Il faut un village : comment l'esprit communautaire renforce la sécurité des développeurs

L'expression « il faut un village » est une vieux proverbe africain, couvrant de nombreuses cultures, dialectes et zones géographiques africains. Bien que le langage utilisé pour transmettre cette perle de sagesse puisse être différent, le sentiment est le même : il faut l'apport de l'ensemble de la communauté pour créer un environnement sûr, positif et enrichissant afin de faire des générations futures des adultes équilibrés.

Cela peut sembler un long chemin à parcourir, mais il est vrai que la communauté des développeurs a prospéré pendant des décennies grâce à ce même principe. L'idée d'un geek antisocial « loup solitaire » derrière un ordinateur ressemble à la plupart des stéréotypes : elle est exagérée et ce n'est pas la meilleure façon d'apprendre comment nous fonctionnons. Il y a des développeurs de tous types, de tous les horizons, et il y a toujours eu un sentiment d'appartenance à une communauté dans tout ce que nous faisons.

Bien avant qu'Internet ne devienne la norme, nous étions sur des babillards électroniques pour partager des conseils, résoudre les problèmes des uns et des autres et nous quereller sur les meilleures pratiques (et, certainement, de mon côté, nous travaillions d'arrache-pied pour trouver des solutions). Ce sentiment n'a pas changé. Internet est désormais une bête différente, avec plus de trolls sous les ponts et beaucoup plus de bruit, mais il suffit de passer rapidement à des endroits comme Reddit et Stack Overflow vous donnera un sentiment immédiat de volonté d'aider, de camaraderie et une mine d'informations.

Cependant, une chose que nous pourrions tous aider à soutenir, ce sont ces liens concrets avec des personnes qui vivent la même chose. Il y a une nouvelle dimension lorsque vous interagissez dans le monde réel, et animer une communauté « IRL » peut accélérer le partage des connaissances, la clarification et élargir les horizons de manière merveilleuse.

Comment la communauté des développeurs prend-elle en charge la sécurité ?

Des organisations comme GUÊPE font un travail incroyable au sein de la communauté de la sécurité, avec de nombreuses ressources gratuites sur les vulnérabilités, les actualités et les alertes critiques. Hors ligne, des sections de l'OWASP sont présentes dans des villes du monde entier et organisent régulièrement des événements permettant aux gens de se réunir, de parler de sécurité et de partager des conseils pour rendre nos logiciels plus sûrs. C'est vraiment génial, et pour moi, c'est la raison d'être de la communauté du développement.

Ces communautés, que ce soit en ligne ou en personne, contribuent à combler le déficit de compétences et de connaissances des développeurs. De nombreux développeurs expérimentés sont ravis de transmettre des informations, d'aider quelqu'un à démarrer ou de l'orienter dans la bonne direction (tout bon Jedi sait qu'il doit aider un Padawan de temps en temps).

C'est donc toujours un vrai plaisir de travailler en partenariat avec eux pour organiser des tournois de codage sécurisés, par exemple. Jusqu'à présent, nous avons soutenu des rencontres en Australie, en Angleterre, en Inde et aux États-Unis, et j'espère qu'il y en aura beaucoup d'autres à venir.

À quoi ressemble le meetup d'un tournoi OWASP ? Regardez cette vidéo d'un tournoi OWASP organisé à Londres dans les studios emblématiques de la BBC :

Ces événements contribuent certainement à la sensibilisation, et cette dynamique peut être mise à profit au sein des organisations lorsqu'elles soutiennent ces initiatives locales, introduisent une formation complète au codage sécurisé et s'engagent à opérer dans le respect d'une culture de sécurité positive.

Comment faire gamification et les tournois contribuent à renforcer la sécurité des développeurs ?

Les meetups OWASP sont conçus autour de la socialisation, du partage de connaissances et de la discussion d'idées avec un large éventail de personnes soucieuses de la sécurité. Cependant, pour ceux qui débutent dans le domaine de la sécurité (ou qui ne s'y intéressent pas encore), ces événements peuvent passer inaperçus.

Lorsque les organisations jouent un rôle actif dans la sensibilisation à la sécurité et suscitent un réel intérêt auprès de la cohorte des développeurs, cela peut avoir pour effet positif de susciter une quête permanente de connaissances en matière de sécurité, le type de connaissances dont nous avons besoin toutes les personnes plus sérieux en matière de codage sécurisé.

Les méthodes de formation classiques sont rarement une grande source de motivation (pensez à rester assis dans une salle de classe pendant que vos tâches quotidiennes s'accumulent, ou à essayer de rester éveillé en regardant des vidéos interminables), mais susciter un sentiment de compétition et de plaisir et en gamifiant le processus peut rendre l'apprentissage beaucoup moins une corvée. Les méthodes d'apprentissage ludiques rendent les connaissances techniques (et parfois sèches) beaucoup plus digestes, en les divisant en plus petits morceaux qui sont contextuels, mémorisables et encourageant l'apprentissage répété. Secure Code Warrior a été conçu sur la base de l'accessibilité, permettant aux développeurs de continuer à enrichir leurs connaissances précédentes étape par étape, de manière à laisser libre cours à leur créativité et à leur instinct général de résolution de problèmes.

Les évaluations aident tout le monde à rester sur la bonne voie et à identifier les domaines à améliorer, mais un tournoi de codage sécurisé peut servir de catalyseur pour sensibiliser l'organisation à la sécurité et apporter des changements positifs, ainsi qu'un moyen pour les participants de montrer leurs solides compétences. Après tout, lorsque vous voyez le classement d'un tournoi se mettre à jour en temps réel, vous êtes motivé pour continuer à vous battre pour obtenir plus de points et démontrer vos prouesses en matière de sécurité.

À quoi ressemble un tournoi réussi ?

L'objectif de nos rencontres avec l'OWASP est toujours d'investir dans la santé continue de la communauté de la sécurité, en l'aidant à promouvoir le concept selon lequel l'apprentissage de la sécurité peut réellement être amusant.

Les tournois de codage sécurisés sont une évidence lorsqu'il s'agit d'impliquer les développeurs, de les aider à perfectionner et à développer leurs compétences dans un environnement social avec des personnes partageant les mêmes idées. Ils contribuent à faire tomber les murs artificiels qui peuvent exister autour de la notion de « sécurité », peut-être à la suite d'une expérience peu agréable au travail ou à l'école.

Un tournoi vraiment exceptionnel comprend généralement les éléments suivants :

• Faites le tour de l'organisation en fanfare ; informez les personnes extérieures aux équipes de développement de ce qui se passe et pourquoi
• Un environnement exempt de jugement, qui soutient les développeurs à tous les niveaux
• Quelques avantages spéciaux : commandez de la nourriture et des boissons, donnez-lui un thème et encouragez l'expression de soi
• Récompenses et reconnaissance ; nous, les développeurs, adorons les cadeaux, et de superbes prix sont en prime pour les gagnants : n'oubliez pas que vos futurs champions de la sécurité seront peut-être découverts au cours de ce processus
• Un sentiment de communauté et de camaraderie.

Nous sommes en train de devenir un monde DevSecOps, et la sécurité étant enfin au cœur des préoccupations dès le début des projets de développement logiciel, les développeurs doivent être impliqués très tôt et bénéficier d'une formation efficace. Ils font partie intégrante de la protection d'une entreprise contre les vulnérabilités dès l'écriture du code, et dans une culture de sécurité florissante, tout le monde peut se reposer un peu plus facilement.