A gamificação pode unir desenvolvimento e segurança?

Apesar de anos de esforços para incentivar uma abordagem DevSecOps, as equipes de desenvolvimento e segurança tendem a continuar divididas. Por exemplo, de acordo com uma pesquisa de 2020, 65% dos profissionais de segurança disseram que suas empresas conseguiram adotar a segurança desde o início do desenvolvimento. Ótimo, certo? Mas a mesma pesquisa também mostra que quase um terço das pessoas acredita que a equipe de segurança é a principal responsável pela segurança — mesmo com essa mudança para a esquerda.

A persistência desses silos mostra que superar a divisão entre as equipes de desenvolvimento e segurança não será simples. Para alcançar todo o potencial do DevSecOps, será preciso criatividade — e até mesmo diversão. A gamificação — o uso de mecânicas de jogos em contextos que não são jogos — pode ser uma forma importante de incentivar as equipes a trabalhar juntas por um objetivo comum.

A gamificação da segurança para desenvolvedores também é um tema recorrente no podcast The Secure Developer. Neste artigo, vamos conhecer algumas maneiras como convidados especialistas do The Secure Developer gamificaram a segurança.

Transforme a segurança em um jogo e veja sua empresa vencer

O capture a bandeira (CTF, na sigla em inglês) é um jogo conhecido por quase todo mundo, praticado em pátios escolares por todo o país. Com um pouco de criatividade, diz o cofundador da Snyk, Danny Grander, no episódio 6 do podcast The Secure Developer, o CTF pode ser adaptado para incentivar desenvolvedores e engenheiros de segurança a exercitar a criatividade e a colaboração.

No CTF de segurança, indivíduos ou equipes competem entre si em uma disputa de hacking. As equipes enfrentam vários desafios de segurança, incluindo criptografia, esteganografia e engenharia reversa.

Há duas modalidades de CTF: jeopardy e ataque e defesa.

• Na modalidade jeopardy, há dezenas de desafios independentes. Vence a equipe que resolver mais desafios até o fim da competição.

• Na modalidade ataque e defesa, cada equipe precisa proteger um conjunto de sistemas e serviços e, ao mesmo tempo, atacar a outra equipe. “É muito mais dinâmico”, diz Grander, “e representa melhor a realidade.”

A bandeira geralmente é uma sequência de caracteres ou um hash. As equipes precisam criar um exploit e atacar os sistemas da outra equipe para capturá-la e enviar a bandeira a um site para ganhar pontos. “É parecido com o jogo ao ar livre”, diz Grander, “em que cada equipe tem uma bandeira em seu sistema e deve atacar as outras para capturar a bandeira, comprometendo os sistemas delas.”

Desenvolvedores e engenheiros de segurança precisam trabalhar bem juntos. Para vencer, não basta proteger sua bandeira e roubar a da outra equipe — também é preciso manter níveis adequados de desempenho. Grander explica que, se seus serviços ficarem indisponíveis e você editar regras de firewall para impedir a comunicação com eles, sua equipe perderá pontos. Da mesma forma, se você aplicar um patch ao serviço, mas isso prejudicar o desempenho, também perderá pontos.

Ao combinar a diversão e a competitividade do ataque e da defesa com a necessidade realista de manter o desempenho dos serviços, o CTF oferece a desenvolvedores e engenheiros de segurança uma maneira divertida e envolvente de aprender a trabalhar em conjunto.

Transforme a construção de relacionamentos em um RPG

Nos jogos de RPG, os participantes assumem o papel de personagens em um mundo complexo, que muitas vezes oferece liberdade para explorar, conversar com outros personagens e escolher suas próprias missões. Em geral, há uma missão principal em que o jogador precisa salvar o mundo. Mas, para ter sucesso, também é preciso construir relacionamentos com outros personagens, para obter informações e recursos e encontrar aliados.

Da mesma forma, embora a missão principal de um engenheiro de segurança possa ser criar um programa de segurança resiliente, o trabalho para chegar lá pode ser guiado por uma jornada parecida com a de um RPG — como explica Joshua Gamradt, diretor de DevOps resiliente na UnitedHealth Group, no episódio 97 do podcast The Secure Developer.

