Por qué la gamificación es clave para mejorar el nivel de seguridad del software

Administrador de AppSec, CISO, CIO, experto en ciberseguridad, etc. A lo largo de mi carrera profesional en el campo del desarrollo y la seguridad de software, he trabajado en todo tipo de empresas de todo el mundo y he conversado con muchas personas.

Independientemente de las circunstancias, de la experiencia del equipo o del tiempo transcurrido en un mundo digital en constante cambio, siempre existe un problema común: la escasa participación positiva del equipo de desarrollo en materia de seguridad. La seguridad sigue siendo una palabra tabú, una fuente de conflicto entre equipos y un problema latente en el sector.

Sin embargo, la seguridad del software es demasiado importante como para seguir por este camino con nuestra forma de pensar habitual. Debemos cambiar el discurso y esforzarnos por hacer de la seguridad una parte indispensable del trabajo diario de todos los desarrolladores. Creo que una de las mejores formas de lograrlo es, por ejemplo, reforzar las capacidades de seguridad de los desarrolladores y fomentar su participación mediante la gamificación.

El paisaje actual

Los desarrolladores se gradúan de la universidad con muy pocos conocimientos prácticos sobre la provisión de código seguro y trabajan en profesiones en las que la formación en seguridad no es una prioridad (y cuando lo es, suele formar parte de los vídeos obligatorios sobre cumplimiento de las normas de salud y seguridad, por lo que nadie se interesa por la codificación segura).A menudo, su primer contacto con la seguridad es a través de informes de auditoría o de errores de prueba, en cuyo caso, si la versión posterior se interrumpe repentinamente, su creatividad se ve afectada en un instante. Como discuten con el responsable de los informes de seguridad, en su mente «seguridad» se convierte en sinónimo de «crítica». ¡Ay, Dios mío!

Es sinceramente lamentable que exista una percepción tan negativa sobre la seguridad del software. Al fin y al cabo, algunos de los recuerdos más memorables de mi carrera están relacionados con lo que aprendí sobre la seguridad del software. Pasé mis inicios en el mundo del hacking asistiendo a conferencias. En las conferencias no solo podía poner a prueba mis habilidades frente a mis compañeros (y, sinceramente, también podía presumir un poco), sino que también me lo pasaba muy bien conociendo a personas con ideas afines que, como yo, disfrutaban destrozando software.

BruCon, DefCon, BlackHat... Estos eventos nos brindaron a personas como yo la oportunidad de poner en práctica nuestras habilidades en competiciones amistosas. Aunque no puedo admitir que participé en actividades antisociales, algunas personas se jactaban de sus habilidades de piratería informática hackeando los teléfonos de otros asistentes y mostrando su información en la pantalla de presentación para que todos la vieran.Encontrar estos defectos para mejorar el software, es decir, aprovecharlos y corregirlos, se convirtió en un juego. Hace unos años, tuve el privilegio de enseñar ciberseguridad a cientos de niños que vivían en Oriente Medio. Todavía recuerdo a una niña de ocho años que estaba entre mis alumnos. Mientras jugaba, aprendía sobre la aplicación forzada de contraseñas y la codificación Base64.

La gamificación también se utiliza para enseñar habilidades de programación. Instituciones educativas de todo el mundo están utilizando este enfoque para enseñar programación a niños muy pequeños, incluso a estudiantes de secundaria. Ahora, los niños menores de 4 años asisten regularmente a programas festivos como los siguientes. Code Camp. Además, hay muchos programas online fantásticos que enseñan a los niños a programar en Python y otros lenguajes. Incluso compré una herramienta increíble llamada Screenless Coding para mi hija de cuatro años.

Sin embargo, a pesar de toda esta diversión y progreso, existe una brecha. Nadie había pensado en la posibilidad de utilizar la gamificación para enseñar a los desarrolladores a escribir código seguro.

Bueno... casi nadie. Hace unos años, me di cuenta de que había que volver a motivar a los desarrolladores para que participaran y se animaran a crear juegos.

Gamificación: un método sencillo.

En mi interior hay un profundo deseo de mejorar y fortalecer las capacidades de los desarrolladores con conocimientos de seguridad. Fue precisamente esta pasión la que me llevó a crear Secure Code Warrior. La seguridad del software es muy importante y puede resultar realmente interesante.

No soy el único que piensa así.

La gamificación puede hacer que incluso las tareas más cotidianas resulten más divertidas y aumentar el nivel de participación hasta el punto de que la gente quiera seguir jugando, ganando y progresando. ¡Fíjate en el método de Pokémon Go! Incluso las personas más perezosas se levantan del sofá para buscar criaturas imaginarias al aire libre, o muchas personas se fijan como objetivo diario contar los pasos que dan con FitBit... Si no se alcanza el objetivo o se rompe la racha y no se obtiene la insignia, se siente una gran decepción.

Ahora volvamos a la formación en seguridad. Muchos de nuestros clientes nos han demostrado que la gamificación es fundamental para transformar verdaderamente la cultura de seguridad de una organización, ya que no solo sirve de puente entre AppSec y el equipo de desarrollo, sino que también ayuda a crear software de mayor calidad.

Actualmente, la seguridad no es una prioridad para los desarrolladores. Al añadir elementos amigables, competitivos y atractivos a los métodos de formación, se puede motivar a los desarrolladores a no solo «jugar», sino a volver continuamente para obtener más puntos, conseguir puntuaciones más altas, mejorar la precisión y desafiar a sus compañeros de equipo.

Ya sabemos que un entrenamiento exitoso es el siguiente.

• Los desarrolladores pueden trabajar con código real y con su propio lenguaje/marco de trabajo.
• El desafío es breve y abarca todas las vulnerabilidades de seguridad comunes.
• Los desafíos se amplían y actualizan continuamente, por lo que los desarrolladores pueden seguir adquiriendo habilidades a lo largo del tiempo.
• Las tareas son atractivas tanto para desarrolladores avanzados como para desarrolladores con menos experiencia, ya que su complejidad varía.
• Los desarrolladores y administradores pueden comprobar el progreso de las tareas completadas, los puntos fuertes y débiles, el tiempo dedicado a la formación y la precisión general.

Uno de nuestros principales clientes demostró el verdadero poder de la plataforma gamificada. Proporcionó equipamiento temático a los desarrolladores, ofreció premios increíbles a los ganadores del juego y convirtió el torneo en un día memorable. Desde entonces, se han celebrado competiciones internacionales y todo el equipo sigue dedicando tiempo a entrenar con seriedad hasta el día de hoy.

Su propia revolución del software comienza aquí. El sector bancario australiano está liderando la introducción de la formación gamificada en la lucha contra el código defectuoso con un enfoque verdaderamente innovador que transforma por completo la formación tradicional (o aburrida). Vea lo que han hecho nuestros clientes. Torneo Next Level. ¿Está preparado? ¿Quiere subir de nivel con nosotros?

Debemos cambiar la conversación y esforzarnos por hacer que la seguridad sea una parte indispensable del trabajo diario de todos los desarrolladores. Creo que una de las mejores formas de lograrlo es, por ejemplo, reforzar las capacidades de seguridad de los desarrolladores y fomentar su participación a través de la gamificación.