Matias Madou, Ph.D.
Avant de créer ma propre entreprise, j'aidais à créer des outils qui étaient assez efficaces pour détecter les vulnérabilités dans le code, mais ils ne donnaient aucune indication contextuelle ni ne résolvaient les problèmes de sécurité. Je voulais créer une solution qui aiderait les développeurs à écrire du code sécurisé, qui les guiderait en temps réel lors de l'écriture, les aiderait à éviter d'introduire un problème et à le résoudre facilement. Les développeurs avaient besoin de leur propre Sensei pour un codage sécurisé.
Lorem ipsum diam quis enim lobortis scelerisque fermentum dui faucibus in ornare quam viverra orci sagittis eu volutpat odio facilisis.
Matias Madou, Ph.D.
Matias est un chercheur et développeur qui possède plus de 15 ans d'expérience pratique en matière de sécurité logicielle. Il a développé des solutions pour des entreprises telles que Fortify Software et sa propre société Sensei Security. Au cours de sa carrière, Matias a dirigé de nombreux projets de recherche sur la sécurité des applications qui ont abouti à des produits commerciaux et possède plus de 10 brevets à son actif. Lorsqu'il n'est pas à son bureau, Matias a enseigné des cours de formation avancée sur la sécurité des applications et prend régulièrement la parole lors de conférences mondiales telles que RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec et BruCon.
Matias est titulaire d'un doctorat en génie informatique de l'université de Gand, où il a étudié la sécurité des applications par le biais de l'obfuscation de programmes pour masquer le fonctionnement interne d'une application.
Les codeurs conquièrent l'infrastructure de sécurité en tant que série de codes - Business Logic
Cette vulnérabilité peut survenir lorsque les codeurs ne parviennent pas à implémenter correctement les règles de logique métier, ce qui pourrait rendre leurs applications vulnérables à différents types d'attaques si un utilisateur malveillant choisissait de les exploiter.
Se cacher à la vue de tous : pourquoi l'attaque de SolarWinds a révélé bien plus qu'un cyberrisque malveillant
S'il y a quelque chose qui peut gâcher Noël dans le secteur de la cybersécurité, c'est bien une violation de données dévastatrice qui est en passe de devenir le plus grand événement de cyberespionnage jamais enregistré pour le gouvernement américain.
La cause première du piratage d'Equifax est la vulnérabilité d'une application Web
Une fois de plus, la cause première du piratage d'Equifax est une vulnérabilité d'application Web. Ce type de vulnérabilité existe depuis plus de dix ans, mais il est toujours aussi pertinent aujourd'hui.
Le remaniement de la liste 2021 de l'OWASP : un nouveau plan de bataille et un ennemi principal
Les attaques par injection, tristement célèbre roi des vulnérabilités (par catégorie), ont perdu la première place au profit d'une violation du contrôle d'accès, en tant que pire des pires, et les développeurs doivent en tenir compte.
Les codeurs conquièrent la série des 10 meilleures API de l'OWASP en matière de sécurité : autorisation au niveau des objets cassés
En général, des contrôles d'autorisation au niveau de l'objet doivent être inclus pour chaque fonction qui accède à une source de données à l'aide d'une entrée de l'utilisateur, faute de quoi le faire comporte de grands risques.
Frappez d'abord, frappez fort : pourquoi des cours de codage sécurisés organisés avec soin n'accordent aucune importance aux cybermenaces
Un cours organisé contenant les modules exacts dans lesquels vos développeurs devront démontrer leur compétence aura un impact considérable et leur permettra de se lancer dès le départ en matière de meilleures pratiques de sécurité dans leur travail quotidien.
Quelles sont les pratiques de sécurité réellement appliquées par 300 000 développeurs ?
Près de 300 000 développeurs répartis sur environ 95 000 applications utilisent BSIMM8 pour planifier, exécuter et mesurer leurs initiatives de sécurité logicielle (SSI).
Les vulnérabilités de ClickShare ont peut-être été corrigées, mais elles masquent un problème bien plus important
Il n'est pas facile de réintégrer les correctifs de sécurité au processus de développement, mais c'est nécessaire dans le monde d'aujourd'hui où même des appareils apparemment simples, tels que les outils de présentation, sont à la fois étonnamment complexes et connectés à tout le reste.
Webinaire : Êtes-vous prêt à intégrer la « Sec » à DevOps ?
Nous devons parvenir à un stade où la sécurité est perçue comme une responsabilité partagée par l'ensemble de l'organisation et dans l'ensemble du SDLC. Cela est certainement possible lorsque vous vous engagez à mettre en place un environnement DevSecOps à part entière et très favorable.
