Na ultima semana concluimos uma maratona de treinamento introdutorio em seguranca de software. Foram 9 turmas, alcancando 183 profissionais, envolvendo programadores, analistas de teste, analista de infraestrutura, arquitetos e outros. A experiencia foi parte de um programa de seguranca de software orientado pelas praticas do Build Security In Maturity Model (BSIMM). Neste caso, atendendo as seguintes atividades da pratica Treinamento:T1.1 - Forneca treinamento de conscientizacao.T2.2 - Crie/use material especifico da historia da empresa.T3.2 - Forneca treinamento para fornecedores e profissionais terceirizados. Ao longo do treinamento procurei registrar o estado da turma acerca da seguranca de software observando as seguintes questoes:Quem ja vivenciou algum treinamento em seguranca de software? Ressaltando que treinamento em seguranca da informacao, apesar de muito oportuno, nao e a mesma coisa.Quem conhecia Injecao de SQL?Quem conhecia Cross Site Scripting (XSS)?Quem conhecia a OWASP?Dos 183 alunos, 14(7,65%) ja haviam participado de treinamento em seguranca de software, 32 (17,5%) conheciam Injecao de SQL, 1(0,5%) conhecia XSS e nenhum aluno conhecia o termo OWASP.Os dados em si, nao sao muito reveladores, uma vez que e amplamente difundida a defasagem dos profissionais do mercado em seguranca de software (aqui). Mesmo tendo isso em mente, surpreende o fato de nenhuma pessoa ter sequer ouvido falar no termo OWASP. E preocupante, pois a OWASP esta ai fora ha quase 10 anos e isso (desconhecimento) pode impedir que ela alcance o seu proposito: Be the thriving global community that drives visibility and evolution in the safety and security of the worlds software. (aqui).Talvez seja esse o principal desafio para o proximo board (aqui) da OWASP. Eu, particularmente, tenho plena conviccao que os desenvolvedores podem promover mudancas sensiveis na seguranca do seu software, a partir de simples sensibilizacao e instrucao de tecnicas de defesa. Nao ha, no meu entendimento, outro movimento/canal no momento, com maior concentracao e organizacao de conteudo sobre a seguranca de software. O maior problema e que a mensagem de seguranca nao chega ate o desenvolvedor.Uma vez que o problema esta exposto, o que podemos fazer para mudar esse cenario? Seguem duas sugestoes, pra comecar:Sustente - Voce que consome o conteudo OWASP, qual foi a ultima vez que voce divulgou o projeto? Por que nao falar para o desenvolvedor que se encontra do seu lado, ou aquele colega de universidade sobre a seguranca de software e a OWASP para sua pesquisa? Estabeleca sua meta de disseminacao. Obviamente, voce pode contribuir, produzir conteudo, traduzir, etc.Fiscalize - Voce que esta associado a algum capitulo da OWASP, conhece o board? Voce sabia que a OWASP recomenda fortemente que haja pelo menos dois lideres para que as atividades sejam distribuidas (aqui)? Qual foi o ultimo evento promovido pelo seu capitulo? O board do seu capitulo esta comprometido com a OWASP ou somente com a sua autopromocao? Qual a disponibilidade do board para as atividades do capitulo? Seu capitulo e considerado ativo (>5 eventos ano)? Cobre! E voce, o que tem a sugerir? Escreva ai embaixo! Quando papai esta de plantao no final de semana, preciso inventar alguma coisa bem legal para fazer com as criancas. So assim para