¿Por qué la gamificación es la clave para mejorar la seguridad de su software?

Responsables de la seguridad de las aplicaciones, RSSI, DSI, expertos en ciberseguridad... He hablado con muchos de ellos, que trabajan en todo tipo de empresas de todo el mundo, a lo largo de mi propia carrera en el desarrollo de software y la seguridad.

Sea cual sea su situación, la experiencia de su equipo o el tiempo que pase en este mundo digital en constante evolución, hay un problema que sigue siendo el mismo: rara vez son capaces de involucrar positivamente a su equipo de desarrollo en materia de seguridad. La seguridad sigue siendo la palabra tabú, la fuente de conflictos entre los equipos y la verdadera dificultad del sector.

Sin embargo, la seguridad del software es simplemente demasiado importante como para que nuestra mentalidad general siga por este camino. Debemos esforzarnos por cambiar la situación, por hacer de la seguridad una parte integral de la vida profesional de cada desarrollador. Y creo que una de las mejores formas de lograrlo es responsabilizar a los desarrolladores e implicarlos en materia de seguridad mediante, por ejemplo, la gamificación.

El panorama actual

Los desarrolladores salen de la universidad con muy pocos conocimientos prácticos sobre cómo proporcionar código seguro. Ocupan puestos de trabajo en los que la formación en seguridad rara vez es una prioridad (y, cuando lo es, suele formar parte de los vídeos obligatorios sobre cumplimiento de las normas de salud y seguridad, que son tan aburridos que a nadie le importa la codificación segura). Muy a menudo, su primera experiencia en materia de seguridad es un informe de auditoría o de prueba de errores que interrumpe repentinamente una futura versión, lo que perturba instantáneamente su mente creativa. Se encuentran en desacuerdo con los responsables de los informes de seguridad, por lo que «seguridad» se convierte en sinónimo de «crítica» en su mente. Puaj.

Es realmente lamentable que esta percepción negativa de la seguridad del software esté tan extendida. Después de todo, algunos de los mejores recuerdos que guardo de mi carrera están relacionados con el aprendizaje de la seguridad del software. Pasé mis primeros días en el mundo de la piratería informática asistiendo a conferencias, donde no solo podía poner a prueba mis habilidades (y, para ser sincero, presumir un poco) frente a mis compañeros, sino también divertirme mucho conociendo a personas con ideas afines a las mías a las que les gustaba tanto como a mí descifrar software.

BruCon, DefCon, BlackHat... estos eventos han permitido a personas como yo utilizar sus habilidades en competiciones amistosas. Nunca admitiría haber participado en actividades antisociales de este tipo, pero algunos incluso demostraban sus habilidades en materia de piratería informática introduciéndose en los teléfonos de otros participantes y mostrando su información en pantallas de presentación a la vista de todos. Se ha convertido en un juego encontrar estas vulnerabilidades, explotarlas y corregirlas para mejorar el software. Hace unos años, tuve el privilegio de conocer a cientos de niños de Oriente Medio para enseñarles ciberseguridad. Todavía recuerdo a una niña de ocho años entre mis alumnos, que aprendía el fuerza bruta de contraseñas y la codificación base64 mientras jugaba.

La gamificación también se utiliza para enseñar técnicas de programación. Centros educativos de todo el mundo utilizan este enfoque para enseñar programación a niños muy pequeños, incluso hasta la edad de secundaria. Niños de apenas cuatro años participan ahora regularmente en iniciativas vacacionales como Code Camp, y existen numerosos programas online fantásticos que enseñan a los niños a programar en Python y otros lenguajes. Incluso compré la increíble herramienta de programación sin pantalla Cubetto para mi hija de cuatro años.

Sin embargo, a pesar de todo este placer y estos avances, hay una diferencia. Nadie ha pensado en la posibilidad de aprovechar la gamificación para formar a los desarrolladores en la escritura de código seguro.

Bueno... casi nadie. Hace unos años, me di cuenta de que teníamos que volver a inspirar a la seguridad y motivar realmente a los desarrolladores para que se implicaran y empezaran a jugar.

Gamificación: la solución más sencilla.

Estoy profundamente comprometido con ayudar a los desarrolladores a adquirir conocimientos sobre seguridad, y es esta pasión la que me llevó a crear Secure Code Warrior. La seguridad del software es muy importante y puede ser realmente apasionante.

No soy el único que piensa así.

La gamificación puede hacer que las tareas más triviales sean aún más divertidas y permite a los jugadores mantenerse lo suficientemente motivados como para seguir jugando, ganando y progresando. ¡Basta con ver cómo se juega a Pokémon Go! Ha conseguido que hasta la persona más perezosa se levante del sofá, salga a buscar criaturas imaginarias o descubra cómo FitBit se fija como objetivo diario alcanzar un número de pasos... Si no se alcanzan estos objetivos, si se interrumpen las series y no se ganan las insignias, se produce una verdadera sensación de decepción.

Volvamos a la formación en materia de seguridad. Hemos demostrado a muchos clientes que la gamificación es esencial para transformar realmente la cultura de seguridad de sus organizaciones, estableciendo vínculos entre los equipos de AppSec y los equipos de desarrollo, y ayudándoles en general a crear software que cumpla con estándares más elevados.

En la actualidad, la seguridad no es la prioridad de los desarrolladores. Al añadir un elemento amigable, competitivo y atractivo a sus métodos de entrenamiento, no solo los motiva a «jugar», sino también a volver para ganar más puntos, superar las mejores puntuaciones, ser más precisos y desafiar a los demás miembros del equipo.

Ya sabemos que una formación exitosa se parece a esto:

• Los desarrolladores son capaces de trabajar con código real y en sus propios lenguajes/marcos de trabajo.
• Los desafíos son cortos y cubren todas las fallas de seguridad comunes.
• Los desafíos se amplían y actualizan constantemente para que los desarrolladores puedan seguir desarrollando sus habilidades a lo largo del tiempo.
• Los retos varían en complejidad, por lo que resultan interesantes tanto para desarrolladores experimentados como para desarrolladores con menos experiencia.
• Los desarrolladores y sus responsables pueden visualizar los progresos realizados, en particular los retos que han superado, sus puntos fuertes y débiles, el tiempo dedicado a la formación y su precisión general.

Uno de nuestros mayores clientes demostró la verdadera magia de una plataforma gamificada durante su implementación, ofreciendo a sus desarrolladores material temático para equipos, otorgando premios increíbles a los ganadores de los juegos y convirtiendo su torneo en un día inolvidable. Desde entonces, organizan competiciones internacionales y todo su equipo sigue entrenando seriamente hasta el día de hoy.

Tu propia revolución tecnológica comienza aquí. El sector bancario australiano está a la vanguardia al adoptar la formación gamificada para combatir los códigos incorrectos, como parte de un enfoque verdaderamente innovador que revoluciona la formación tradicional (o aburrida). Solo hay que ver lo que nuestro cliente ha hecho con su torneo de alto nivel. ¿Estás listo para mejorar tu equipo con nosotros?

Debemos esforzarnos por cambiar la situación, por hacer de la seguridad una parte integral de la vida profesional de cada desarrollador. Y creo que una de las mejores formas de lograrlo es responsabilizar a los desarrolladores e implicarlos en materia de seguridad mediante, por ejemplo, la gamificación.