Por qué la gamificación es la clave para aumentar la seguridad de su software

Directores de AppSec, CISOs, CIOs, expertos en ciberseguridad - he hablado con muchos de ellos, trabajando en todo tipo de empresas en todo el mundo - en el curso de mi propia carrera en el desarrollo de software y seguridad.

No importa lo diferente que sea su situación, la experiencia de su equipo o el tiempo que pase en este mundo digital en constante cambio, hay un problema que siempre permanece igual: rara vez son capaces de involucrar positivamente a su equipo de desarrollo en la seguridad. La seguridad sigue siendo la palabra sucia, la fuente de conflictos entre los equipos y el verdadero dolor de espalda de la industria.

Sin embargo, la seguridad del software es demasiado importante para que nuestra mentalidad general siga por este camino. Debemos trabajar para cambiar la conversación, para hacer de la seguridad una parte integral de la vida laboral de cada desarrollador. Y creo que una de las mejores maneras de hacerlo es empoderar y comprometer a los desarrolladores con la seguridad a través de, por ejemplo, la gamificación.

El panorama actual

Los desarrolladores salen de la universidad con muy pocos conocimientos prácticos sobre la entrega de código seguro, trabajan en puestos en los que la formación en seguridad rara vez es una prioridad (y cuando lo es, suele formar parte de los vídeos de cumplimiento obligatorio en materia de salud y seguridad, que son tan aburridos que nadie se preocuparía por la codificación segura). Muy a menudo, su primera experiencia con la seguridad es un informe de auditoría o de prueba de errores que de repente detiene una futura versión, convirtiéndose en una interrupción instantánea de máxima prioridad de su mente creativa. Se encuentran en desacuerdo con los responsables de los informes de seguridad, por lo que "seguridad" se convierte en sinónimo de "crítica" en su mente. Qué asco.

Sinceramente, es una verdadera lástima que esta percepción negativa de la seguridad del software esté tan extendida. Después de todo, algunos de los mejores recuerdos que guardo de mi carrera están relacionados con el aprendizaje de la seguridad del software. Pasé mis primeros días como hacker asistiendo a conferencias, donde no sólo podía poner a prueba mis habilidades (y, para ser honesto, presumir un poco) frente a mis compañeros, sino que también me divertía enormemente conociendo a personas con ideas afines que disfrutaban rompiendo el software tanto como yo.

BruCon, DefCon, BlackHat... estos eventos ofrecían a gente como yo la posibilidad de poner en práctica nuestras habilidades en una competición amistosa. Aunque nunca admitiría haber participado en cosas tan antisociales, algunos incluso mostraban su destreza como hackers entrando en los teléfonos de otros asistentes, mostrando su información en las pantallas de presentación para que todos la vieran. Se convirtió en un juego, encontrar estos fallos - explotarlos y arreglarlos - para mejorar el software. Hace unos años, tuve el privilegio de estar frente a cientos de niños en Oriente Medio, enseñándoles sobre ciberseguridad. Todavía recuerdo a una niña de ocho años entre mis alumnos, que estaba aprendiendo sobre el forzamiento de contraseñas y la codificación en base64 mientras jugaba.

La gamificación también se utiliza para enseñar habilidades de codificación. Instituciones educativas de todo el mundo están utilizando este enfoque para enseñar a codificar a niños muy pequeños, incluso hasta la edad de la escuela secundaria. Niños de tan solo cuatro años asisten ahora con regularidad a iniciativas de vacaciones como CodeCamp, y hay una gran cantidad de fantásticos programas en línea que enseñan a los niños a codificar en Python y otros lenguajes. Incluso compré la increíble herramienta de codificación sin pantalla, Cubetto, para mi hija de cuatro años.

Sin embargo, a pesar de toda esta diversión y progreso, hay un vacío. Nadie pensó en la posibilidad de aprovechar la gamificación para formar a los desarrolladores en la escritura de código seguro.

Bueno... casi nadie. Hace unos años, me di cuenta de que teníamos que hacer que la seguridad volviera a ser inspiradora, y motivar realmente a los desarrolladores para que se involucraran y empezaran a jugar.

Gamificación: El camino sencillo hacia adelante.

Hay un profundo impulso dentro de mí para elevar y empoderar a los desarrolladores con conocimientos de seguridad, y es esta pasión la que me llevó a crear Secure Code Warrior. La seguridad del software es muy importante y puede ser realmente apasionante.

No soy el único que piensa así.

La gamificación puede hacer que incluso las tareas más mundanas sean más divertidas, y mantiene a la gente lo suficientemente comprometida como para querer seguir jugando, ganando y progresando: basta con ver la forma en que Pok̩mon Go! hizo que hasta el individuo más perezoso se levantara del sofá, saliera al aire libre y buscara criaturas imaginarias, o cómo FitBit hace que para muchos sea un objetivo diario alcanzar su recuento de pasos... una sensación muy real de decepción golpea si esos objetivos no se cumplen, si las rachas se terminan y las insignias no se ganan.

Así pues, volvamos a la formación en seguridad. Hemos comprobado con muchos clientes que la gamificación es la clave para transformar realmente la cultura de la seguridad en sus organizaciones, construyendo puentes entre los equipos de AppSec y los de desarrollo, así como ayudándoles en general a construir software de mayor nivel.

En este momento, la seguridad no es la prioridad del desarrollador. Al añadir un elemento amistoso, competitivo y atractivo a sus métodos de entrenamiento, les está motivando no solo a "jugar', sino a seguir regresando para ganar más puntos, superar las puntuaciones más altas, ser más precisos y desafiar a sus compañeros de equipo.

Ya sabemos que el éxito de la formación se parece a esto:

• Los desarrolladores pueden trabajar en código real y en sus propios lenguajes/marcos
• Los desafíos son cortos y cubren todas las vulnerabilidades de seguridad comunes
• Los retos se amplían y actualizan constantemente para que los desarrolladores puedan seguir desarrollando sus habilidades con el tiempo
• Los retos varían en complejidad, por lo que son atractivos tanto para los desarrolladores senior como para los menos experimentados
• Los desarrolladores y sus jefes pueden ver el progreso, incluyendo los retos que han completado, sus puntos fuertes y débiles, el tiempo dedicado a la formación y su precisión general.

Uno de nuestros mayores clientes demostró la verdadera magia de una plataforma gamificada en su lanzamiento, engalanando a sus desarrolladores con equipos temáticos, ofreciendo increíbles premios a los ganadores de los juegos y convirtiendo su tournament en un día inolvidable. Desde entonces, han ofrecido competiciones internacionales, y todo su equipo sigue acumulando horas de formación hasta el día de hoy.

Su propia revolución del software empieza aquí. El sector bancario australiano está liderando la adopción de la formación gamificada en la lucha contra el mal código, en un enfoque verdaderamente innovador que pone de cabeza la formación tradicional (o, aburrida) - sólo hay que ver lo que nuestro cliente hizo con su siguiente nivel tournament. ¿Estás preparado para subir de nivel a tu equipo con nosotros?

Debemos trabajar para cambiar la conversación, para hacer de la seguridad una parte integral de la vida laboral de cada desarrollador. Y creo que una de las mejores maneras de hacerlo es empoderar y comprometer a los desarrolladores con la seguridad a través de, por ejemplo, la gamificación.