Enfoque de despliegue de Secure Code Warrior

Bienvenido a Secure Code Warrior® y gracias por formar parte de algo increíble.

Utilizar la plataforma de formación Secure Code Warrior significa poner la seguridad al frente de todas sus soluciones de codificación. Es un gran paso hacia la construcción de habilidades relevantes y la conciencia de seguridad que puede cambiar la forma en que los equipos de desarrollo piensan acerca de lo que significa codificar de forma segura.

Cuando se trata de aprender a codificar de forma segura, leer guías y ver vídeos no es suficiente. El verdadero beneficio está en la formación práctica, que es exactamente lo que ofrece la plataforma Secure Code Warrior. Es interactiva, informativa y también divertida, lo que sin duda ayuda.

Diseñada para parecerse a un entorno de codificación real, la plataforma Secure Code Warrior utiliza un enfoque lúdico para el aprendizaje. Aumentar la puntuación en la plataforma significa aumentar las habilidades de codificación segura en la vida real.

Para algunos desarrolladores, ésta podría ser su primera oportunidad de centrarse realmente en la construcción de estas habilidades y para otros, puede ser una nueva visión de un tema que han examinado antes. Sea cual sea el caso, aplicar los conocimientos y la experiencia adquiridos en la plataforma a la vida cotidiana de la programación es un gran paso hacia la entrega de un código seguro desde el principio (y a lo largo de todo) cualquier proyecto.

A continuación, hemos detallado nuestro enfoque típico del viaje de despliegue de un programa de formación y cómo se relacionan las distintas fases del programa. En primer lugar, eche un vistazo al resumen y, a continuación, siga leyendo para ver un desglose de cada una de las fases.

Puede que no sea el mismo para todas las organizaciones, así que utilícelo como guía general para empezar. Ahora, el desglose detallado que hemos mencionado antes.

Todo viaje empieza en algún lugar. Con Secure Code Warrior, comienza con awareness. A estas alturas, ya sabe que le gustaría cambiar o implantar un programa de formación en seguridad en su organización asociándose con nosotros.

Puede que ya tenga algunas metas u objetivos empresariales, pero si acaba de empezar, considere algunos de estos:

Por lo general, para empezar a concienciar a sus grupos de desarrollo, el primer paso es organizar un torneo Secure Code Warrior para poner en marcha su programa de formación en seguridad nuevo o renovado.

Para saber más sobre torneos, consulte este artículo.

Los torneos, con su enfoque emocionante, interactivo y competitivo, ayudan a introducir la dinámica y el diseño de la plataforma. También empiezan a poner la seguridad en la mente de todos y pueden fomentar una mejor experiencia de incorporación de los usuarios a su programa de formación.

La revisión de los resultados y las métricas de un torneo permite empezar a identificar los principales puntos débiles de su comunidad de desarrollo. Estos resultados también proporcionan información increíblemente valiosa a los desarrolladores sobre sus propios puntos fuertes y débiles en materia de seguridad para que sepan exactamente en qué debe centrarse su formación.

Los torneos son también una oportunidad para empezar a identificar a los campeones de seguridad, de los que hablaremos un poco más adelante.

Para saber más sobre los campeones de seguridad, consulte este artículo.

Después de tu primer torneo, puedes considerar crear una evaluación basada en las áreas de debilidad reveladas por los resultados del torneo. Esto puede ayudar a iniciar el proceso de definición de una base mínima de habilidades.

Para saber más sobre evaluaciones, consulta este artículo.

En este punto, también recomendamos crear un curso utilizando la función Cursos de la plataforma. A través de Cursos, puede crear itinerarios de aprendizaje específicos para cada idioma:marco, diseñados para ofrecer formación basada en puntos débiles clave identificados mediante torneos, evaluaciones o incluso herramientas externas. Esto también se puede utilizar como una oportunidad de formación en el período previo a una evaluación.

Para obtener más información sobre los cursos, consulte este artículo.

El uso de los resultados de torneos y evaluaciones, junto con los encontrados con herramientas de pen-testing y análisis estático de código, le ayudará a definir su propia lista de debilidades clave que son específicas de su organización o grupo de desarrollo.

Esta información le permitirá afinar su programa de formación en seguridad junto con futuros torneos y evaluaciones para abordar y remediar las debilidades clave que afectan regularmente a su organización.

Durante esta fase, debe orientar los esfuerzos de formación para centrarse en la capacidad de identificar y solucionar las 3 debilidades clave más críticas de la lista de su organización.

