Como a MongoDB criou um programa de defensores de segurança bem-sucedido

Recentemente, conversamos com Amy Berman, líder de operações estratégicas de segurança na MongoDB, sobre o papel dos defensores de segurança na organização. Para quem ainda não conhece o conceito, defensores de segurança são desenvolvedores interessados em segurança que podem facilitar a colaboração entre as equipes de desenvolvimento e segurança.

Continue lendo para conhecer melhor as ideias de Berman sobre como criar um programa de defensores de segurança bem-sucedido na MongoDB e como a empresa incentivou uma mudança de mentalidade para que as equipes adotassem a segurança de aplicações, em vez de evitá-la.

Recrutando defensores de segurança engajados

Quando a MongoDB começou a criar seu programa de defensores de segurança, a empresa tinha um objetivo claro. Berman perguntou: “Como podemos influenciar os desenvolvedores e educá-los desde o início, em vez de esperar que um incidente aconteça?” A equipe de operações estratégicas de segurança da MongoDB sabia que o primeiro desafio seria recrutar defensores de segurança e promover um forte engajamento com o programa. Veja o que, segundo Berman, funcionou bem.

Transparência

A equipe de Berman reconheceu que o apoio da liderança seria essencial para recrutar defensores de segurança em vários departamentos. “A comunicação foi fundamental”, disse Berman. “Explicamos os compromissos envolvidos, como reuniões formais e outros requisitos ao longo do trimestre, e pedimos que os executivos falassem sobre o programa nas reuniões gerais da empresa.” Como os desenvolvedores precisam da aprovação de seus gestores para participar, é fundamental deixar claro o nível de dedicação necessário para se tornar um defensor de segurança.

Exclusividade

Além de deixar claras as expectativas para quem atua como defensor de segurança, a equipe de Berman também deu atenção à exclusividade de participar do programa. “Sempre nos certificamos de trabalhar com os defensores de segurança e compartilhar as novidades com eles primeiro”, explicou Berman. Os defensores de segurança não só se sentem parte de um grupo exclusivo, como também são essenciais para dar feedback antecipado sobre novas iniciativas de segurança e explicar esses esforços às equipes não técnicas. Berman acrescentou: “Você tem acesso a informações e ajuda a dar feedback à equipe de segurança antes que ela implemente as iniciativas em toda a empresa.”

Incentivos

Embora muitos programas de defensores de segurança tenham sucesso oferecendo apenas brindes, a equipe de Berman também decidiu apostar na liberdade de escolha como incentivo. Os participantes podiam escolher quais eventos relacionados à segurança gostariam de frequentar a cada trimestre. “Quando as pessoas escolhem os temas de que querem participar, ficam muito mais interessadas e envolvidas”, explicou Berman. “Acho que poder escolher faz diferença.” A MongoDB tem um sistema de pontos que permite ganhar recompensas por encontrar vulnerabilidades ou compartilhar informações úteis sobre segurança, mas isso é secundário à ideia de dar aos defensores de segurança liberdade para se envolverem nas atividades que mais despertam seu interesse.

Promovendo uma cultura de segurança positiva

Segundo Berman, há dois tipos de cultura de segurança: positiva e negativa. “Estamos tentando criar uma cultura de segurança positiva”, explicou. “Queremos ser uma equipe de segurança que seja, de fato, uma parceira.” Por isso, um aspecto essencial do programa de defensores de segurança da MongoDB é permitir que desenvolvedores, gerentes de produto e outras pessoas influenciem as próximas etapas do roteiro de segurança. Isso cria um senso compartilhado de responsabilidade e comprometimento entre os desenvolvedores para melhorar a postura de segurança de suas aplicações.

Para Berman, um grande benefício de disseminar a conscientização e a responsabilidade em relação à segurança é ampliar o alcance da equipe de segurança em uma organização grande e em crescimento. “Não temos recursos suficientes para dar conta de tudo”, explicou. “Mas o feedback dos defensores de segurança nos ajuda a priorizar nossos esforços.” Berman também acredita que a equipe de segurança não pode depender apenas da tecnologia. Por isso, reduzir os riscos relacionados ao fator humano por meio de uma cultura de segurança positiva é essencial para ampliar a cibersegurança a longo prazo.

O programa de defensores de segurança da MongoDB hoje

No último ano, o programa de defensores de segurança da MongoDB cresceu e chegou a 90 integrantes, distribuídos por 45 departamentos e 25 localidades. Para garantir que o programa seja sustentável e continue promovendo a conscientização sobre segurança, a MongoDB conta com uma função específica para gerenciá-lo e expandi-lo.

Mais especificamente, o programa da MongoDB se concentra na educação em cibersegurança e na promoção da segurança entre equipes que não são da área. A abrangência e a profundidade do programa de defensores de segurança da empresa fazem com que a segurança seja hoje uma consideração essencial em todas as áreas da organização.

Para saber mais sobre esses programas, leia nosso novo white paper sobreComo criar um programa de defensores de segurança. E, se quiser conhecer outra história de sucesso de defensores de segurança, confira nossamesa-redonda recente com a Dun & Bradstreet e a Shutterstock.