Belajar Application Security Engineer - Security Champions Program
Menskalakan program AppSec tanpa menambah headcount lewat security champions: memilih model hub-and-spoke, merekrut dan melatih champion dari tim engineering, mendesain kurikulum dan alokasi waktu yang realistis, serta mengukur kesehatan program agar bertahan lebih dari satu kuartal
#Pendahuluan
Setelah di episode 23 kita mengunci rantai pasok artifact, muncul masalah skala yang tak bisa diselesaikan tool: satu AppSec engineer per seratus developer adalah rasio yang mustahil untuk review semua PR, threat model semua fitur, dan menjawab semua pertanyaan security. Security Champions Program adalah jawaban industri: developer terlatih di tiap tim product menjadi perpanjangan tangan AppSec — triase pertama, penjaga standar lokal, dan jembatan budaya.
Episode ini praktis-organisasional: model program, rekrutmen champion, kurikulum, operasional harian, dan metrik yang membuktikan program layak hidup. Ini kompetensi wajib AppSec engineer senior — karena program yang gagal biasanya gagal di desain, bukan di niat.
#Model Hub-and-Spoke
Struktur yang terbukti bekerja:
- Hub (tim AppSec): kebijakan, tooling sentral, training material, eskalasi kasus sulit.
- Spoke (champion): mata dan tangan lokal — review awal desain fitur sensitif, triase temuan scanner timnya, menjawab pertanyaan sehari-hari, menyuarakan kebutuhan tim balik ke hub.
Nilainya dua arah: organisasi mendapat cakupan security berlipat tanpa hiring; champion mendapat jalur karir alternatif yang bernilai (banyak security lead hari ini lahir dari program ini).
#Rekrutmen: Siapa yang Cocok
Kesalahan paling umum: menunjuk orang paling junior yang "punya waktu luang". Program itu mati dalam dua bulan. Profil yang benar:
| Kriteria | Kenapa Penting |
|---|---|
| Senioritas mid+ yang dipercaya tim | Rekomendasi champion didengar, bukan diabaikan |
| Curiositas security alami | Motivasi intrinsik bertahan melewati fase berat |
| Komunikator baik | Setengah pekerjaan adalah menerjemahkan risiko |
| Punya pengaruh informal | Champion tanpa pengaruh hanya label |
Dan yang sama penting: rekrutmen via minat, bukan penugasan. Umumkan program, buka pendaftaran, biarkan yang tertarik mengajukan. Satu champion antusias lebih berharga daripada tiga yang dipaksa.
Important
Dua syarat non-negosiasi sebelum program launch: manajemen tim champion menyetujui alokasi waktu resmi (10–20% kerja), dan champion mendapat akses channel langsung ke AppSec. Tanpa waktu resmi, ini proyek sampingan yang kalah oleh sprint mana pun.
#Kurikulum Training Path
Champion bukan harus jadi AppSec engineer — mereka butuh cukup untuk triase pertama dan tahu kapan eskalasi. Kurikulum 8–12 minggu yang saya pakai sebagai template:
| Minggu | Materi | Praktik |
|---|---|---|
| 1–2 | OWASP Top 10 + secure coding dasar | Lab Juice Shop: temukan 5 bug |
| 3–4 | Threat modeling ringkas (ep. 2) | Threat model fitur tim sendiri |
| 5–6 | SAST/SCA triase (ep. 7, 9) | Triase backlog scanner tim |
| 7–8 | AuthN/AuthZ pattern (ep. 4–6) | Review endpoint baru bersama AppSec |
| 9–10 | Remediation & SLA (ep. 13) | Tulis tiket remediasi lengkap |
| 11–12 | Capstone: shadow review PR nyata | Presentasi temuan ke hub |
Prinsip penyusunannya: materi dari series ini sudah mencakup 80% kebutuhan — itulah kenapa episode-episode sebelumnya disusun dengan struktur praktik per topik. Yang membedakan champion dari AppSec: kedalaman kasus edge dan akunabilitas keputusan.
Setelah lulus, format pemeliharaan skill: sesi bulanan (kasus insiden anonymized, CVE hangat, tooling baru), dan rotasi tanggung jawab agar tidak burnout.
#Operasional Harian
Peran konkret champion dalam workflow yang sudah kita bangun sepanjang series:
- PR berlabel
security-review→ champion tim melakukan first-pass (checklist episode 12) sebelum/bersamaan review AppSec untuk kasus high-risk. - Temuan scanner timnya → champion triase confidence tinggi; sisanya ke hub.
- Desain fitur sensitif → champion hadir di design review membawa template threat modeling.
- Pertanyaan security sehari-hari ("boleh gini nggak?") → dijawab lokal, pola umum dikodifikasi jadi dokumentasi/pattern library.
Kanal koordinasi: channel Slack/Matrix gabungan champion+AppSec untuk diskusi cepat, meeting sinkron bulanan, dan dashboard bersama (episode 25) supaya semua melihat angka yang sama.
#Mengukur Kesehatan Program
Program tanpa metrik akan dibanting budget saat resesi. Ukuran yang relevan:
| Metrik | Sinyal |
|---|---|
| Cakupan: % tim aktif punya champion | Resiko gelap = tim tanpa spoke |
| Median time-to-first-triage temuan | Efek triase lokal vs sentral |
| % temuan diperbaiki dalam SLA per tim | Perbandingan tim ber-champion vs tidak |
| Retensi champion per tahun | Burnout indicator |
| Kontribusi champion ke pattern library | Budaya, bukan cuma ticket |
Target awal realistis: 60–70% tim product tercakup dalam enam bulan pertama, retensi >70%/tahun. Angka time-to-triage biasanya turun drastis begitu triase lokal jalan — inilah argumen ROI terkuat ke leadership.
#Common Pitfalls
- Champion jadi dumping ground: semua tiket security dilempar ke mereka tanpa batas → resign massal; definisikan eksplisit apa yang tetap tanggung jawab hub.
- Training sekali-jalan: workshop tahunan tanpa pemeliharaan → skill lapuk; ritme bulanan murah tapi menentukan.
- Tidak ada rekognisi: champion bekerja ekstra tanpa apresiasi formal (perf input, bonus, konferensi); rekognisi adalah gaji kedua program ini.
- Hub melewati champion: AppSec yang tetap bicara langsung ke semua orang membuat champion merasa hiasan; routing komunikasi harus konsisten.
#Penutup
Inti yang harus dibawa pulang:
- Champions = skala leverage: cakupan security berlipat dengan rasio AppSec tetap; modelnya hub-and-spoke.
- Rekrut via minat + senioritas dipercaya + waktu resmi dari manajemen — bukan penugasan ke yang paling lowong.
- Kurikulum pragmatis 8–12 minggu dengan capstone shadow review; pemeliharaan via ritme bulanan.
- Peran konkret tertanam di workflow: first-pass review, triase lokal, threat modeling desain.
- Metrik kesehatan: cakupan tim, time-to-triage, retensi — bahan pertahanan budget program.
Di episode 25 kita bicara bahasa yang dipahami manajemen: AppSec Metrics & Maturity — memilih metrik yang benar (time-to-fix, coverage, escape rate), membangun dashboard yang dipakai untuk keputusan, dan maturity model seperti BSIMM untuk memetakan langkah pengembangan program kalian berikutnya. Sampai jumpa di episode 25!