Security Champions
tradução v1
1. Identificação dos times
O principal objetivo desta etapa é mapear os problemas das equipes com as quais você trabalhará, é extremamente importante anotar e mantê-la em local público conhecido e acessÃvel a todos. Conversas individuais com proprietários de produtos e lÃderes de engenharia seriam um bom começo para essa etapa do processo.
Perguntas tÃpicas que devem serem feitas para te ajudar nesse processo:
Quantas equipes estão trabalhando por produto
Quais tecnologias (linguagens de programação, frameworks) os times estão usando
Onde está armazenado o código e a documentação das aplicações
Quais ferramentas automatizadas e serviços externos/internos são usados para desenvolvimento e realização dos testes
Qual é o processo de revisão de código (incluindo revisão de código de segurança) que cada equipe está usando e quem está envolvido
Existem outras atividades relacionadas à segurança com foco no produto, além de revisões de código
Qual é o calendário de lançamento/ciclo/estágio atual do produto
Quais são os canais de comunicação mais utilizados pelo produto
Como se costuma relatar um problema/bug de segurança do produto e quem está cuidando disso
O resultado deste exercÃcio deve ser uma página no wiki interno com uma tabela como o seguinte modelo:
Name
Alpha
Python
John Smith
Anna Nowak
Anna Nowak
2. Definindo o papel
O principal objetivo desta etapa é apresentar descrições claras das funções dos Security Champions. Com o seu programa AppSec e metas globais definidas, é crucial distinguir as atividades que mais correspondem aos Security Champions e mapeá-las para essas metas.
Dependendo do estado atual da segurança em sua organização, isso pode incluir alguns ou todos os itens abaixo:
Conduzir e/ou verificar revisões de segurança na equipe
Proteger e promover as melhores práticas
Levantar questões para riscos no código existente e nos novos
Realizar modelagem de ameaças para os novos recursos
Conduzir e/ou verificar varreduras automatizadas
Investigar relatórios de recompensas de bugs
Participar de atividades de P&D (pesquisa e desenvolvimento)
3. Nomeando Security Champions
Você deve primeiro obter aprovação da gerência em todos os nÃveis. Faça uma apresentação das funções definidas, benefÃcios para a equipe e tempo aproximado que o Security Champions gastaria nas tarefas de segurança, -20% deve ser suficiente para o inÃcio.
Após ter essas aprovações, o próximo passo seria identificar potenciais Security Champions. Sente-se junto com o gerente da equipe, selecione os candidatos e realize mini-entrevistas com cada um deles. Lembre-se - it's not appointing but nominating!.
Descreva o papel, as expectativas e a estratégia e mostre a eles os benefÃcios pessoais de se tornar um Security Champions:
Autodesenvolvimento e capacidade de ver as coisas de maneira diferente
Aumento do seu valor de mercado
Melhorando a qualidade do produto
Participando de conferências de segurança
Tornando-se uma parte importante da meta-equipe de segurança
Se divertindo :)
A parte final dessa etapa é a nomeação oficial e a apresentação do mesmo aos outros.
3.1 Processo de onboarding
Os Security Champions vêm e vão e é importante estabelecer uma rotina de integração. As etapas comuns são:
Apresentar os novatos aos outros Security Champions
Comunicar os novos participantes para toda a empresa
Adicione-os a todos os canais de comunicação
Introduzir a base de conhecimentos e incluÃ-los nos ciclos de formação
Atribuir a primeira tarefa
Tenha 1:1s periódicos
4. Configurando canais de comunicação
Os Security Champions indicados não podem operar sozinhos, funciona melhor quando eles realmente sentem o espÃrito de equipe. Dependendo da cultura corporativa, pode ser os seguintes:
Canais privados do Slack/IRC
Equipes de base de chave
Bate-papos em grupo do Skype
Grupos do Yammer
Listas de discussão
Formulários Google
Apenas certifique-se de que há uma maneira fácil de divulgar informações importantes e obter feedback. Além disso, configure sincronizações periódicas para ver como as coisas estão indo e para ajustar as metas de curto prazo. Para o inÃcio, reuniões quinzenais devem funcionar bem.
Certifique-se de que as comunicações do ambiente não sejam tóxicas e que todos os Security Champions se sintam seguros para expressar suas dúvidas, preocupações e propostas.
5. Construindo uma base de conhecimento sólida
O principal objetivo desta etapa é a base de conhecimento interna ser a principal fonte de respostas para perguntas relacionadas à segurança. Além da página da meta-equipe, que permite que qualquer pessoa encontre rapidamente o contato certo, as páginas a seguir serão bastante úteis:
Estratégia de segurança global
Funções e procedimentos de segurança claramente definidos
Práticas recomendadas de desenvolvimento seguro
Algoritmos de criptografia recomendados
Descrição de riscos e vulnerabilidades comuns
PolÃticas de senha
Projetos OWASP, como Security Knowledge Framework, ASVS e MASVS, bem como as melhores práticas do setor (por exemplo, padrões de codificação segura CERT) serão um excelente ponto de partida para criar a base dos primeiros workshops internos.
5.1 Treinamento e qualificação
Uma abordagem positiva é fornecer treinamento básico de nivelamento dos Security Champions que teve pouca ou nenhuma exposição à segurança. Fornecendo a orientação e os recursos necessários, podemos garantir que os Security Champions estejam prontos para cenários mais complexos.
Os tópicos a serem discutidos devem ser bem escolhidos de acordo com a definição do papel. Alguns tópicos que geralmente são úteis:
Security Champions Program 101
Boas práticas de desenvolvimento seguro
Classificação de vulnerabilidades
Offensive Security Assessments
Modelagem de Ameaças
Resposta a incidentes
PolÃticas e procedimentos internos
As sessões de treinamento devem ser curtas e fornecer indicadores para uma lista com curadoria de recursos detalhados, bem como ilustrar cada tópico com exemplos reais da organização.
