Como Dun & Bradstreet e Shutterstock criaram programas de security champions de sucesso

No mês passado, realizamos uma mesa-redonda sobre como criar e expandir um programa de security champions de sucesso. Security champions são desenvolvedores que têm interesse em segurança e atuam na área de desenvolvimento. Eles fazem a ponte entre as equipes de desenvolvimento e segurança para colaborar e compartilhar conhecimento. Esses programas podem ser fundamentais para entregar aplicações seguras de forma consistente e no ritmo exigido pelo negócio.

Nesta sessão, Nitin Bhargava (vice-presidente e líder global de Segurança e Arquitetura de Produtos da Dun & Bradstreet) e Christian Bobadilla (diretor de Segurança de Produtos e Aplicações da Shutterstock) compartilharam os aprendizados de seus programas. Confira alguns dos destaques e principais conclusões.

Como fazer a segurança “shift left” funcionar

A Shutterstock e a Dun & Bradstreet adotaram uma abordagem shift left, seja envolvendo desenvolvedores mais cedo no processo de segurança, seja antecipando a segurança no processo de desenvolvimento. Independentemente da abordagem, o objetivo é resolver dois problemas: a grande escassez de profissionais de segurança e o fortalecimento da segurança da empresa, identificando e trabalhando com pessoas que se interessam pelo tema.

Ao lançar um programa de security champions, Bhargava destacou três aspectos que priorizou na Dun & Bradstreet:

• Alinhe as expectativas com as equipes de desenvolvimento: Deixe claro o que se espera das equipes de desenvolvimento, quanto de responsabilidade elas precisam compartilhar e qual percentual do tempo de um security champion será necessário. Depois, comunique claramente os papéis e as responsabilidades.

• Acompanhe métricas: É provável que o programa tenha começado com um mandato informal para testar a iniciativa. Mas, se você quiser expandi-la para uma parte maior da organização, precisará de métricas. Será necessário explicar à liderança qual é o valor desse programa.

• Crie uma comunidade forte: Uma comunidade pequena e unida é essencial para que as pessoas compartilhem aprendizados e se sintam parte do programa, motivadas a contribuir para o seu sucesso.

Na Shutterstock, Bobadilla adotou outra abordagem para criar o programa: manteve tudo leve e divertido, com eventos e atividades como uma vila de hacking, uma sala de fuga e uma caça ao tesouro. Essa abordagem oferece algumas vantagens:

• Conhecer e interagir: Os desenvolvedores passam a conhecer de verdade a equipe de segurança. Se precisarem conversar sobre questões de segurança ou relatar vulnerabilidades, sabem com quem falar e se sentem à vontade para isso, pois já interagiram com a equipe em um ambiente informal.

• Aprender de forma divertida: Além de se divertir, as pessoas aprendem sobre segurança na prática. Os eventos são planejados para despertar a curiosidade e, muitas vezes, os participantes procuram a equipe depois para tirar dúvidas.

• Envolver todo mundo: Esses eventos não são só para desenvolvedores. Outras equipes, como a jurídica, também são convidadas a participar e aprender. Assim, todos ajudam a criar uma cultura que reconhece a importância dos princípios de segurança.

Essa abordagem descontraída busca fazer com que as pessoas sintam que participar do programa é um privilégio, e não uma responsabilidade extra.

Fazendo a diferença

A conversa passou para os benefícios de contar com security champions nas equipes de desenvolvimento. Bhargava explicou que, sem uma pessoa dedicada, pode parecer que você está interagindo com pessoas diferentes a cada momento. Isso dificulta manter uma comunicação fluida e eficaz. Por outro lado, identificar um champion em cada equipe ajudou a Dun & Bradstreet na integração de novos membros, nas estratégias de correção e no engajamento contínuo.

O programa também ajudou a expandir as medidas de segurança por toda a organização. Bhargava afirma que, ao passar de 10 ou 20 aplicações para milhares em pouco tempo, é preciso que a rede de champions funcione como uma “extensão da equipe de segurança de aplicações”.

Bobadilla observou algo inesperado ao tentar promover uma mudança cultural na Shutterstock. As pessoas começaram a relatar problemas e e-mails de phishing por iniciativa própria, além de envolver a equipe de segurança ao trabalhar em uma nova ideia ou funcionalidade. Isso não acontecia antes, e essa mudança mostrou como a cultura de conscientização sobre segurança havia evoluído.

Dicas para novos programas de security champions

Dun & Bradstreet e Shutterstock compartilharam dicas úteis para iniciar um programa de security champions na sua organização.

“Comece aos poucos e identifique pelo menos alguns parceiros ou pessoas da comunidade de desenvolvimento que realmente se interessem por segurança”, diz Bhargava.

Ele acrescenta: “Defina exatamente o que você quer que essas pessoas realizem e quanto tempo isso vai tomar do trabalho normal de desenvolvimento. A partir daí, você pode formalizar o programa.”

“Desde o primeiro dia, buscamos apresentar a equipe de segurança às pessoas com uma orientação sobre segurança”, diz Bobadilla.

“Não limite os eventos de segurança aos desenvolvedores. Se você deixar a participação aberta a qualquer pessoa da empresa, verá que pessoas de diferentes equipes se importam com segurança, e a participação delas vai contribuir para melhorar a empresa”, acrescenta.

Responsabilidade coletiva pela segurança

Para encerrar, outros participantes da mesa-redonda compartilharam suas experiências com programas de security champions. Houve consenso de que esses programas mudam a percepção e fazem com que a segurança seja valorizada, em vez de evitada. Eles também ajudam os desenvolvedores a assumir a responsabilidade pela parte que lhes cabe no desenvolvimento seguro, tornando as equipes de desenvolvimento autossuficientes a longo prazo. No fim das contas, o objetivo é tornar a segurança uma competência essencial para desenvolvedores, assim como qualidade e desempenho.

Para saber mais sobre programas de security champions, confira nosso novo white paper: Como criar um programa de Security Champions.