Les codeurs conquièrent la série d'API Top 10 de l'OWASP en matière de sécurité - Contrôle d'accès au niveau des fonctions manquant
La vulnérabilité de contrôle d'accès au niveau des fonctions manquante permet aux utilisateurs d'exécuter des fonctions qui devraient être restreintes ou leur permet d'accéder à des ressources qui devraient être protégées.
Les codeurs conquièrent la série des 10 meilleures API de l'OWASP en matière de sécurité : Authentification non fonctionnelle
L'authentification agit souvent comme une passerelle vers une application et potentiellement vers le reste du réseau, ce qui en fait des cibles tentantes pour les attaquants. Si un processus d'authentification est défaillant ou vulnérable, il y a de fortes chances que les attaquants découvrent cette faille et l'exploitent.
La prévention à l'ère de la surface d'attaque sans fin
Le développement de logiciels n'est plus une mince affaire, et lorsque nous prenons en compte tous les aspects des risques liés aux logiciels, qu'il s'agisse du cloud, des systèmes intégrés dans les appareils et les véhicules, de notre infrastructure critique, sans oublier les API qui connectent tout cela, la surface d'attaque est sans frontières et incontrôlable.
Les éditeurs de logiciels se soucient-ils autant que vous de la sécurité ?
On peut dire que les deux dernières années ont été marquées par une transformation des normes de cybersécurité. Bien que cela ne soit pas obligatoire, toutes les organisations devraient avoir pour objectif de suivre cet exemple et d'examiner les pratiques de sécurité des fournisseurs comme si elles faisaient partie de leur propre programme de sécurité interne.
Les codeurs conquièrent les 10 meilleures séries d'API de l'OWASP en matière de sécurité - Mass Assignment
La vulnérabilité d'assignation de masse est née de nombreux frameworks modernes encourageant les développeurs à utiliser des fonctions qui lient automatiquement les entrées des clients à des variables de code et à des objets internes.
Arrêtez de perturber mon flux de travail ! Comment suivre la bonne formation en matière de sécurité au bon moment
Nous avons commencé à réfléchir à ce que nous pourrions faire pour réduire les obstacles à l'accès à une formation au moment où vous en avez besoin, et à la manière dont le micro-apprentissage pourrait être intégré à votre flux de travail de manière plus fluide.
De mauvais modèles de codage peuvent entraîner de graves problèmes de sécurité... alors pourquoi les encourager ?
Les développeurs n'auront pas d'impact positif sur la réduction des vulnérabilités sans une compréhension fondamentale de leur fonctionnement, de leur dangerosité, de leurs causes et des modèles de conception ou de codage qui les corrigent dans un contexte logique dans leur monde. Une approche échafaudée permet à des couches de connaissances de donner une image complète de ce que signifie coder en toute sécurité, défendre une base de code et se présenter comme un développeur soucieux de la sécurité.
Les attaques de type « jour zéro » sont en hausse. Il est temps de planifier un avantage défensif.
Les attaques « jour zéro », par définition, ne laissent pas le temps aux développeurs de détecter et de corriger les vulnérabilités existantes susceptibles d'être exploitées, car c'est l'auteur de la menace qui est intervenu le premier. Le mal est fait et c'est alors une course effrénée pour réparer à la fois le logiciel et l'atteinte à la réputation de l'entreprise. Les attaquants ont toujours un avantage, et il est crucial de réduire cet avantage autant que possible.
Transformer la fastidieuse conformité PCI-DSS en un exercice pertinent pour tous : partie 1 - AppSec
Il s'agit de la première partie d'une série en deux parties sur la conformité réussie à la norme PCI-DSS au sein d'une organisation. Dans ce chapitre, nous expliquons comment les spécialistes AppSec peuvent travailler en étroite collaboration avec les responsables du développement pour responsabiliser les développeurs, renforcer le SSDLC et obtenir des résultats spécifiques grâce à la législation générale.
Vous voulez que les développeurs codent en étant conscients de la sécurité ? Proposez-leur la formation.
Nous savons déjà qu'il se passe trop de choses au cours d'une journée de travail. Qu'est-ce qui incite les développeurs à se rendre dans une salle de classe ou à passer par cinq étapes pour accéder à une formation basée sur la théorie statique ?
Si les outils AppSec sont la solution miracle, pourquoi tant d'entreprises ne les utilisent-elles pas ?
Les outils AppSec ne sont pas utilisés comme on aurait pu s'y attendre pour plusieurs raisons. Il s'agit moins des outils et de leurs fonctionnalités que de la manière dont ils s'intègrent à un programme de sécurité dans son ensemble.
