c3.9 Ejecutar un programa de Security Champions
Integre un Security Champion en cada equipo de desarrollo como punto focal con el equipo de seguridad, capacitado en desarrollo seguro. El patrocinio ejecutivo es el factor de éxito clave; sin él, los equipos no invertirán su tiempo de forma consistente.
Guía de implementación
Construya capacidad de seguridad dentro de los equipos de desarrollo
Nombre un Security Champion en cada equipo de desarrollo para ser el vínculo diario con el equipo de seguridad y el guardián de las buenas prácticas de su equipo. El patrocinio ejecutivo (CIO/CISO) es esencial; sin él, los equipos no dedicarán tiempo al programa.
Qué hace a un buen champion
- Un entusiasta de la seguridad al que le gusta enseñar a sus compañeros.
- Confiable: reporta problemas con honestidad y provee la información necesaria para decidir (aceptar el riesgo, bloquear el despliegue o mitigar).
- Integrado en el equipo día a día, dando al equipo de seguridad una vista desde adentro.
Qué hace un champion
- Aprende seguridad y escribe casos de prueba para atrapar riesgos críticos.
- Ayuda a construir modelos de amenazas, conociendo la aplicación a fondo.
- Actúa como gestor de vulnerabilidades del código de su equipo.
Manténgalo gratificante
Como es trabajo adicional, recompénselo: premios por capacitación y por cumplir metas de seguridad del código, office hours, capacitaciones exclusivas y gamificación (por ejemplo, el equipo que corrige más fallos o el que despliega menos defectos). AWS también organiza Security Game Days a los que puede unirse. Para inspirarse, vea cómo AWS construyó su programa Security Guardians.
Cómo validar
- ¿Hay un Security Champion en cada equipo de desarrollo?
- ¿El programa tiene patrocinio ejecutivo y tiempo dedicado?
- ¿Los champions están capacitados y reconocidos, y ayudan con el modelado de amenazas y la gestión de vulnerabilidades de su equipo?
Amenazas que atiende
- Sin responsabilidad de seguridad integrada, las buenas prácticas dependen de un equipo central que no escala a cada proyecto, por lo que los riesgos se encuentran tarde, o no se encuentran.