Cómo MongoDB creó un programa exitoso de security champions

Hace poco conversamos con Amy Berman, líder de operaciones estratégicas de seguridad en MongoDB, sobre el papel de los security champions en su organización. Para quienes no conocen el concepto, los security champions son desarrolladores interesados en la seguridad que pueden facilitar la colaboración entre los equipos de desarrollo y seguridad.

Sigue leyendo para conocer las perspectivas de Berman sobre cómo crear un programa exitoso de security champions en MongoDB y cómo lograron impulsar un cambio de mentalidad para adoptar la seguridad de las aplicaciones en lugar de evitarla.

Cómo reclutar security champions con un alto nivel de compromiso

Cuando MongoDB comenzó a crear su programa de security champions, la empresa tenía un objetivo clave en mente. Berman preguntó: «¿Cómo podemos influir en los desarrolladores y capacitarlos desde el principio, en lugar de esperar a que ocurra un incidente?». El equipo de operaciones estratégicas de seguridad de MongoDB sabía que el primer desafío para crear este programa sería reclutar security champions y fomentar un alto nivel de participación. Estas son algunas de las estrategias que, según Berman, funcionaron bien.

Transparencia

El equipo de Berman reconoció que el apoyo de los directivos sería fundamental para reclutar security champions en distintos departamentos. «La comunicación fue clave», dijo Berman. «Explicamos los compromisos que implicaba el programa, como las reuniones formales y otros requisitos trimestrales, y pedimos a los directivos que hablaran del programa en las reuniones generales de la empresa». Como los desarrolladores necesitan la aprobación de su gerente para participar, es fundamental que comprendan el nivel de compromiso que implica convertirse en security champion.

Exclusividad

Además de ser transparentes sobre las expectativas de un security champion, el equipo de Berman se enfocó en la exclusividad de participar en el programa. «Siempre nos aseguramos de colaborar con los security champions y de compartir las noticias primero con ellos», explicó Berman. Los security champions no solo sienten que forman parte de un grupo exclusivo, sino que también son fundamentales para obtener comentarios tempranos sobre nuevas iniciativas de seguridad y muy valiosos a la hora de explicar estas iniciativas a los equipos no técnicos. Berman agregó: «Obtienes información y ayudas a darle comentarios al equipo de seguridad antes de que implemente cambios en toda la empresa».

Incentivos

Aunque muchos programas de security champions tienen éxito con solo ofrecer obsequios, el equipo de Berman decidió enfocarse también en la libertad de elegir como incentivo clave. Quienes participaban en el programa podían elegir a qué eventos relacionados con la seguridad asistir cada trimestre. «Cuando las personas eligen los temas a los que quieren asistir, les interesan mucho más y se involucran más», explicó Berman. «Creo que poder elegir tiene mucho valor». MongoDB sí tiene un sistema de puntos para obtener recompensas por encontrar vulnerabilidades o compartir información útil sobre seguridad, pero esto es secundario frente a la idea de dar a los security champions la libertad de participar en lo que más les interesa.

Cómo crear una cultura de seguridad positiva

Según Berman, hay dos tipos de culturas de seguridad: positivas y negativas. «Buscamos crear una cultura de seguridad positiva», explicó. «Queremos ser un equipo de seguridad que sea realmente un socio». Por eso, un aspecto clave del programa de security champions de MongoDB es permitir que los desarrolladores, gerentes de producto y otras personas influyan en la estrategia de seguridad futura. Esto genera un sentido compartido de pertenencia y responsabilidad entre los desarrolladores para mejorar la postura de seguridad de sus aplicaciones.

Berman afirma que una gran ventaja de difundir la conciencia y la responsabilidad en torno a la seguridad es poder ampliar el alcance del equipo de seguridad en una organización grande y en crecimiento. «No contamos con recursos suficientes para encargarnos de todo», explicó Berman, «pero los comentarios de los security champions nos ayudan a priorizar nuestros esfuerzos». Berman también cree que el equipo de seguridad no puede depender únicamente de la tecnología, por lo que mitigar el riesgo humano mediante una cultura de seguridad positiva es fundamental para ampliar la ciberseguridad a largo plazo.

El programa de security champions de MongoDB hoy

Durante el último año, el programa de security champions de MongoDB creció hasta contar con 90 integrantes en 45 departamentos distintos y 25 ubicaciones. Para asegurar la sostenibilidad del programa y que siga impulsando la conciencia sobre la seguridad, MongoDB asignó una función específica para gestionarlo y ampliarlo en adelante.

En concreto, el programa de MongoDB se centra en la educación sobre ciberseguridad y en promoverla entre los equipos que no se dedican a la seguridad. El alcance y la profundidad de este programa de security champions en toda la empresa hacen que hoy la seguridad sea un aspecto clave en todas las áreas de la organización.

Para conocer más sobre estos programas, lee nuestro último informe técnico sobrecómo crear un programa de Security Champions. Y si quieres conocer otra historia de éxito de security champions, echa un vistazo a nuestra recientemesa redonda con Dun & Bradstreet y Shutterstock.