Enable 1: Criterios de éxito predefinidos y medibles

Comenzamos a profundizar en los 10 factores que conducen al éxito. El primer paso básico es el habilitador 1: criterios de éxito definidos y medibles. Si el programa de codificación segura es como un viaje, el primer paso, y el más importante, es saber exactamente hacia dónde se dirige. Esta es la esencia del primer habilitador.

Vincular los criterios de éxito a los resultados empresariales.

Para crear un programa de codificación segura exitoso, se necesitan objetivos claros que estén estrechamente relacionados con los resultados empresariales. El habilitador 1 responde a la pregunta fundamental: «¿Cuáles son los problemas y retos que se pretenden resolver con el programa de codificación segura, expresados en términos muy concretos y medibles?».

Probablemente su organización esté buscando cumplir con los requisitos de cumplimiento normativoo evitar violaciones de seguridad y ciberataques. O tal vez esté buscando empezar desde cero como organización, reducir los costes y el tiempo que conlleva la reelaboración, y formar a los desarrolladores para que puedan programar de forma segura desde el principio.

Independientemente de la motivación, la situación actual de la organización o la plataforma de formación en seguridad elegida, el éxito a largo plazo del programa depende en gran medida de que se establezcan objetivos claros vinculados a los objetivos empresariales, con el fin de garantizar su aceptación y su éxito duradero.

Tenga en cuenta a las partes interesadas clave de su programa a la hora de determinar los criterios de éxito. Conocer a sus patrocinadores ejecutivos y sus objetivos empresariales le ayudará a impulsar una adopción más amplia en todos los departamentos.

Hacer que el éxito sea concreto y medible.

Estos objetivos, por su naturaleza, deben ser específicos de la organización. No obstante, revise los siguientes objetivos empresariales típicos y considere cómo pueden generar nuevas ideas.

Reducción de riesgos: Mitigar los riesgos de los desarrolladores y reducir las vulnerabilidades introducidas por fallos de codificación. Esto incluye la identificación de riesgos y la reducción de la superficie de ataque de las aplicaciones.

Los programas suelen centrarse en métricas como la densidad de vulnerabilidades o la reducción y prevención de la tasa de inyección de vulnerabilidades.

Velocidad operativa: Maximiza la velocidad de entrega de productos, reduce la frustración y el desgaste de los desarrolladores y disminuye la cantidad de tiempo dedicado a la reelaboración. La formación en código seguro actúa como un incentivo significativo para los desarrolladores, ya que les ayuda a evitar la reelaboración, que requiere mucho tiempo, del código defectuoso identificado más adelante en el ciclo de vida del desarrollo de software.

Los programas suelen tener como objetivo reducir el tiempo medio de reparación (MTTR) de las vulnerabilidades por parte de los desarrolladores.

Cumplimiento normativo: Logre el cumplimiento externo, como la adhesión a normas como PCI-DSS (que exige la formación de todos los desarrolladores que trabajan en sistemas de pago).

Talento y confianza: Aumenta el compromiso y la concienciación sobre la seguridad y las vulnerabilidades dentro de la organización de desarrolladores, al tiempo que mantienes y fomentas la confianza de los clientes. Para algunas empresas, los desarrolladores con conocimientos de seguridad ayudan a establecer una diferenciación en el mercado.

Los programas suelen establecer requisitos mínimos de habilidades para los desarrolladores o incluso crean programas especializados de campeones de seguridad.

Documentación del éxito en el plan de éxito conjunto

Una vez definidos los criterios de rendimiento, el siguiente paso es documentarlos en un plan de éxito conjunto. Este plan es un documento compartido entre las principales partes interesadas del programa y los distintos departamentos, que incluye apoyo externo, como la plataforma de formación CSM.

El plan de éxito incluye lo siguiente:

1. Valor impulsor: Estos incluyen objetivos empresariales generales relacionados con la mejora de la seguridad del código y la respuesta a la «razón» del programa.
2. Estado actual: Esto establece «¿Dónde nos encontramos ahora?» (por ejemplo, habilidades actuales de codificación segura y programas de formación existentes).
3. Estado futuro (deseable): A continuación, registre «¿Dónde queremos llegar?». Y aclare cómo se puede cubrir la brecha en las habilidades de codificación segura.
4. KPI / Indicadores clave de rendimiento: Estos son indicadores que muestran el éxito y demuestran que, a medida que avanza el programa, la brecha entre la situación actual y la futura se está reduciendo.

Recomendamos comenzar con uno o dos indicadores específicos y ampliarlos más adelante según sea necesario.Estos KPI/medidas deben seguir los principios S.M.A.R.T. (específicos, medibles, alcanzables, relevantes y con plazos definidos). Deben ser fáciles de seguir y no permitir interpretaciones vagas. Para poner en práctica el plan, es necesario que haya responsabilidad en todos los aspectos y que se revisen el valor y el retorno de la inversión con el líder de forma periódica y con una frecuencia acordada.

Al definir y medir explícitamente estos criterios, el programa de codificación segura pasa de ser un simple centro de costes a convertirse en un motor verificable de resultados empresariales importantes. Este es el primer paso necesario para madurar el programa.

A continuación, explicaremos en detalle. Enabler 2: Liderazgo sénior y patrocinio . Discutiremos el papel fundamental que desempeña el liderazgo en el éxito de la implementación del programa de codificación segura.

¿Tiene alguna otra pregunta?Los clientes pueden ponerse en contacto con el equipo de cuentas o escribir a support@securecodewarrior.com. Los clientes potenciales pueden ponerse en contacto con nosotros para hablar con un miembro del equipo de ventas aquí.