Campeones y entrenadores: Por qué todo equipo de desarrollo necesita a ambos

Las palabras "campeón" y "entrenador" están encontrando una creciente relevancia fuera del ámbito deportivo, y tienen una poderosa presencia en la mayoría de los contextos. Hay coaches de vida, coaches de bienestar, coaches de empatía y "campeones" que están siendo coronados en muchas organizaciones, títulos como "campeón de seguridad" o "campeón de vibración" son cada vez más habituales y están integrados en el espíritu y la cultura de la empresa. Cuando las cosas se ponen difíciles, ¿quién no querría un coach o un campeón en su esquina? 

Las instituciones del sector de la ciberseguridad tienen una larga historia de utilización de campeones en la búsqueda de la difusión de la seguridad a nivel de desarrollo, y la defensa de estándares más altos de seguridad del software. BSIMM los denomina grupo Satélite, mientras que OpenSAMM y Axway se encuentran entre los grupos pioneros que apoyan a los campeones de seguridad como concepto y programa formalizado. Estas iniciativas se cruzan con uno de los principales objetivos del movimiento DevSecOps y lo apoyan, que es el compromiso de compartir la responsabilidad de la seguridad en todos los equipos y funciones, desde el principio del proceso de desarrollo de software.

Muchas empresas que están dando un golpe de timón en su enfoque de ciberseguridad han implementado un programa oficial de campeones de seguridad, otorgando responsabilidades clave en materia de seguridad -desde el enlace entre equipos y la animación general, hasta la supervisión de las mejores prácticas- a personas que demuestran aptitud y pasión por ese papel. 

Sin embargo, ha sido bastante evidente que el papel del "campeón de seguridad" está cambiando, y una empresa con visión de futuro puede alcanzar nuevas cotas de mejores prácticas de seguridad escalables con un equipo ampliado, con entusiastas clave que apoyen funciones diferentes, aunque igualmente importantes. 

Estamos redefiniendo y duplicando al campeón de seguridad para que realmente tenga un impacto en un programa de seguridad a prueba de futuro. Está preparado para crear su próximo Dream Team?

Todo gran equipo está detrás de un entrenador inspirador.

Cuando se piensa en Lionel Messi, Michael Jordan y Serena Williams, normalmente sólo los aficionados más acérrimos serían capaces de recitar datos sobre sus entrenadores, sin embargo, es ese pilar cercano de apoyo que perfecciona sus habilidades naturales, su talento y su impulso hacia sus objetivos lo que genera el inmenso éxito que vemos en los focos. 

Nadie espera que los desarrolladores ganen un grand slam o marquen un gol para Argentina, diablos, nadie debería esperar que los desarrolladores sean expertos en seguridad (después de todo, se inscribieron para crear características geniales, no para sumergirse en la seguridad), pero un gran "entrenador" de seguridad es su verdadero campeón en el equipo.

Un campeón de seguridad del lado del desarrollador está mucho más alineado con lo que reconoceríamos como los fundamentos de un entrenador. Les apasiona la seguridad, saben lo que hacen y son un punto de contacto clave cuando un desarrollador tiene un problema de seguridad que resolver. Tienen los conocimientos prácticos para ayudarles a corregir el problema y aprender de sus errores, al tiempo que se aseguran de que el equipo está alineado con las mejores prácticas y valores de seguridad. 

¿Podría levantarse el campeón de AppSec?

Un campeón del lado de la seguridad de las aplicaciones es una pieza que suele faltar en el rompecabezas del programa de seguridad. Son absolutamente vitales para el éxito de un equipo de desarrollo, y como puente entre el personal de nivel C y ejecutivo y los desarrolladores, pueden abogar activamente por ellos y ayudar a habilitarlos con las herramientas que necesitan para tener un impacto positivo en la reducción de la vulnerabilidad, la seguridad del software y la confianza y satisfacción del cliente. 

Un gran campeón de AppSec es reconocido como un líder de seguridad dentro de la empresa, y debe tener un papel importante en la formación de los entrenadores de seguridad directamente, con el objetivo final de forjar mejores resultados y relaciones entre los equipos, todo en la ayuda de un objetivo común: kick-ass, código seguro hermético. 

Convocar a tu superentrenador.

Los campeones y los grandes entrenadores van de la mano, y juntos crean magia. Los programas de campeones de seguridad existentes tienden a centrarse en el desarrollador, pero como hemos identificado, el verdadero campeón debe estar en el lado de AppSec, dejando a los desarrolladores más apasionados y conscientes de la seguridad para ayudar a lograr la grandeza de la codificación segura bajo el capó, elevando el resto del equipo. 

Descubrir al entrenador ideal sigue siendo un proceso similar al del campeón tradicional: el mejor entrenador no es simplemente la persona que es "mejor" en seguridad. La persona que resulta ser increíble para codificar de forma segura y producir código fortificado de alta calidad, puede tener cero interés en asumir un papel extracurricular, o tal vez no están particularmente entusiasmados por la seguridad a pesar de su aptitud. 

En cambio, su entrenador podría quedar al descubierto si busca a alguien que

• Tiene un gran interés en la ciberseguridad, desde la codificación práctica hasta la actualización de los últimos incidentes, herramientas y desarrollos interesantes
• Tiene buenas aptitudes para las relaciones interpersonales; le gusta ayudar a los demás, sentirse la persona a la que hay que acudir (o el experto residente) y es un jugador de equipo accesible
• Pueden ser proactivos en la defensa del lado del desarrollador; saben lo que se necesita para ayudar al equipo y pueden trabajar con su enlace de AppSec (su campeón) para que se satisfagan las necesidades de modo que se puedan lograr resultados de seguridad mutuos.

Incentivar el puesto de entrenador; quienquiera que elija tendrá que asumir más responsabilidades, y su carga de trabajo deberá evaluarse en consecuencia. Aunque el interés personal y la progresión profesional serán factores que influyan en la motivación de un entrenador potencial, es una buena práctica ver de qué otra forma se le puede recompensar por marcarse objetivos. ¿Pueden ser enviados a una conferencia impresionante? ¿Pueden obtener un permiso extra? ¿Pueden financiarse courses y certificaciones para ellos? El tiempo y el dinero que se invierte ahora en asegurar el SDLC desde el principio ahorra mucho más después en el ciclo - o peor, si se descubre una vulnerabilidad en vivo - y un buen entrenador mantendrá la conciencia alta. Encuentre una manera de proporcionar recompensas significativas.

Su programa de campeón de seguridad de siguiente nivel.

En última instancia, como industria, debemos hacer más para apoyar a los desarrolladores y ganarles para el lado oscuro de la seguridad, tanto como motivarlos para que vean que el código de calidad es código seguro. Es difícil interesarse por algo cuando no se ha dedicado el tiempo y el esfuerzo necesario para educar y permitir el éxito, y lamentablemente, ese suele ser el caso de la educación en materia de código seguro. Una formación relevante y práctica, junto con un entrenador de pares y un defensor de la seguridad de las aplicaciones, es realmente el triple golpe necesario para reforzar el equipo de desarrollo y dar rienda suelta a su poder defensivo.