Entretien avec un expert : L'infrastructure en tant que code avec Oscar Quintas
Nous aimerions mettre en lumière l'un de nos experts, Oscar Quintas. Il fait partie de notre équipe chargée du contenu des produits et travaille en tant que chercheur principal en sécurité. Il est également notre sorcier résident pour tout ce qui concerne l'infrastructure en tant que code (IaC).
Joyeux anniversaire, l'injection SQL, le bogue qui ne peut pas être corrigé
C'est le 22e anniversaire de l'injection SQL, et bien que cette vulnérabilité soit assez ancienne pour être consommée, nous la laissons prendre le dessus sur nous au lieu de l'éliminer définitivement.
Pour aider les développeurs à éliminer la bête de la cybercriminalité, la formation est une quête en deux parties
Les règles du jeu entre les héros et les méchants en matière de cybersécurité sont notoirement injustes. Les données sensibles sont la nouvelle monnaie d'or, et les attaquants s'adaptent rapidement pour contourner les défenses, en exploitant les failles de sécurité, petites ou grandes, à des fins potentiellement rentables.
Les codeurs conquièrent la série des 10 meilleures API de l'OWASP en matière de sécurité : manque de ressources et limitation du débit
Cette vulnérabilité se produit lorsqu'un trop grand nombre de demandes arrivent en même temps et que l'API ne dispose pas de suffisamment de ressources informatiques pour traiter ces demandes. L'API peut alors devenir indisponible ou ne pas répondre aux nouvelles demandes.
Les problèmes de cybersécurité que nous ne pouvons ignorer en 2022
Lorsqu'il s'agit de lutter contre les cybercriminels, nous devons rester aussi en phase que possible avec eux, en préemptant leurs terrains de jeu dans un esprit préventif. Voici où je pense qu'ils pourraient commencer à faire des vagues au cours de la prochaine année :
Les codeurs conquièrent l'infrastructure de sécurité en tant que série de codes : contrôle d'accès au niveau des fonctions manquant
Sans un contrôle d'accès parfaitement ordonné au niveau de l'infrastructure, toute une entreprise s'ouvre aux attaquants, qui peuvent utiliser cette vulnérabilité comme passerelle pour espionner sans autorisation ou lancer une attaque complète.
Death by Doki : une nouvelle vulnérabilité de Docker très grave (et ce que vous pouvez faire pour y remédier)
Les cyberattaques sont de plus en plus fréquentes et les menaces affectant les infrastructures basées sur Linux sont de plus en plus courantes, l'objectif final étant de saisir une opportunité de déverrouiller un coffre contenant des données sensibles stockées dans le cloud.
Les codeurs conquièrent la série des 10 meilleures API de l'OWASP en matière de sécurité : exposition excessive des données
Les mécanismes réels à l'origine de cette vulnérabilité sont similaires aux autres, mais une exposition excessive des données, dans ce cas, est définie comme impliquant des données protégées par la loi ou hautement sensibles.
Quand les micro-ondes fonctionnent mal : pourquoi la sécurité des systèmes embarqués est la prochaine bataille des développeurs
Tout comme les logiciels Web, les API et les appareils mobiles, le code vulnérable des systèmes embarqués peut être exploité s'il est découvert dans la nature par un attaquant.
Transformer la fastidieuse conformité à la norme PCI-DSS en un exercice pertinent pour tous : partie 2 - Sensibilisation des responsables de la sécurité informatique et des développeurs
Il s'agit de la deuxième partie d'une mini-série sur la conformité PCI-DSS au sein d'une organisation. Dans ce dernier chapitre, nous expliquons comment les directeurs techniques et les responsables de la sécurité informatique peuvent jouer un rôle de premier plan en matière de réduction des cyberrisques et de rendre le processus fluide, efficace... et peut-être un peu amusant pour les développeurs.
Pourquoi les injections SQL sont les cafards du monde de la sécurité des applications (et comment les RSSI peuvent les éradiquer une fois pour toutes)
Selon une théorie bien connue, les blattes peuvent survivre à pratiquement tout, même à une explosion nucléaire.
Les codeurs conquièrent la série des 10 meilleures API de l'OWASP en matière de sécurité : journalisation et surveillance insuffisantes
La faille de journalisation et de surveillance insuffisantes est principalement due à l'échec d'un plan de cybersécurité en ce qui concerne la journalisation de toutes les tentatives d'authentification échouées, de tous les accès refusés et des erreurs de validation des saisies.
Les codeurs conquièrent l'infrastructure de sécurité en tant que série de codes : cryptographie non sécurisée
De nos jours, le hachage de données critiques telles que les mots de passe, les informations personnelles et les dossiers financiers au repos est la pierre angulaire de toute défense en matière de cybersécurité.
