Por qué la gamificación es la clave para aumentar la seguridad de su software

Gerentes de seguridad de aplicaciones, directores de informática, expertos en ciberseguridad... A lo largo de mi carrera profesional en los ámbitos del desarrollo de software y la seguridad, he hablado con muchos de ellos, que han trabajado en todo tipo de empresas de todo el mundo.

Independientemente de lo diferente que sea su situación, de la experiencia de su equipo o del tiempo que pase en este mundo digital en constante cambio, hay un problema que siempre sigue siendo el mismo: rara vez son capaces de motivar a su equipo de desarrollo en materia de seguridad. La seguridad sigue siendo una palabra mal vista, fuente de conflictos entre equipos y un verdadero dolor de cabeza para el sector.

Sin embargo, la seguridad del software es demasiado importante para nuestra forma de pensar general como para seguir por este camino. Debemos trabajar para cambiar el debate y hacer que la seguridad sea una parte integral de la vida laboral de todos los desarrolladores. Y creo que una de las mejores formas de hacerlo es empoderar a los desarrolladores en materia de seguridad y conectar con ellos, por ejemplo, mediante la gamificación.

El paisaje actual

Los desarrolladores salen de la universidad con muy pocos conocimientos prácticos sobre la implementación de código seguro. Trabajan en profesiones en las que la formación en seguridad rara vez es una prioridad (y, cuando lo es, suele formar parte de los vídeos obligatorios sobre cumplimiento normativo en materia de salud y seguridad, que son tan aburridos que nadie se molestaría en preocuparse por la programación segura). Muy a menudo, su primera experiencia con la seguridad es un informe de auditoría o de pruebas de errores que detiene repentinamente una futura publicación y se convierte inmediatamente en una interrupción de su pensamiento creativo con la máxima prioridad. Entran en conflicto con los responsables de los informes de seguridad, de modo que «seguridad» se convierte en su mente en sinónimo de «crítica». Puaj.

Sinceramente, es una verdadera lástima que esta percepción negativa de la seguridad del software esté tan extendida. Al fin y al cabo, algunos de los mejores recuerdos que tengo de mi carrera están relacionados con aprender sobre seguridad del software. Pasé mis primeros días como hacker asistiendo a conferencias en las que no solo podía poner a prueba mis habilidades frente a mis compañeros (y, para ser sincero, también presumir un poco), sino que también me divertía mucho conociendo a personas con ideas afines que disfrutaban tanto como yo desarrollando software.

BruCon, DefCon, BlackHat... Estos eventos nos dieron a personas como yo la oportunidad de poner en práctica nuestras habilidades en una competición amistosa. Aunque nunca admitiría haber participado en actividades tan antisociales, algunos incluso demostraron sus habilidades como hackers entrando en los teléfonos de otros participantes y mostrando su información en las pantallas de presentación para que todos la vieran. Se convirtió en un juego en el que se buscaban, aprovechaban y corregían estos errores para mejorar el software. Hace unos años, tuve el privilegio de estar frente a cientos de niños en Oriente Medio y enseñarles algo sobre ciberseguridad. Todavía recuerdo a una niña de ocho años entre mis alumnos que, mientras jugaba, aprendió algo sobre el fuerza bruta de contraseñas y la codificación Base64.

La gamificación también se utiliza para enseñar programación. Centros educativos de todo el mundo utilizan este enfoque para enseñar programación a niños muy pequeños, incluso hasta edades escolares avanzadas. Niños de cuatro años asisten ahora regularmente a iniciativas vacacionales como CodeCamp, y hay una serie de fantásticos programas en línea que enseñan a los niños a programar en Python y otros lenguajes. Incluso he comprado la estupenda herramienta de programación sin pantalla Cubetto para mi hija de cuatro años.

A pesar de toda la diversión y los avances, existe una laguna. Nadie pensó en la posibilidad de utilizar la gamificación para enseñar a los desarrolladores a escribir código seguro.

Bueno... casi nadie. Hace unos años me di cuenta de que teníamos que volver a hacer que la seguridad fuera inspiradora y motivar realmente a los desarrolladores para que se comprometieran y empezaran a jugar.

Gamificación: el camino fácil hacia el futuro.

Siento un profundo deseo de formar a los desarrolladores y transmitirles conocimientos sobre seguridad, y es precisamente esta pasión la que me ha llevado a Secure Code Warrior . La seguridad del software es muy importante y puede resultar realmente apasionante.

No estoy solo con mis pensamientos.

La gamificación puede hacer que incluso las tareas más cotidianas resulten más entretenidas y animar a la gente a seguir jugando, ganando y progresando. ¡Solo hay que ver cómo funciona Pokémon Go! He conseguido sacar del sofá incluso a la persona más perezosa para salir a buscar criaturas imaginarias, o cómo FitBit convierte en un objetivo diario para muchos alcanzar su número de pasos... Se produce una sensación muy real de decepción cuando no se alcanzan estos objetivos, cuando no se terminan las series y no se ganan las insignias.

Volvamos al entrenamiento de seguridad. Hemos demostrado a muchos clientes que la gamificación es la clave para cambiar realmente la cultura de seguridad en sus organizaciones. Construimos puentes entre los equipos de AppSec y desarrollo, y les ayudamos en general a desarrollar software con un estándar más alto.

En este momento, la seguridad no es la prioridad del desarrollador. Al añadir un elemento amigable, competitivo y cautivador a sus métodos de entrenamiento, los motiva no solo a «jugar», sino a volver una y otra vez para acumular más puntos, superar las puntuaciones más altas, ser más precisos y desafiar a sus compañeros de equipo.

Ya sabemos que un entrenamiento exitoso se ve más o menos así:

• Los desarrolladores pueden trabajar con código real y en sus propios lenguajes/marcos de trabajo.
• Los retos son breves y cubren todas las vulnerabilidades de seguridad habituales.
• Los retos se amplían y actualizan constantemente, de modo que los desarrolladores pueden seguir ampliando sus habilidades con el paso del tiempo.
• Los retos son de diversa complejidad y, por lo tanto, resultan interesantes tanto para desarrolladores experimentados como para aquellos con menos experiencia.
• Los desarrolladores y sus gerentes pueden realizar un seguimiento del progreso, incluyendo los retos que han superado, sus fortalezas y debilidades, el tiempo dedicado a la formación y su precisión general.

Uno de nuestros mayores clientes demostró la verdadera magia de una plataforma gamificada durante su lanzamiento. Equipó a sus desarrolladores con material temático para equipos, ofreció fantásticos premios a los ganadores e hizo de su torneo un día inolvidable. Desde entonces, ofrecen competiciones internacionales y todo su equipo sigue dedicando muchas horas al entrenamiento.

Tu propia revolución tecnológica comienza aquí. El sector bancario australiano está liderando la introducción de la formación gamificada en la lucha contra el código deficiente. Se trata de un enfoque realmente innovador que da un giro radical a la formación tradicional (o aburrida). Echa un vistazo a lo que nuestro cliente ha conseguido con su torneo de nivel superior. ¿Estás listo para mejorar tu equipo con nosotros?

Debemos trabajar para cambiar la conversación y hacer que la seguridad sea una parte integral de la vida laboral de cada desarrollador. Y creo que una de las mejores maneras de hacerlo es empoderar a los desarrolladores en materia de seguridad y conectar con ellos, por ejemplo, a través de la gamificación.