Comment MongoDB a mis en place un programme de Security Champions efficace

Nous avons récemment échangé avec Amy Berman, responsable des opérations stratégiques de sécurité chez MongoDB, au sujet du rôle des Security Champions dans son organisation. Pour ceux qui découvrent le concept, les Security Champions sont des développeurs qui s’intéressent à la sécurité et facilitent la collaboration entre les équipes de développement et de sécurité.

Découvrez les conseils de Berman pour mettre en place un programme de Security Champions efficace chez MongoDB et encourager un changement d’état d’esprit afin d’adopter la sécurité applicative plutôt que de l’éviter.

Recruter des Security Champions très impliqués

Lorsque MongoDB a commencé à mettre en place son programme de Security Champions, l’entreprise avait un objectif précis en tête. Berman s’est demandé : « Comment sensibiliser les développeurs et les former dès le départ, plutôt qu’après un incident ? » L’équipe des opérations stratégiques de sécurité de MongoDB savait que le premier défi serait de recruter des Security Champions et de favoriser leur engagement dans le programme. Voici quelques pistes qui, selon Berman, ont bien fonctionné.

La transparence

L’équipe de Berman savait que l’adhésion de la direction serait essentielle pour recruter des Security Champions dans les différents services. « La communication était primordiale, explique Berman. Nous avons donc précisé les engagements nécessaires, comme les réunions formelles et les autres obligations au cours du trimestre, et demandé aux dirigeants de présenter le programme lors des réunions générales de l’entreprise. » Comme les développeurs doivent obtenir l’accord de leur responsable pour participer, il est essentiel de bien comprendre le niveau d’engagement requis pour devenir Security Champion.

L’exclusivité

En plus de clarifier les attentes liées au rôle de Security Champion, l’équipe de Berman a mis l’accent sur le caractère exclusif de la participation au programme. « Nous veillons toujours à travailler avec les Security Champions et à leur communiquer les nouvelles en avant-première », explique Berman. Les Security Champions ont ainsi le sentiment d’appartenir à un groupe privilégié, mais ils jouent aussi un rôle essentiel en donnant leur avis en amont sur les nouvelles initiatives de sécurité et en aidant à les expliquer aux équipes non techniques. Berman ajoute : « Vous obtenez des informations précieuses et aidez l’équipe de sécurité à recueillir des commentaires avant de déployer ces initiatives dans toute l’entreprise. »

Les avantages

De nombreux programmes de Security Champions fonctionnent en offrant simplement des cadeaux. L’équipe de Berman a également choisi de faire de la liberté de choix un avantage clé. Les participants pouvaient choisir les événements liés à la sécurité auxquels ils souhaitaient assister chaque trimestre. « Quand les gens choisissent les sujets qui les intéressent, ils s’impliquent beaucoup plus, explique Berman. Le choix a donc un vrai pouvoir. » MongoDB a mis en place un système de points permettant de gagner des récompenses en signalant des vulnérabilités ou en partageant des conseils utiles sur la sécurité. Mais cet aspect reste secondaire par rapport à la possibilité donnée aux Security Champions de participer aux activités qui les intéressent le plus.

Créer une culture de sécurité positive

Selon Berman, il existe deux types de cultures de sécurité : positive et négative. « Nous essayons de créer une culture de sécurité positive, explique-t-elle. Nous voulons être une équipe de sécurité qui est véritablement un partenaire. » C’est pourquoi le programme de Security Champions de MongoDB permet aux développeurs, aux chefs de produit et à d’autres personnes d’influencer les orientations futures en matière de sécurité. Les développeurs partagent ainsi la responsabilité de l’amélioration de la posture de sécurité de leurs applications.

Selon Berman, un grand avantage de la sensibilisation et du partage des responsabilités en matière de sécurité est de pouvoir étendre la portée de l’équipe de sécurité au sein d’une organisation vaste et en pleine croissance. « Nous n’avons pas assez de ressources pour tout gérer, explique-t-elle, mais les retours des Security Champions nous aident à hiérarchiser nos efforts. » Berman estime également que l’équipe de sécurité ne peut pas compter uniquement sur la technologie. Réduire les risques liés au facteur humain grâce à une culture de sécurité positive est essentiel pour développer durablement la cybersécurité.

Le programme de Security Champions de MongoDB aujourd’hui

Au cours de l’année écoulée, le programme de Security Champions de MongoDB est passé à 90 membres répartis dans 45 services et 25 sites. Pour assurer sa pérennité et continuer à promouvoir la sensibilisation à la sécurité, MongoDB a créé un poste dédié à la gestion et au développement du programme.

Plus précisément, le programme de MongoDB met l’accent sur la formation à la cybersécurité et la sensibilisation des équipes qui ne travaillent pas dans la sécurité. Par son ampleur et sa portée à l’échelle de l’entreprise, ce programme fait désormais de la sécurité une préoccupation majeure dans tous les services.

Pour en savoir plus sur ces programmes, consultez notre dernier livre blanc surla création d’un programme de Security Champions. Et pour découvrir une autre belle réussite de Security Champions, consultez notre récentéchange avec Dun & Bradstreet et Shutterstock.