Juntamente com o treinamento, recomenda-se esclarecer e documentar os processos internos nos quais é esperado que o Security Champions desempenhe os papéis de gerenciamento de vulnerabilidades, tratamento de incidentes, ferramentas recomendadas (ou seja, SAST, DAST, SCA, plugins de segurança, etc.).
Assuntos que são especÃficos apenas para um determinado conjunto de Security Champions podem ser abordados após os principais tópicos terem sido abordados.
Os campeões devem ser incentivados a pesquisar e apresentar proativamente tópicos relacionados às suas principais áreas de especialização.
Exemplo de tópicos especÃficos da plataforma:
Android/iOS security (mobile)
Spring Boot Security (back-end)
XSS vulnerabilities in Angular/React/Vue (front-end)
Writing secure IAM policies (infra/cloud)
5.2 Formatos de treinamento
Um bom programa de treinamento pode incluir os seguintes componentes:
Materiais de referência da base de conhecimento
Sessões ao vivo
Hands-on practice
Avaliações de desempenho
As sessões ao vivo são úteis para agendar um horário periódico para o Security Champions conhecer e compartilhar experiências, promovendo um senso de comunidade e melhorando o nÃvel de engajamento.
Hands-on practice deve consistir em laboratórios desenvolvidos internamente ou externamente, onde os participantes possam trabalhar sozinhos em cenários semelhantes aos que devem enfrentar.
As avaliações de desempenho são os instrumentos pelos quais o sucesso do programa de treinamento pode ser medido. Ao estabelecer critérios mÃnimos de sucesso em cada tema abordado, pode-se considerar que os Security Champions receberam insumos suficientes para desenvolver suas atividades de acordo.
5.3 NÃveis dos Security Champions
Para garantir que o Security Champions tenha exposição suficiente aos tópicos com os quais se espera que estejam envolvidos, o programa pode ser dividido em vários nÃveis de competência. Por exemplo:
Level 0: Completou todos os treinamentos obrigatórios de conscientização de segurança em toda a empresa
Level 1: Completou todo o treinamento do tópico principal
Level 2: Completou todo o treinamento especÃfico da plataforma
Level 3: Mais de 6 meses de experiência ativa como Security Champions / atendeu aos KPIs estabelecidos
Ao atribuir responsabilidades de acordo com diferentes nÃveis de maturidade, a precisão e o senso de engajamento podem ser aumentados. Além disso, proporciona uma visão mais clara do estado de maturidade do próprio programa.
6. Manter o interesse
Para ter um ecossistema contÃnuo e bem-sucedido de Security Champions, é crucial apoiá-los constantemente e fornecer materiais de aprendizagem. Abaixo estão várias maneiras de manter os campeões interessados e ajudá-los a evoluir como profissionais de segurança.
6.1 Workshops e treinamentos
Realize workshops periódicos para as equipes, explique a estratégia, promova as melhores práticas ou apenas compartilhe algumas notÃcias recentes do mundo da segurança. Organize um quiz interativo, anuncie o Hacker Thursday ou inicie um "Bug Month". Converse com os Security Champions e juntos escolham qual formato é o mais adequado para você. Não importa o formato que você escolher, é provavelmente o ponto mais importante de todo o Playbook. Mantenha-os motivados e você será agradavelmente surpreendido muito em breve!
6.2 Torneios e concursos
Deixe os Security Champions praticarem desafios emocionantes por meio de concursos e hackathons. Um CTF interno trimestral pode ser facilmente configurado usando o CTFd, ou você pode escolher um evento externo do CTF Time. Os dias de hacking também podem ser interessantes, seja para encontrar ou corrigir vulnerabilidades. Além de úteis e divertidos, esses eventos também podem ajudar a estabelecer uma linha de base da maturidade do campeão. As fraquezas identificadas podem ser abordadas em sessões de treinamento. Não subestime o poder dos SWAGs para aumentar as taxas de engajamento!
6.3 Boletins informativos - regulares
Compartilhe notÃcias recentes de segurança por meio de canais de comunicação estabelecidos (como as compilações semanais do appsec da Ezine). Além disso, inicie boletins de segurança mensais com atualizações da equipe, planos, agradecimentos pelo bom trabalho e qualquer outra informação relevante e interessante - isso não apenas envolverá ainda mais os Security Champions, mas também será um bom ponto de verificação, também para sua segurança.
6.4 Canto dos campeões de segurança
Crie um espaço separado em seu wiki interno e adicione páginas dedicadas, como:
calendário da conferência (comece aqui)
biblioteca de segurança de bons livros e artigos (comece aqui)
slides de conferências assistidas (ou comece aqui)
"salas para ideias e melhorias"
7. Posfácio
Se você seguiu todas as etapas, já deve ter um programa Security Champions funcionando. Tentei delinear as fases mais importantes para alcançar os melhores resultados, embora possa ser possÃvel conseguir o mesmo saltando ou reordenando as fases.
A melhor coisa sobre o ecossistema Security Champions não é apenas a escalabilidade, mas os "benefÃcios colaterais" que sua organização está obtendo, sendo o principal o desenvolvimento de uma cultura de segurança. Com o tempo, eles começarão a propor suas próprias iniciativas, participando de P&D (pesquisa e desenvolvimento) e realizando workshops especÃficos de produtos, engajando cada vez mais pessoas e tornando a segurança "negócio de todos" como deveria ser.
Espero que tenha sido útil para você e ficaria grato se você enviasse seus comentários e propostas de melhoria como perguntas ou diretamente para alexander[at]antukh.com.
Last updated