“Se você adotar uma mentalidade parecida com a de um videogame”, diz Gamradt, “vai estar sempre andando por aí, conversando com moradores e pessoas da cidade, que contam histórias. Elas dizem: ‘Ei! Passei por esse problema’ ou ‘Estou enfrentando esta dificuldade. Preciso da sua ajuda para resolver isso.’”

Nos videogames, assim como na segurança, ouvir as histórias das pessoas não serve apenas para descobrir missões secundárias: também ajuda você a entender o mundo em que está jogando. Segundo Gamradt, criar conexões e desenvolver relacionamentos dentro da empresa o ajudou a “ampliar o entendimento do que segurança significa em toda a organização, e não apenas na área de segurança”. Mesmo que uma empresa consiga fazer com que todos se preocupem com segurança, isso não significa que todos pensem nela da mesma forma.

Gamradt considerou essencial construir esses relacionamentos, pois eles permitiram “identificar as lacunas e entender o que existe hoje e onde devemos concentrar esforços para fechar essas lacunas”. Ao gamificar a construção de relacionamentos, Gamradt conseguiu incentivar o trabalho de ampliar o entendimento sobre segurança em toda a organização.

Transforme métricas em missões

As missões podem dividir jogos longos em etapas mais fáceis de acompanhar. Assim, o jogo fica mais acessível e os jogadores se sentem motivados a avançar.

Sabendo disso, Gamradt voltou a usar os jogos como metáfora ao trabalhar em um programa de defensores da segurança na UnitedHealth Group. Ele e sua equipe criaram um programa com três missões principais, todas voltadas a incentivar a programação segura.

Gamradt usou uma plataforma que pedia aos engenheiros que analisassem códigos para identificar vulnerabilidades com base no OWASP Top 10. Segundo Gamradt, os engenheiros precisavam descobrir “como identificar as vulnerabilidades nesse código e, depois, como corrigi-las”.

Gamradt teve sucesso ao conquistar a confiança dos engenheiros no programa e despertar neles muito entusiasmo e vontade de “fazer parte desse jogo”.

O programa ofereceu uma maneira envolvente para desenvolvedores e engenheiros de segurança praticarem programação segura e se familiarizarem com as vulnerabilidades mais comuns. A missão principal da empresa era aumentar o número de defensores da segurança.

“O objetivo”, diz Gamradt, é “estabelecer uma relação entre a quantidade de defensores da segurança em determinado produto ou aplicação e a redução do número de vulnerabilidades”. O jogo aumentou o número de defensores da segurança e, em tese, mais defensores reduziram o número de vulnerabilidades.

Ouça o episódio completo para saber como Gamradt estruturou o programa com base em RPGs, como as pessoas são recompensadas pelo aprendizado e como a equipe está promovendo o engajamento.

A gamificação transforma conhecimento em prática

Como pessoas de diferentes países, faixas etárias e culturas — muitas vezes sem se conhecer — podem se unir por um objetivo comum? A colaboração nesse contexto parece difícil, mas muitos jogos online fazem disso parte do dia a dia. Nesses jogos, os objetivos podem ser tão simples quanto derrotar um inimigo em Call of Duty ou tão complexos quanto combinar as habilidades de personagens muito diferentes para vencer outra equipe em um jogo como Overwatch. A colaboração se torna essencial, e pessoas com diferentes origens e habilidades podem trabalhar juntas para vencer.

Transformar a segurança em um jogo pode trazer benefícios semelhantes, oferecendo uma estrutura e incentivos para que as pessoas trabalhem juntas.

Todo mundo sabe que as equipes de segurança e desenvolvimento devem trabalhar juntas, e todos concordam que segurança é importante. Mas um bom jogo pode transformar convicção em ação e conhecimento em prática. Ao incentivar as pessoas a vencer, as empresas conquistam uma vitória ainda maior: criar práticas de segurança duradouras.

Para conhecer mais ideias e boas práticas para promover a segurança entre desenvolvedores, assine o The Secure Developer.