Factor impulsor 1: Criterios de éxito claros y medibles

Comenzamos a profundizar en los 10 factores impulsores del éxito. El paso básico es el factor impulsor 1: criterios de éxito claros y medibles. Si el programa de codificación segura es un viaje, el primer paso, y también el más importante, es saber exactamente adónde se quiere llegar. Esta es la esencia del primer medio habilitador.

Relacionar los criterios de éxito con los resultados operativos.

Para crear un programa de codificación segura exitoso, es necesario establecer objetivos claros que estén estrechamente relacionados con los resultados empresariales. El facilitador 1 responde a la pregunta fundamental: «En términos muy concretos y medibles, ¿cuáles son los problemas o puntos débiles que intentamos resolver con el programa de codificación segura?».

Quizás su organización quiera cumplir con los requisitos de conformidad o evitar vulnerabilidades de seguridad y ataques cibernéticos. O tal vez esté buscando empezar desde cero como organización y reducir el coste y el tiempo de reelaboración formando a los desarrolladores para que programen de forma segura desde el principio.

Independientemente de cuáles sean tus motivos, la situación actual de tu organización o incluso la plataforma de formación en seguridad que elijas, el éxito a largo plazo de tu plan dependerá en gran medida de que los objetivos estén claramente vinculados a los objetivos empresariales, con el fin de obtener apoyo y garantizar un éxito continuado.

Tenga en cuenta a las partes interesadas clave de su programa a la hora de determinar los criterios de éxito. Conocer a sus patrocinadores ejecutivos y sus objetivos empresariales le ayudará a impulsar una adopción más amplia en todos los departamentos.

Hacer que el éxito sea realmente medible.

Por su propia naturaleza, estos objetivos deben ser específicos de su organización. Es decir, revise estos objetivos empresariales típicos y considere cómo pueden inspirarle nuevas ideas:

Reducción de riesgos: Mitigar los riesgos de los desarrolladores y reducir las vulnerabilidades introducidas por fallos de codificación. Esto incluye la identificación de riesgos y la reducción de la superficie de ataque de las aplicaciones.

Los programas suelen centrarse en métricas como la densidad de vulnerabilidades o la reducción y prevención de la tasa de inyección de vulnerabilidades.

Velocidad operativa: Maximiza la velocidad de entrega de productos, reduce la frustración y el desgaste de los desarrolladores y disminuye la cantidad de tiempo dedicado a la reelaboración. La formación en código seguro actúa como un incentivo significativo para los desarrolladores, ya que les ayuda a evitar la reelaboración, que requiere mucho tiempo, del código defectuoso identificado más adelante en el ciclo de vida del desarrollo de software.

Los programas suelen tener como objetivo reducir el tiempo medio de reparación (MTTR) de las vulnerabilidades por parte de los desarrolladores.

Cumplimiento normativo: Logre el cumplimiento externo, como la adhesión a normas como PCI-DSS (que exige la formación de todos los desarrolladores que trabajan en sistemas de pago).

Talento y confianza: Aumenta el compromiso y la concienciación sobre la seguridad y las vulnerabilidades dentro de la organización de desarrolladores, al tiempo que mantienes y fomentas la confianza de los clientes. Para algunas empresas, los desarrolladores con conocimientos de seguridad ayudan a establecer una diferenciación en el mercado.

Los programas suelen establecer requisitos mínimos de habilidades para los desarrolladores o incluso crean programas especializados de campeones de seguridad.

Registrar el éxito en el plan de éxito conjunto.

Una vez definidoslos criterios de éxito, el siguiente paso es registrarlos en el plan de éxito conjunto. Este plan es un proyecto compartido interfuncional que se comparte con todas las partes interesadas clave de su plan, incluyendo el apoyo externo, como su plataforma de formación CSM.

El plan de éxito incluye:

1. Factores impulsores del valor: incluyen objetivos empresariales avanzados relacionados con la mejora de la seguridad del código y la respuesta a la pregunta «por qué» del programa.
2. Estado actual: Esto establece «¿Dónde estamos ahora?» (por ejemplo, las habilidades actuales en materia de codificación de seguridad o los planes de formación existentes).
3. Estado futuro (esperado): A continuación, debes registrar «¿A dónde queremos llegar?» y determinar cómo salvar la brecha en las habilidades de codificación segura.
4. Indicadores clave de rendimiento/indicadores de medición: estos indicadores muestran el éxito y revelan que, con la puesta en marcha del programa, la brecha entre el estado actual y el futuro se está reduciendo.

Recomendamos comenzar con uno o dos indicadores específicos y ampliarlos más adelante si es necesario. Estos indicadores clave de rendimiento/medidas deben cumplir con el principio S.M.A.R.T. (específicos, medibles, alcanzables, relevantes y con plazos definidos). Deben ser fáciles de seguir y no deben interpretarse de forma arbitraria. Para poner en práctica el plan, todas las partes deben asumir sus responsabilidades y revisar periódicamente el valor y el retorno de la inversión junto con la dirección.

Al definir y medir claramente estos criterios, su programa de seguridad pasará de ser un simple centro de costes a convertirse en un factor verificable que impulsa los resultados clave del negocio, lo cual es un primer paso necesario para alcanzar la madurez del programa.

A continuación, analizaremos en profundidad el segundo factor impulsor: el patrocinio de los altos cargos, y debatiremos el papel fundamental que desempeña el liderazgo en el éxito de la puesta en marcha de programas de planificación de la seguridad.

¿Alguna otra pregunta?Los clientes pueden ponerse en contacto con el equipo de atención al cliente o escribir a support@securecodewarrior.com. Los clientes potenciales pueden ponerse en contacto con nosotros para hablar con un miembro de nuestro equipo de ventas aquí.