Facilitador 1: Criterios de éxito definidos y medibles

Comenzamos nuestra inmersión profunda en los 10 precursores del éxito con el paso fundamental del facilitador 1: criterios de éxito definidos y medibles. Si un programa de codificación seguro es un viaje, el primer y más importante paso es saber exactamente adónde se dirige. Esa es la esencia del primer facilitador.

Vinculación de los criterios de éxito con los resultados empresariales

La creación de un programa eficaz para la codificación segura requiere objetivos claros que estén vinculados a los servicios de la empresa. El facilitador 1 respondió a las preguntas fundamentales: «¿Cuál es, de forma concreta y cuantificable, el problema o el punto débil que intentamos resolver con nuestro programa de codificación segura?».

Quizás su organización esté buscando cumplir con los requisitos de cumplimiento normativo o evitar brechas de seguridad y ciberataques. O quizás esté buscando empezar como organización, reduciendo los costes y el tiempo dedicado a la formación de nuestros desarrolladores desde el principio y en las escuelas, de forma segura hasta la programación.

Independientemente de sus motivos, la situación actual de su empresa o incluso la plataforma de formación en seguridad que haya elegido depende de que los objetivos claramente definidos estén vinculados a los objetivos comerciales para ganar aceptación y garantizar un éxito duradero.

Tenga en cuenta a las partes interesadas clave de su programa a la hora de determinar los criterios de éxito. Conocer a sus patrocinadores ejecutivos y sus objetivos empresariales le ayudará a impulsar una adopción más amplia en todos los departamentos.

El éxito tangible y medible

Por supuesto, estos objetivos deben ser específicos para su empresa. Sin embargo, eche un vistazo a estos objetivos empresariales típicos y piense en cómo podrían inspirarle otras ideas:

Reducción de riesgos: Mitigar los riesgos de los desarrolladores y reducir las vulnerabilidades introducidas por fallos de codificación. Esto incluye la identificación de riesgos y la reducción de la superficie de ataque de las aplicaciones.

Los programas suelen centrarse en métricas como la densidad de vulnerabilidades o la reducción y prevención de la tasa de inyección de vulnerabilidades.

Velocidad operativa: Maximiza la velocidad de entrega de productos, reduce la frustración y el desgaste de los desarrolladores y disminuye la cantidad de tiempo dedicado a la reelaboración. La formación en código seguro actúa como un incentivo significativo para los desarrolladores, ya que les ayuda a evitar la reelaboración, que requiere mucho tiempo, del código defectuoso identificado más adelante en el ciclo de vida del desarrollo de software.

Los programas suelen tener como objetivo reducir el tiempo medio de reparación (MTTR) de las vulnerabilidades por parte de los desarrolladores.

Cumplimiento normativo: Logre el cumplimiento externo, como la adhesión a normas como PCI-DSS (que exige la formación de todos los desarrolladores que trabajan en sistemas de pago).

Talento y confianza: Aumenta el compromiso y la concienciación sobre la seguridad y las vulnerabilidades dentro de la organización de desarrolladores, al tiempo que mantienes y fomentas la confianza de los clientes. Para algunas empresas, los desarrolladores con conocimientos de seguridad ayudan a establecer una diferenciación en el mercado.

Los programas suelen establecer requisitos mínimos de habilidades para los desarrolladores o incluso crean programas especializados de campeones de seguridad.

Documentación de resultados en un plan de éxito conjunto

Una vezdefinidas las características de su éxito, el siguiente paso es incluirlas en un plan de éxito común. Este plan se basa en un plan cruzado que funciona, y todos los actores importantes participan en su programa, incluido el apoyo externo como su plataforma escolar CSM.

El plan de éxito incluye:

1. Factores de valor: están los objetivos empresariales exagerados relacionados con la mejora de la seguridad del código y la respuesta al «por qué» de su programa.
2. Estado actual: Esto justifica la pregunta «¿Dónde estamos ahora? » (por ejemplo, habilidades actuales para programar de forma segura o programas de formación existentes).
3. Estado futuro (deseado): A continuación, documenta «¿Dónde queremos estar?» y determina cómo se puede cerrar la brecha en las habilidades para programar de forma segura.
4. KPIs/Medidas: Son los indicadores clave, el éxito y el espectáculo que, con la introducción del programa, reducen la brecha entre la situación actual y la futura.

Recomendamos comenzar con 1 o 2 métricas específicas y ampliarlas más adelante si es necesario. Estos KPI/medidas deben cumplir con el principio S.M.A.R.T. (específico, medible, accesible, relevante, con plazos definidos). Deben ser fáciles de seguir y no deben interpretarse de forma arbitraria. Para poner en práctica el plan, es necesario que todas las partes rindan cuentas, y el valor y el retorno de la inversión deben revisarse periódicamente con la dirección en condiciones acordadas.

Su programa es una programación segura a través de un sitio web económico para verificar resultados comerciales importantes, un primer paso necesario para madurar el programa.

A continuación, vamos a sumergirnos en Enabler 2: Patrocinio a través del liderazgo para leer el papel clave, la guía para la introducción exitosa de un programa de codificación seguro.

¿Tiene alguna otra pregunta? Los clientes pueden ponerse en contacto con el equipo de cuentas o escribir a support@securecodewarrior.com. Los clientes potenciales pueden hablar con un miembro de nuestro equipo de ventas poniéndose en contacto con nosotros aquí.