c3.9 Executar um programa de Security Champions
Insira um Security Champion em cada equipe de desenvolvimento como ponto focal com a equipe de segurança, treinado em desenvolvimento seguro. O patrocínio executivo é o fator de sucesso chave; sem ele, as equipes não investirão seu tempo de forma consistente.
Guia de implementação
Construa capacidade de segurança dentro das equipes de desenvolvimento
Nomeie um Security Champion em cada equipe de desenvolvimento para ser o elo diário com a equipe de segurança e o guardião das boas práticas da sua equipe. O patrocínio executivo (CIO/CISO) é essencial; sem ele, as equipes não dedicarão tempo ao programa.
O que faz um bom champion
- Um entusiasta de segurança que gosta de ensinar os colegas.
- Confiável: reporta problemas com honestidade e fornece a informação necessária para decidir (aceitar o risco, bloquear a implantação ou mitigar).
- Integrado à equipe no dia a dia, dando à equipe de segurança uma visão de dentro.
O que um champion faz
- Aprende segurança e escreve casos de teste para capturar riscos críticos.
- Ajuda a construir modelos de ameaças, conhecendo a aplicação a fundo.
- Atua como gestor de vulnerabilidades do código da sua equipe.
Mantenha recompensador
Como é trabalho adicional, reconheça-o: prêmios por treinamento e por atingir metas de segurança do código, office hours, treinamentos exclusivos e gamificação (por exemplo, a equipe que corrige mais falhas ou a que entrega menos defeitos). A AWS também realiza Security Game Days dos quais você pode participar. Para se inspirar, veja como a AWS construiu seu programa Security Guardians.
Como validar
- Existe um Security Champion em cada equipe de desenvolvimento?
- O programa tem patrocínio executivo e tempo dedicado?
- Os champions são treinados e reconhecidos, e ajudam com a modelagem de ameaças e a gestão de vulnerabilidades da sua equipe?
Ameaças atendidas
- Sem responsabilidade de segurança integrada, as boas práticas dependem de uma equipe central que não escala para cada projeto, então os riscos são encontrados tarde — ou não são.