A conscientização é muito importante quando se trata da segurança digital das empresas. Isso porque grande parte dos incidentes são oriundos de (ou amplificados por) erros humanos — as pessoas acabam abrindo as portas para que os riscos se concretizem.
Isso já é quase consenso. Por outro lado, pouco se fala sobre a necessidade de conscientização das equipes de desenvolvedores. E isso é muito urgente, pois é fundamental que toda e qualquer aplicação seja 100% segura; não tenha vulnerabilidades que facilitem fraudes cibernéticas, por exemplo.
Essa é a reflexão que trazemos neste artigo.
Continue lendo para entender porque a segurança digital é um dilema na área de desenvolvimento e o que você pode fazer para conscientizar seu time de desenvolvedores!
O dilema da segurança digital entre os desenvolvedores
Os principais problemas com as aplicações tecnológicas são as vulnerabilidades de segurança. Normalmente, elas são facilmente rastreadas até uma má decisão tomada durante a codificação e podem se estender até uma má decisão de design — ou seja, do nível mais profundo até a superfície.
Muitas vezes, as vulnerabilidades existem devido a um erro cometido pelos desenvolvedores em algum momento durante a produção.
Para entendermos isso, basta pensarmos nas “dez razões simples pelas quais os sistemas nascem e morrem”, descritas pela OWASP Foundation. Elas vão desde controle de acesso quebrado até falhas de registro e monitoramento, passando por problemas de autenticação, entre outras.
No centro dessa realidade, o maior problema é que a maioria dos desenvolvedores não entende o suficiente sobre segurança para modificar seus comportamentos.
Não raras vezes, os profissionais de desenvolvimento não entendem as ramificações reais de suas decisões. Por exemplo, muitos não têm consciência das vulnerabilidades que se abrem quando deixam de usar consultas SQL parametrizadas (injeção SQL) ou se esquecem de validar todas as entradas.
É preciso dizer também que essa falta de compreensão não é deliberada. Normalmente, acontece que boa parte dos profissionais não aprendeu as lições fundamentais da segurança digital.
Em suma, dois fortes fatores contribuem para esse estado das coisas:
-
desenvolvedores aprendem a construir, não a quebrar: seu trabalho é mais um esforço criativo do que um processo de engenharia rigoroso;
-
o treinamento de segurança digital para desenvolvedores carece de estrutura: as aulas de programação se concentram na criação de funcionalidade, não na prevenção de ameaças.
→ Leia também: Cultura da segurança digital é barreira para empresas brasileiras!
7 passos para conscientizar desenvolvedores sobre segurança digital
Dito isso, confira a seguir alguns passos que vão te ajudar a conscientizar seu time de desenvolvedores!
-
Ofereça exercícios práticos. Os desenvolvedores são solucionadores de problemas e adoram desafios. Eles aprenderão muito mais com exemplos práticos que lhes permitem resolver cenários da vida real do que com palestras.
-
Torne a capacitação relevante. Orientação, estudos de caso e exemplos devem corresponder à tecnologia e plataformas que os desenvolvedores estão usando atualmente.
-
Considere o treinamento online. Embora menos interativos do que o treinamento ministrado por instrutor, os cursos de e-learning permitem que os desenvolvedores participem do treinamento de segurança digital quando tiverem tempo.
O e-learning também é ideal para ensinar certos materiais complexos para que os alunos possam revisá-los repetidamente, se necessário.
-
Use demonstrações envolventes. Capte a atenção dos desenvolvedores com demonstrações de hackers.
Eles não apenas aprenderão mais sobre a mentalidade antiética dos cibercriminosos que estão enfrentando, mas também compreenderão por que precisam validar e higienizar a entrada e pensar sobre o que pode acontecer se algo quebrar.
-
Forneça incentivos. Incentive os desenvolvedores a reservar tempo para a qualificação (busca por certificações em segurança digital, por exemplo), oferecendo uma recompensa para cada curso ou série de cursos concluídos.
-
Promova benchmarking. Ofereça meio dos profissionais de desenvolvimento interagirem com equipes de empresas parceiras. Seja por meio de participações em eventos da área, seja em reuniões promovidas por sua própria organização.
Isso pode ser feito de maneira quase informal, sem parecer que o intercâmbio de experiências é uma condição para a manutenção do emprego, por exemplo.
-
Comunique. A comunicação interna tem seus métodos para trabalhar uma temática (nesse caso, a segurança digital).
Por isso, é bastante indicado fazer campanhas criativas que sempre deixem o tema em evidência, como um valor corporativo e, portanto, digno de atenção dos profissionais.
→ Leia também: Como otimizar a segurança no desenvolvimento de sistemas!
Resumindo
É preciso ter em mente que a conscientização não é a única responsável por garantir a segurança digital de uma operação de desenvolvimento. Há também investimentos técnicos e esforços culturais a serem feitos. Contudo, ela é sim muito importante e, portanto, é preciso trabalhá-la de maneira estratégica.
Nesse sentido, preencher as lacunas de conhecimento e conscientização dos desenvolvedores pode gerar grandes dividendos.
Com o foco certo em segurança digital, seus desenvolvedores podem aprender como criar um código funcional e seguro, economizando muito tempo e esforço para sua organização. Eles também vão incorporar a importância desse tema e, o mais importante, entender em quais pontos suas decisões laborais contribuem para resolvê-lo ou gravá-lo.
