¿Por qué la gamificación es clave para mejorar la seguridad del software?

En mi propia carrera profesional en el ámbito del desarrollo de software y la seguridad, he hablado con muchos de ellos: gerentes de AppSec, directores de seguridad de la información, directores de información y expertos en ciberseguridad que trabajan en diversas empresas de todo el mundo.

En este mundo digital en constante cambio, independientemente de lo diferentes que sean sus situaciones, de la experiencia que tengan los equipos o del tiempo que lleven trabajando, hay una cuestión que siempre permanece igual: rara vez pueden participar activamente en el equipo de desarrollo en lo que respecta a la seguridad. La seguridad sigue siendo una palabra malsonante, una fuente de conflicto entre equipos y un auténtico dolor de cabeza para el sector.

Sin embargo, la seguridad del software es demasiado importante para nuestra forma de pensar general como para seguir por este camino. Debemos esforzarnos por cambiar la forma en que dialogamos, para que la seguridad se convierta en una parte indispensable del trabajo y la vida de cada desarrollador. Creo que una de las mejores formas de lograrlo es empoderar a los desarrolladores en materia de seguridad e interactuar con ellos a través de la gamificación, entre otras cosas.

La situación actual

Los desarrolladores salen de la universidad sin apenas conocimientos prácticos sobre código seguro, y los puestos de trabajo que ocupan rara vez dan prioridad a la formación en seguridad (si es que lo hacen, suele ser parte de vídeos obligatorios sobre salud y seguridad, tan aburridos que nadie se preocupa por la codificación segura).Por lo general, su primera experiencia con la seguridad es una auditoría o un informe de errores de prueba que interrumpe repentinamente un futuro lanzamiento y se convierte inmediatamente en la prioridad principal de su pensamiento creativo. Se encuentran discutiendo con las personas responsables de los informes de seguridad, por lo que, en su mente, «seguridad» se convierte en sinónimo de «crítica». Jajaja.

Sinceramente, es una pena que esta visión negativa de la seguridad del software esté tan extendida. Al fin y al cabo, los mejores recuerdos de mi carrera profesional están relacionados con el aprendizaje de la seguridad del software. Mis primeros años como hacker los pasé asistiendo a conferencias, donde no solo podía poner a prueba mis habilidades con otros compañeros (y, sinceramente, presumir un poco), sino también conocer a personas con ideas afines a las mías a las que les gustaba destrozar software y con las que me lo pasaba muy bien.

BruCon, DefCon, BlackHat... Estos eventos ofrecen a personas como yo la oportunidad de demostrar nuestras habilidades en un entorno amistoso. Aunque nunca he admitido haber participado en actividades antisociales de este tipo, hay quienes incluso hackean los teléfonos móviles de otros asistentes y muestran su información en la pantalla de presentación para que todos la vean, con el fin de demostrar sus habilidades como hackers. Se ha convertido en un juego que descubre estos defectos, los aprovecha y los corrige para mejorar el software.Hace unos años, tuve la oportunidad de conocer a cientos de niños de Oriente Medio y enseñarles sobre ciberseguridad. Todavía recuerdo a una niña de ocho años entre mis alumnos que estaba aprendiendo sobre ataques de fuerza bruta y codificación base64 mientras jugaba.

La gamificación también se utiliza para enseñar habilidades de programación. Instituciones educativas de todo el mundo están utilizando este método para enseñar programación a niños pequeños, incluso hasta la edad de secundaria. Ahora, niños de tan solo cuatro años suelen participar en eventos festivos, como CodeCamp, y haymuchos programas en línea excelentes que enseñan a los niños a programar con Python y otros lenguajes. Incluso compré la maravillosa herramienta de programación sin pantalla, Cubetto, para regalársela ami hija de cuatro años.

Sin embargo, a pesar de toda esta diversión y estos avances, sigue habiendo una brecha. Nadie ha pensado en la posibilidad de utilizar la gamificación para formar a los desarrolladores en la escritura de código seguro.

Bueno... casi nadie. Hace unos años, me di cuenta de que necesitábamos volver a inspirar la seguridad, motivar realmente a los desarrolladores para que participaran y comenzaran a jugar.

Juego: una forma sencilla de avanzar.

En lo más profundo de mi corazón, siento la motivación de mejorar y reforzar los conocimientos de los desarrolladores en materia de seguridad, y es precisamente esta pasión la que me ha llevado a crear Secure Code Warrior. La seguridad del software es muy importante y realmente apasionante.

No estoy solo.

La gamificación puede hacer que incluso las tareas más mundanas resulten más interesantes y mantener a las personas lo suficientemente involucradas como para que quieran seguir jugando, ganando y progresando. ¡Basta con ver el camino recorrido por Pokémon! Incluso consigue que las personas más perezosas se levanten del sofá y salgan al aire libre en busca de criaturas ficticias, o que FitBit convierta el número de pasos en el objetivo diario de muchas personas... Si no se alcanzan estos objetivos, si se rompe la racha de victorias o no se consigue la insignia, se produce una sensación de decepción muy real.

Por lo tanto, volvamos a la formación en seguridad. Hemos demostrado a muchos clientes que la gamificación es clave para cambiar realmente la cultura de seguridad en sus organizaciones, tender puentes entre los equipos de AppSec y desarrollo, y, en general, ayudarles a crear software de mayor calidad.

En la actualidad, la seguridad no es la prioridad principal de los desarrolladores. Al añadir elementos amigables, competitivos y atractivos a los métodos de entrenamiento, los motivas no solo a «jugar», sino también a volver para ganar más puntos, superar las puntuaciones más altas, ser más precisos y desafiar a sus compañeros de equipo.

Ya sabemos que una formación exitosa es así:

• Los desarrolladores pueden trabajar con código real y sus propios lenguajes/marcos.
• El desafío es breve y abarca todas las vulnerabilidades de seguridad comunes.
• Los desafíos se amplían y actualizan constantemente, por lo que los desarrolladores pueden seguir perfeccionando sus habilidades con el paso del tiempo.
• El nivel de complejidad de los desafíos varía, por lo que tanto los desarrolladores experimentados como los menos experimentados pueden participar.
• Los desarrolladores y sus gerentes pueden ver el progreso, incluyendo los retos que han completado, sus fortalezas y debilidades, el tiempo dedicado a la formación y su precisión general.

Uno de nuestros principales clientes demostró el verdadero poder de la gamificación al lanzar su plataforma, proporcionando equipamiento temático a los desarrolladores y premios increíbles a los ganadores de los juegos, lo que convirtió sus torneos en días verdaderamente memorables. Desde entonces, han organizado competiciones internacionales y, a día de hoy, todo su equipo sigue sometiéndose a un riguroso entrenamiento.

Tu propia revolución tecnológica comienza aquí. El sector bancario australiano está a la vanguardia en la adopción de la gamificación para combatir el código defectuoso, utilizando un enfoque verdaderamente innovador que puede revolucionar la formación tradicional (o aburrida). Echa un vistazo a lo que nuestros clientes han hecho con ellos en el torneo de nivel superior. ¿Estás listo para subir de nivel a tu equipo con nosotros?

Debemos esforzarnos por cambiar la forma en que dialogamos, para que la seguridad se convierta en una parte indispensable del trabajo y la vida de cada desarrollador. Creo que una de las mejores formas de lograrlo es empoderar a los desarrolladores en materia de seguridad e interactuar con ellos a través de la gamificación, entre otras cosas.