Deje de interrumpir mi flujo de trabajo! Cómo puede obtener la formación de seguridad adecuada en el momento oportuno

Piensa en la última vez que estuviste en el trabajo, quizás en un equipo de proyecto de software trabajando con un plazo imposible. Y entonces, llega tu jefe y te dice que hay que hacer una formación de seguridad obligatoria, y que hay que meterla con calzador en tu jornada laboral además de todo lo demás.

Ellos lo saben, y tú lo sabes. Es una gran molestia, pero por razones de cumplimiento, estarás reproduciendo unos aburridos vídeos de formación en segundo plano mientras sigues codificando, entrando y saliendo de ambas tareas y no prestando toda tu atención a ninguna de ellas. Este es un escenario común; es altamente perturbador, y hace perder el tiempo a todos. La mayoría de la formación en seguridad es demasiado genérica, y es fácil ignorar algo que entra y sale de la jornada laboral sin ningún valor real.

Como empresa, nuestro objetivo es ofrecerle un tipo de formación en seguridad mejor y más eficaz, y esto nace de saber exactamente lo que es estar desvinculado de lo que el equipo de AppSec le dice que es importante, cuando cada una de sus prioridades está desalineada. Lo interesante, sin embargo, es que empezamos a pensar en lo que podíamos hacer para reducir la barrera para recibir formación cuando la necesitas: incluso con nuestra plataforma completa, hay algunos pasos que te alejan de tu trabajo, en momentos en los que todavía necesitas un empujón útil pero no puedes dedicar un bloque de concentración a una sesión de formación.

Hemos estudiado cómo se podría implementar el microaprendizaje en el flujo de trabajo, en el IDE o en el gestor de incidencias, de una forma más fluida. Y esto es lo que se nos ocurrió:

Esto se basa en los principios de Just-in-Time (JiT), en los que se le sirve el conocimiento adecuado, en el momento adecuado para que sea inmediatamente efectivo y útil. Es lo contrario del enfoque de aprendizaje "por si acaso", que a menudo es un estado de sobrecarga de información que quita un tiempo precioso y espacio para construir características.

Un código de calidad es un código seguro, y si necesitas un compañero de seguridad no invasivo con el que colaborar de vez en cuando, entonces puede valer la pena que lo pruebes.

Elimine las barreras y lleve la formación hasta usted.

La ciberseguridad puede interesar a algunos, pero no a todos. Y nadie debe esperar que los desarrolladores se conviertan en expertos en seguridad: eso sigue siendo tarea de los equipos especializados en AppSec. Sin embargo, los desarrolladores conscientes de la seguridad son venerados por sus habilidades y la protección que pueden ofrecer a las organizaciones desde la fase de creación del código. Es un puesto muy demandado, y se pueden sentar las bases con el tiempo gracias al microaprendizaje contextual.

Ahora bien, si piensas en la formación integrada como algo más parecido a Clippy(que en paz descanse), es importante tener en cuenta que en el caso de las integraciones de Secure Code Warrior, están construidas por desarrolladores para desarrolladores, por lo que el factor de irritación se ha tenido en cuenta y se ha eliminado.

Vamos a comprobarlo en acción:

Secure Code Warrior para Github inspecciona el código en busca de referencias de Common Weakness Enumeration (CWE) u OWASP en las etiquetas, el título de la incidencia y el cuerpo de la misma para mostrar formación contextual en tiempo real. Si se encuentra una referencia a una vulnerabilidad, se publicará un comentario en la incidencia para ayudar a su rápida resolución y a la prevención de vulnerabilidades recurrentes. Se integra con el problema sin interrumpir su proceso, o hacerle saltar a través de aros para una solución.

Y si se utiliza Jira, el proceso es similar:

Ahora, para las superestrellas de la seguridad, es importante recordar que no todo depende de ti para hacer que la magia ocurra. Vas a necesitar apoyo, formación y una razón para tomarte la seguridad en serio e introducirla en tu propio flujo de trabajo. Por suerte, todo esto forma parte de un proceso DevSecOps que funciona, y muchas organizaciones ya están tomando nota. ¿Por qué no empezar con ventaja?

Descárguelos ahora y díganos lo que piensa.