Sobre la base de la fase anterior, después de definir claramente las 3 principales debilidades de su organización y crear cursos para proporcionar formación centrada en remediarlas, es el momento de establecer una línea de base de la empresa utilizando una evaluación específica.

Esta línea de base recién establecida se convierte en el estándar de habilidades de seguridad a mantener para los desarrolladores existentes y los nuevos que llegan a la organización, por lo que todos los desarrolladores deben ser capaces de pasar esta 'evaluación de línea de base '.

Nota: Es importante señalar que las evaluaciones no pretenden ser 'pruebas' en el sentido tradicional. Forman parte de las herramientas de aprendizaje de la plataforma, diseñadas para ayudar a los desarrolladores a realizar un seguimiento de su propio progreso, al tiempo que sirven a la dirección para identificar oportunidades de crecimiento y mejora de las competencias de sus equipos.

Una vez superada la evaluación inicial, los desarrolladores pueden obtener una "certificación" para reconocer sus logros. Hablando de certificación, ¡éste es nuestro próximo tema de lanzamiento!

Aunque el tema de un programa de certificación aparece un poco más tarde en el viaje de implantación, es importante empezar a considerar cómo será antes de llegar aquí.

Para obtener más información sobre los programas de certificación, consulte este artículo.

Una vez que los desarrolladores hayan superado la evaluación inicial, se les podrá certificar que han completado los requisitos estándar. Puede ser creativo con las convenciones de nomenclatura, pero nos limitaremos a utilizar " Nivel 1 " para este artículo.

La idea detrás de un programa de certificación es definir una ruta de aprendizaje repetible para los nuevos desarrolladores de su organización " Certificado de nivel 1 " o " Certificado de línea de base ". Anima a los desarrolladores a seguir utilizando la plataforma para desarrollar sus habilidades, al tiempo que les permite establecer objetivos personales sobre el nivel que les gustaría alcanzar y los pasos necesarios para lograrlo.

Tener un programa de Campeón de Seguridad es completamente opcional, pero hemos visto resultados mucho mejores en los programas de formación que los utilizan. Si pone en marcha un programa de campeones, asegúrese de que los objetivos y las expectativas están claramente definidos.

Una vez puesto en marcha, un programa de campeones debería funcionar junto con su programa general de formación en seguridad como una función añadida que contribuya a su éxito.

Para más información sobre los campeones de seguridad, consulta este artículo.

Los campeones de seguridad no tienen por qué ser los desarrolladores más veteranos ni tener las puntuaciones más altas, pero sí deben ser accesibles y entusiastas de la formación. Trabajan a ras de suelo, apoyan y animan a su comunidad de desarrolladores.

Como ya se ha dicho, en el período previo a los torneos, ya debería estar viendo algunos posibles candidatos. Piense en hacer un llamamiento a los desarrolladores interesados en ocupar el puesto. Así se asegurará de que los candidatos estén totalmente comprometidos y dispuestos a prestar su apoyo.

El número de campeones puede variar en función del tamaño y los requisitos de su organización, pero una red sólida de campeones de seguridad ayudará a promover el cambio hacia una cultura de seguridad positiva dentro de los equipos de desarrollo y llevará su programa de formación al siguiente nivel.

Volviendo a los torneos, es importante tener en cuenta que no deben considerarse como un evento de " sólo para empezar ". De hecho, recomendamos crear un programa o calendario de torneos en el que se celebren a intervalos regulares o clave que se ajusten a sus objetivos empresariales.

Para obtener recomendaciones sobre la creación de un programa de torneos, consulte este artículo .

Al igual que un programa de Campeones de Seguridad, su programa de torneos también debería funcionar junto con todos los esfuerzos de formación durante la duración de su programa general de formación en seguridad como otro impulsor del éxito.

Organizar torneos periódicamente da a más desarrolladores la oportunidad de participar. Cuando empiecen a acumular experiencia en torneos y a ganar más puntos en formación, puedes empezar a hacer que los torneos sean más difíciles. (Proporcionando menos tiempo de finalización o pistas).

Las eliminatorias de los torneos son una forma popular de crear un programa de torneos continuo, y nuestros clientes más activos encuentran un mayor compromiso de formación continua en sus equipos de desarrollo.

Nota : Para obtener información sobre la organización de eliminatorias de torneos, haga clic aquí.

Próximos pasos

Sabemos que es mucha información para asimilar, así que hemos desglosado muchos de los componentes implicados en artículos separados para ofrecer más aclaraciones. (Y no son tan largos como éste. Sobre todo...)

• Visión general del módulo Torneo
• Módulo de evaluación
• Módulo de formación
• Programa de certificación
• Programa Campeón de Seguridad