Agir avec le NIST : notre position dirigée par l'homme sur l'avenir de la cyberdéfense
Le récent décret sur la cybersécurité de l'administration Biden a certainement fait parler le secteur de la sécurité, en particulier ceux qui cherchent à convaincre les développeurs de l'importance d'appliquer les meilleures pratiques de codage sécurisé dans leur travail quotidien.
Une cyberattaque se produit toutes les 39 secondes. Le gouvernement est-il enfin équipé pour riposter ?
Nous devons renforcer l'approche humaine des meilleures pratiques en matière de cybersécurité, et elle donnera de meilleurs résultats qu'une dépendance excessive à l'automatisation, aux outils et à la réaction à des problèmes déjà intégrés et découverts.
Informations de sécurité avancées : cours guidés aidant les développeurs à se préparer au NIST
Les développeurs font partie de ceux qui maîtrisent le mieux le code, en plus des configurations de sécurité et du contrôle d'accès. Leurs compétences en matière de sécurité doivent être renforcées, et pour atteindre les normes élevées définies par le NIST, une structure de cours pratique pourrait bien être le moyen le plus efficace d'y remédier, en particulier pour les grandes cohortes de développement.
Présentation des missions : la prochaine phase de la formation à la sécurité centrée sur les développeurs
Nous sommes ravis d'annoncer la sortie d'une toute nouvelle fonctionnalité sur la plateforme Secure Code Warrior : Missions. Cette toute nouvelle catégorie de défis constitue la prochaine étape de la formation à la sécurité pour les développeurs, qui permettra aux utilisateurs de passer du rappel des connaissances en matière de sécurité à leur application dans un environnement de simulation réel.
L'avenir du travail est flexible et c'est formidable pour la cybersécurité
Qu'il s'agisse de l'incertitude liée à une nouvelle façon de travailler, d'un peu de méfiance ou de ne pas croire au télétravail, je trouve que les entreprises qui y sont réticentes ont tendance à prendre du retard lorsqu'il s'agit d'attirer les meilleurs talents, de maintenir une présence mondiale et, franchement, d'évoluer avec leur temps.
Les codeurs conquièrent l'infrastructure de sécurité sous forme de séries de codes : stockage des mots de passe en clair
De nos jours, les mots de passe constituent la clé de la plupart des sécurités informatiques. Même si d'autres méthodes de sécurité sont utilisées, telles que l'authentification à deux facteurs ou la biométrie, la plupart des organisations utilisent toujours la sécurité par mot de passe comme élément de leur protection.
Une ligne de code, 1 million de dollars
La modification d'une ligne de code sur un équipement avionique coûte 1 million de dollars et sa mise en œuvre prend un an. Pour Southwest Airlines, dont la flotte est basée sur des Boeing 737, elle « ferait faillite »
Développez des compétences de codage sécurisé à chaque étape du SSDLC
Secure Code Warrior a créé une action GitHub qui intègre l'apprentissage contextuel à l'analyse du code GitHub. Cela signifie que les développeurs peuvent utiliser une action tierce telle que l'action Snyk Container pour détecter les vulnérabilités, puis augmenter le résultat avec un apprentissage hyperpertinent et spécifique à CWE.
Mon pentester, mon ennemi ? Les développeurs révèlent ce qu'ils pensent réellement des résultats des pentests et des analyses statiques
Les tests d'intrusion et les outils d'analyse statique (mieux connus sous le nom de SAST) ne sont qu'une partie du processus global visant à atténuer les risques de sécurité. Ils fonctionnent de manière assez indépendante de ce que nous faisons, jusqu'à ce que le code nous soit renvoyé pour les correctifs, bien sûr !
En commençant « de gauche à gauche » : le code sécurisé est-il toujours un code de qualité ?
Un code d'un certain niveau de qualité est par définition également sécurisé, mais tout code sécurisé n'est pas nécessairement de bonne qualité. Commencer « à gauche de gauche » est-il la formule pour garantir des normes de codage purement sécurisées ?
Les codeurs conquièrent l'infrastructure de sécurité sous forme de séries de codes en utilisant des composants provenant de sources non fiables
Le comportement générateur de vulnérabilités sur lequel nous allons nous concentrer ici est l'utilisation de code provenant de sources non fiables, une pratique apparemment bénigne qui pose de gros problèmes.
Problèmes de sécurité d'Equifax découverts en 2016
En 2016, un chercheur en sécurité a découvert une vulnérabilité courante connue sous le nom de script intersite (XSS) sur le site Web principal d'Equifax, selon un tweet d'un chercheur connu sous le nom de x0rz.
