Por qué la gamificación es clave para mejorar la seguridad del software

A lo largo de mi carrera profesional en el ámbito del desarrollo de software y la seguridad, he tenido la oportunidad de conversar con numerosos profesionales, tales como gerentes de seguridad de aplicaciones, CISO, CIO y expertos en ciberseguridad, que trabajan en todo tipo de empresas a nivel mundial.

Por muy diferentes que sean las circunstancias, por mucha experiencia que tenga el equipo y por mucho tiempo que haya transcurrido en este mundo digital en constante cambio, hay un problema que nunca cambia: es muy raro que el equipo de desarrollo se implique activamente en la seguridad. La seguridad sigue siendo una palabra tabú y es motivo de conflicto entre equipos y de preocupaciones ocultas en el sector.

Sin embargo, la seguridad del software es demasiado importante para que sigamos por este camino, según nuestra forma de pensar habitual. Para que la seguridad sea una parte indispensable del trabajo de todos los desarrolladores, debemos cambiar el enfoque del debate. Creo que una de las mejores formas de hacerlo es empoderar e involucrar a los desarrolladores en la seguridad a través de la gamificación y otras herramientas similares.

El paisaje actual

Los desarrolladores se gradúan de la universidad sin apenas conocimientos prácticos sobre cómo proporcionar código seguro y se incorporan a puestos de trabajo en los que la formación en seguridad rara vez es una prioridad (y, cuando lo es, suele formar parte de los vídeos obligatorios sobre salud y seguridad, que son muy aburridos y a nadie le interesan). En muchos casos, su primera experiencia con la seguridad es a través de informes de auditorías y pruebas de errores, lo que provoca que las futuras versiones se detengan de repente yla creatividad se ve interrumpida en un instante y pasa a ser la máxima prioridad. Como se enfrentan a los responsables de los informes de seguridad, en su mente «seguridad» se ha convertido en sinónimo de «crítica». Maldita sea.

Sinceramente, es realmente lamentable que exista una percepción tan negativa sobre la seguridad del software. Al fin y al cabo, algunos de los mejores recuerdos de mi carrera profesional están relacionados con lo que aprendí sobre la seguridad del software. Al principio, cuando empecé a dedicarme al hacking, asistía a conferencias. Allí no solo ponía a prueba mis habilidades con mis compañeros (y, sinceramente, también las presumía un poco), sino que también disfrutaba mucho conociendo a personas con ideas afines que disfrutaban tanto como yo rompiendo software.

BruCon, DefCon, BlackHat... Estos eventos nos dieron a personas como yo la oportunidad de demostrar nuestras habilidades en una competición amistosa. No apruebo en absoluto la participación en este tipo de actividades antisociales, pero algunos participantes mostraban sus habilidades de piratería informática entrando en los teléfonos de otros participantes y mostrando información en la pantalla de presentación para que todos la vieran. Encontrar estos defectos, aprovecharlos y corregirlos para mejorar el software se convirtió en un juego.Hace unos años, tuve la oportunidad de dar una charla sobre ciberseguridad ante cientos de niños en Oriente Medio. Todavía recuerdo a una niña de ocho años que estaba entre los alumnos y que aprendió sobre el procesamiento de contraseñas por fuerza bruta y la codificación base64 mientras jugaba.

La gamificación también se utiliza para enseñar habilidades de programación. Instituciones educativas de todo el mundo utilizan este enfoque para enseñar programación a niños muy pequeños, incluso a estudiantes de secundaria. Hoy en día, incluso niños de cuatro años participan regularmente en iniciativas vacacionales como Code Camp, y hay muchos programas en línea excelentes que enseñan a los niños a programar en Python y otros lenguajes. También compré una herramienta estupenda llamada Cubetto, una herramienta de programación sin pantalla, para mi hija de cuatro años.

Sin embargo, a pesar de esta diversión y estos avances, existe una brecha. Nadie había pensado en la posibilidad de utilizar la gamificación para enseñar a los desarrolladores a escribir código seguro.

Bueno... casi nadie. Hace unos años, nos dimos cuenta de que era necesario volver a hacer que la seguridad fuera algo emocionante y motivar a los desarrolladores para que participaran y empezaran a jugar.

Gamificación: un método sencillo.

Tengo un gran deseo de mejorar los conocimientos de los desarrolladores en materia de seguridad y de empoderarlos, y fue precisamente esta pasión la que me llevó a desarrollar Secure Code Warrior. La seguridad del software es muy importante y también muy emocionante.

No soy el único que piensa así.

La gamificación hace que las tareas cotidianas sean mucho más divertidas y evita que la gente se aburra, lo que les anima a seguir jugando, ganar y progresar. ¡Fíjate en cómo funciona Pokémon Go! Incluso las personas más perezosas salen a la calle en busca de criaturas imaginarias, y muchos se fijan como objetivo diario alcanzar el número de pasos que marca su FitBit... Cuando no se alcanzan estos objetivos, se acaba la racha ganadora y no se consiguen las insignias, la decepción es enorme.

Volvamos al tema de la formación en seguridad. Hemos demostrado a muchos clientes que la gamificación es fundamental para transformar verdaderamente la cultura de seguridad de una organización, tender puentes entre los equipos de seguridad de aplicaciones y los equipos de desarrollo, y contribuir en general a la creación de software de alta calidad.

Por ahora, la seguridad no es una prioridad para los desarrolladores. Añadir elementos amigables, competitivos y atractivos a los métodos de entrenamiento puede aumentar la motivación para no solo «jugar», sino también para ganar más puntos, superar las puntuaciones más altas, ser más preciso y volver para desafiar a los compañeros de equipo.

Ya sabemos que, si el entrenamiento tiene éxito, sucederá lo siguiente.

• Los desarrolladores pueden trabajar con código real y lenguajes/marcos propios.
• Los temas son breves y abarcan todas las vulnerabilidades de seguridad generales.
• Los desafíos se amplían y actualizan constantemente, lo que permite a los desarrolladores dedicar tiempo a perfeccionar sus habilidades.
• La complejidad de los proyectos varía, lo que resulta atractivo tanto para desarrolladores avanzados como para aquellos con menos experiencia.
• Los desarrolladores y sus gerentes pueden comprobar el progreso, incluyendo las tareas completadas, los puntos fuertes y débiles, el tiempo dedicado a la formación y la precisión general.

Un importante cliente mostró el verdadero atractivo de la plataforma de gamificación, preparó equipamiento temático para los desarrolladores y ofreció fantásticos premios a los ganadores del juego, lo que convirtió el torneo en una experiencia realmente inolvidable. Desde entonces, han organizado competiciones internacionales y todo el equipo sigue dedicando mucho tiempo al entrenamiento.

Tu propia revolución tecnológica comienza aquí. El sector bancario australiano está liderando la adopción de la formación gamificada en la lucha contra el código defectuoso, con un enfoque verdaderamente innovador que da un giro radical a la formación tradicional (o aburrida). Echa un vistazo a lo que han hecho nuestros clientes con esta formación: el torneo del siguiente nivel. ¿Estás preparado? ¿Quieres subir de nivel con nosotros?

Debemos cambiar de tema y esforzarnos por hacer que la seguridad sea una parte indispensable del trabajo de todos los desarrolladores. Creo que una de las mejores maneras de lograrlo es empoderar e involucrar a los desarrolladores en la seguridad a través de la gamificación y otras herramientas similares.