécurisés.

Eh bien... Presque personne. Il y a quelques années, j'ai réalisé qu'il fallait redynamiser la sécurité et motiver les développeurs à participer et à se lancer dans le jeu.

Gamification : une approche simple.

Je suis profondément motivé par le désir d'améliorer et de renforcer les compétences des développeurs en matière de sécurité. C'est précisément cette passion qui m'a poussé à créer Secure Code Warrior. La sécurité des logiciels est extrêmement importante et peut être très intéressante.

Je ne suis pas le seul à penser ainsi.

La gamification peut rendre les tâches quotidiennes plus attrayantes et augmenter l'engagement des personnes, les incitant à continuer à jouer, à gagner et à progresser. Prenez l'exemple de Pokémon Go ! Même les personnes les plus sédentaires se lèvent de leur canapé pour rechercher des créatures imaginaires en plein air, ou utilisent FitBit pour compter le nombre de pas qu'elles effectuent chaque jour... Si l'objectif n'est pas atteint ou si la série est interrompue et que le badge n'est pas obtenu, la déception est grande.

Nous allons maintenant revenir à la formation à la sécurité. De nombreux clients nous ont démontré que la gamification est essentielle pour transformer véritablement la culture de sécurité d'une organisation, servir de passerelle entre l'équipe AppSec et l'équipe de développement, et permettre la création de logiciels de meilleure qualité.

À l'heure actuelle, la sécurité n'est pas une priorité pour les développeurs. En ajoutant des éléments conviviaux, compétitifs et attrayants à la méthode de formation, il est possible de motiver les développeurs non seulement à « jouer », mais aussi à revenir pour obtenir plus de points, atteindre des scores élevés, améliorer leur précision et défier leurs collègues.

Nous savons déjà que pour réussir une formation, il convient de respecter les éléments suivants.

• Les développeurs peuvent travailler avec leur code réel et leur propre langage/cadre.
• Le défi est court et couvre toutes les vulnérabilités de sécurité courantes.
• Les défis sont constamment élargis et mis à jour, ce qui permet aux développeurs de continuer à acquérir des compétences au fil du temps.
• Les tâches sont variées et complexes, ce qui les rend attrayantes tant pour les développeurs expérimentés que pour ceux qui ont moins d'expérience.
• Les développeurs et les administrateurs peuvent consulter l'avancement des tâches accomplies, les points forts et les points faibles, le temps consacré à la formation et le niveau de précision global.

L'un de nos principaux clients a démontré la véritable magie d'une plateforme ludique. Il a fourni aux développeurs des équipements thématiques pour leurs équipes, offert des récompenses exceptionnelles aux vainqueurs du jeu et fait de ce tournoi une journée mémorable. Par la suite, un tournoi international a également été organisé, et l'ensemble de l'équipe continue à ce jour de s'entraîner avec sérieux.

Votre propre révolution logicielle commence ici. Le secteur bancaire australien est à l'avant-garde de l'introduction d'une formation ludique pour lutter contre les mauvais codes, grâce à une approche véritablement innovante qui transforme complètement la formation traditionnelle (ou ennuyeuse). Découvrez ce que nos clients ont accompli. Tournoi Next Level. Êtes-vous prêt à passer au niveau supérieur avec nous?

Nous devons nous efforcer de changer le discours et de faire de la sécurité un élément indispensable dans le quotidien professionnel de tous les développeurs. L'un des meilleurs moyens d'y parvenir consiste, par exemple, à renforcer les compétences des développeurs en matière de sécurité et à susciter leur engagement grâce à la gamification.