Un Security Champion est un membre d'une équipe de développement ou produit qui endosse un rôle de promotion de la sécurité, en agissant comme point de contact local entre cette équipe et l'organisation centrale de sécurité. Il ne s'agit généralement pas d'un poste dédié à temps plein, mais d'une extension d'un rôle d'ingénierie, de qualité ou produit, le plus souvent formalisée dans le cadre d'un programme de security champions de l'entreprise. La logique sous-jacente est une question d'échelle : les équipes de sécurité sont presque toujours bien plus réduites que la population d'ingénieurs qu'elles accompagnent, si bien qu'intégrer des relais compétents au sein de chaque équipe étend la portée de la sécurité et rapproche le jugement du lieu où les décisions de code et de conception sont réellement prises.
Au quotidien, un Security Champion maintient la sécurité visible dans le rythme ordinaire du travail de son équipe. Il soulève les considérations de sécurité lors des discussions de conception et de la planification des sprints, aide à trier les résultats des scanners automatisés afin que les développeurs ne soient pas submergés par le bruit, et répond aux questions courantes qui, autrement, s'accumuleraient auprès de l'équipe centrale. Il anime souvent les sessions de modélisation des menaces pour les nouvelles fonctionnalités, suit la remédiation des problèmes connus et aide son équipe à comprendre et à adopter des valeurs par défaut, des bibliothèques et des modèles sécurisés. Un champion fait également circuler l'information dans les deux sens, en portant les politiques, les évolutions d'outillage et le renseignement sur les menaces de l'organisation de sécurité vers l'équipe, et en remontant les points de friction et les contraintes pratiques de l'équipe. Le rôle repose délibérément sur l'influence plutôt que sur l'autorité, de sorte que la persuasion, la patience et la crédibilité auprès des pairs comptent autant que la profondeur technique.
Le profil adapté au rôle est celui d'un développeur ou d'un ingénieur en activité qui bénéficie déjà de la confiance de son équipe et éprouve un véritable intérêt pour la sécurité, plutôt qu'un spécialiste de la sécurité parachuté de l'extérieur. Parmi les compétences utiles figurent une solide maîtrise de la pile technologique de l'équipe, une familiarité avec les classes de faiblesses courantes telles que celles cataloguées par l'OWASP, une aisance à lire les sorties des scanners et à raisonner sur le risque, ainsi qu'une bonne communication. Une expertise offensive poussée n'est pas requise ; ce qui importe davantage, c'est la capacité à reconnaître quand une situation justifie l'attention d'un spécialiste et à traduire les préoccupations de sécurité dans des termes qui parlent à ses collègues ingénieurs. De nombreuses organisations soutiennent les champions par des formations ciblées, une communauté de pratique, une reconnaissance et du temps dédié, car un programme sans investissement réel a tendance à s'essouffler.
On accède généralement au rôle en se portant volontaire ou en étant désigné au sein d'un poste d'ingénierie existant, puis en progressant grâce aux formations du programme et à une exposition concrète à de vrais résultats et incidents. Avec le temps, un champion approfondit ses connaissances en sécurité et peut étendre son influence à plusieurs équipes ou accompagner de nouveaux champions. Cette expérience constitue une voie d'accès éprouvée vers un métier dédié à la sécurité, et les champions évoluent fréquemment vers des postes de spécialiste une fois qu'ils décident de faire de la sécurité leur priorité.
Le Security Champion s'inscrit aux côtés de plusieurs rôles plus spécialisés de la sécurité applicative et se comprend mieux par contraste avec eux. Là où un Application Security Engineer est responsable de l'outillage et de la défense à l'échelle du programme sur de nombreuses équipes, où un Secure Code Reviewer se concentre sur la détection de failles dans le code source, où un Product Security Engineer est responsable de la sécurité d'une ligne de produits précise, et où un DevSecOps Engineer intègre des contrôles de sécurité dans les pipelines et l'infrastructure, le champion se définit quant à lui par le fait d'être un membre d'équipe en activité qui porte la sécurité dans le développement quotidien. Les champions sont le complément local, à temps partiel, qui rend ces fonctions centralisées efficaces à grande échelle, et la relation est symbiotique : les spécialistes donnent la direction et apportent la profondeur, tandis que les champions apportent la portée, le contexte et une présence durable au sein de chaque équipe.