Facteur déterminant 1 : des critères de réussite clairs et mesurables

Nous avons commencé à examiner en profondeur les dix facteurs clés de réussite. La première étape fondamentale est le facteur clé n° 1 : des critères de réussite clairs et mesurables. Si le programme de codage sécurisé est un parcours, la première étape, qui est également la plus importante, consiste à déterminer précisément votre destination. C'est l'essence même du premier facteur clé.

Relier les critères de réussite aux résultats opérationnels

La mise en place d'un programme de codage sécurisé efficace nécessite des objectifs clairs, étroitement liés aux résultats opérationnels. Le facteur clé 1 répond à la question fondamentale suivante : « En termes très concrets et mesurables, quels sont les problèmes ou les points sensibles que nous cherchons à résoudre grâce au programme de codage sécurisé ? »

Votre organisation pourrait souhaiter se conformer aux exigences réglementaires ou prévenir les failles de sécurité et les cyberattaques. Il est également possible que vous cherchiez à adopter une approche proactive en tant qu'organisation, en réduisant les coûts et le temps liés aux retouches, grâce à la formation des développeurs à la programmation sécurisée dès le début.

Quelles que soient vos motivations, la situation actuelle de votre organisation, voire la plateforme de formation à la sécurité que vous avez choisie, le succès à long terme de votre projet dépend en grande partie de la définition d'objectifs clairs, alignés sur les objectifs opérationnels, afin d'obtenir le soutien nécessaire et d'assurer un succès durable.

Tenez compte des principales parties prenantes de votre programme lorsque vous déterminez les critères de réussite. Connaître vos sponsors exécutifs et leurs objectifs commerciaux vous aidera à favoriser une adoption plus large dans tous les services.

Rendre le succès mesurable

Par nature, ces objectifs doivent être spécifiques à votre organisation. Cela étant dit, veuillez examiner ces exemples d'objectifs commerciaux et réfléchir à la manière dont ils pourraient inspirer d'autres idées :

Réduction des risques : atténuez les risques liés aux développeurs et réduisez les vulnérabilités introduites par les failles de codage. Cela inclut l'identification des risques et la réduction de la surface d'attaque des applications.

Les programmes visent souvent des indicateurs tels que la réduction et la prévention de la densité des vulnérabilités ou du taux d'injection de vulnérabilités.

Vitesse opérationnelle : optimisez la vitesse de livraison des produits, réduisez la frustration et l'attrition des développeurs, et diminuez le temps consacré aux retouches. La formation au code sécurisé constitue une incitation importante pour les développeurs, car elle leur permet d'éviter les retouches fastidieuses du code bogué identifié plus tard dans le cycle de vie du développement logiciel.

Les programmes visent souvent à réduire le temps moyen de correction (MTTR) des vulnérabilités par les développeurs.

Conformité réglementaire : Assurez la conformité externe, par exemple en respectant des normes telles que PCI-DSS (qui impose une formation à tous les développeurs travaillant sur des systèmes de paiement).

Talent et confiance : Renforcez l'engagement et la sensibilisation à la sécurité et aux vulnérabilités au sein de l'organisation des développeurs, tout en maintenant et en renforçant la confiance des clients. Pour certaines entreprises, les développeurs sensibilisés à la sécurité contribuent à établir une différenciation sur le marché.

Les programmes établissent souvent des exigences minimales en matière de compétences pour les développeurs ou créent même des programmes spécialisés de champions de la sécurité.

Enregistrer les réussites dans le programme de réussite conjointe

Une fois les critères de réussite définis, l'étape suivante consiste à les consigner dans le plan de réussite conjoint. Ce plan est un schéma directeur partagé entre les différents services, qui est communiqué à toutes les parties prenantes clés de votre projet, y compris les soutiens externes, tels que votre plateforme de formation CSM.

Le plan de réussite comprend :

1. Facteurs de valeur: ceux-ci incluent des objectifs commerciaux de haut niveau liés à l'amélioration de la sécurité du code et à la réponse aux questions fondamentales.
2. État actuel: Cela détermine « où nous en sommes actuellement » (par exemple, les compétences actuelles en matière de codage sécurisé ou les programmes de formation existants).
3. État futur (souhaité): Vous devrez ensuite noter « Où souhaitons-nous aller ? » et déterminer comment combler les lacunes en matière de compétences de codage sécurisé.
4. Indicateurs clés de performance/indicateurs de mesure: ces indicateurs témoignent du succès et démontrent que l'écart entre l'état actuel et l'état futur se réduit à mesure que le programme est mis en œuvre.

Nous recommandons de commencer par un ou deux indicateurs spécifiques, puis de les étendre si nécessaire. Ces indicateurs clés de performance doivent respecter les principes S.M.A.R.T. (spécifiques, mesurables, atteignables, réalistes, temporellement définis). Ils doivent être faciles à suivre et ne peuvent être interprétés de manière arbitraire. Pour mettre le plan en œuvre, toutes les parties doivent assumer leurs responsabilités et examiner régulièrement la valeur et le retour sur investissement avec la direction.

En définissant et en mesurant clairement ces critères, votre programme de sécurité informatique passera du statut de simple centre de coûts à celui de facteur vérifiable de résultats opérationnels clés, ce qui constitue la première étape indispensable pour atteindre la maturité du programme.

Nous allons maintenant examiner en détail le deuxième facteur déterminant : le parrainage par la haute direction. Nous discuterons du rôle essentiel joué par la direction dans la mise en œuvre réussie d'un programme de codage sécurisé.

Avez-vous d'autres questions ?Les clients peuvent contacter notre équipe clientèle ou support@securecodewarrior.com. Les clients potentiels peuvent contacter notre équipe commerciale en cliquant ici.