Les codeurs conquièrent la série des 10 meilleures API de l'OWASP en matière de sécurité : gestion inappropriée des actifs
Cette vulnérabilité est davantage un problème humain ou de gestion qui permet aux anciennes API de rester en place longtemps après avoir dû être remplacées par des versions plus récentes et plus sécurisées.
Champions contre entraîneurs : pourquoi chaque équipe de développement a besoin des deux
De nombreuses entreprises qui fixent des objectifs dans leur approche de la cybersécurité ont mis en place un programme officiel de champions de la sécurité, conférant des responsabilités clés en matière de sécurité, qu'il s'agisse de la liaison entre les équipes, du cheerleading général ou de la supervision des meilleures pratiques, aux personnes qui font preuve d'aptitude et de passion pour ce rôle.
Rust est le langage de programmation le plus apprécié pour la cinquième fois. Est-ce notre nouveau sauveur en matière de sécurité ?
Rust intègre des éléments connus et fonctionnels issus de langages couramment utilisés, selon une philosophie différente qui élimine la complexité, tout en introduisant performance et sécurité.
Les 10 meilleures séries d'API de Coders Conquer Security OWASP : fonctionnalités de sécurité désactivées/fonctionnalités de débogage activées/autorisations inappropriées
Elle est probablement un peu plus répandue dans les API, mais les attaquants tentent souvent de détecter des failles non corrigées et des fichiers ou répertoires non protégés n'importe où sur un réseau. Le fait de tomber sur une API dont le débogage est activé ou dont les fonctionnalités de sécurité sont désactivées facilite un peu leur travail néfaste.
Comment devenir un ingénieur DevSecOps génial
Le monde commence à évoluer au-delà de Waterfall, Agile et maintenant DevOps, alors quelle est la prochaine solution ? Et en tant que développeur, quel est votre rôle pour suivre le rythme de ces changements d'approche ?
Pourquoi l'apprentissage par échafaudage permet de renforcer la sécurité des développeurs
En tant qu'industrie, nous ne devons jamais nous attendre à ce que les développeurs deviennent des experts en sécurité, mais les organisations peuvent adopter de nouvelles normes pour aider les développeurs à produire des logiciels de meilleure qualité.
Les codeurs conquièrent l'infrastructure de sécurité en tant que série de codes : protection insuffisante de la couche de transport
Parfois, les applications partagent également des données avec d'autres programmes dans le cadre d'une charge de travail globale. À moins que la couche de transport ne soit protégée, elle la rend vulnérable à la fois à l'espionnage extérieur et à la visualisation interne non autorisée.
Mois national de sensibilisation à la cybersécurité : bien plus qu'une simple expédition de phishing
Chaque organisation peut profiter du Mois de la sensibilisation à la cybersécurité pour actualiser ses connaissances en matière de sécurité. Cette année, nous lançons également une nouvelle application gratuite pour la communauté des programmeurs !
Instaurer la confiance : la voie vers une véritable synergie de sécurité entre AppSec et les développeurs
Il est préférable d'aborder une relation fondée sur les bases fragiles de la méfiance avec de faibles attentes. Malheureusement, il peut s'agir de l'état de la relation de travail entre les développeurs et l'équipe AppSec au sein d'une organisation.
Les codeurs conquièrent l'infrastructure de sécurité en tant que série de codes : mauvaise configuration de la sécurité - autorisations inappropriées
Les erreurs de configuration de sécurité, en particulier celles liées à des autorisations inappropriées, se produisent le plus souvent chaque fois qu'un développeur crée un nouvel utilisateur ou autorise une application en tant qu'outil afin d'accomplir une tâche.
Les codeurs conquièrent l'infrastructure de sécurité en tant que série de codes : fonctionnalités de sécurité désactivées
Les attaquants tenteront toujours de trouver d'abord les vulnérabilités facilement exploitables et peuvent même utiliser un script pour corriger les faiblesses courantes. C'est un peu comme un voleur qui inspecte toutes les voitures d'une rue pour voir si les portes sont déverrouillées, ce qui est beaucoup plus facile que de casser une vitre.
Avez-vous surestimé la maturité de votre organisation en matière de sécurité ?
En raison de la pénurie persistante de compétences et du déluge de code écrit pour répondre aux besoins logiciels mondiaux, de nombreuses entreprises prennent du retard dans leur stratégie de cybersécurité et leur infrastructure existante. Il est temps que nous examinions honnêtement notre maturité globale en matière de cybersécurité et que nous évaluions les gains rapides viables qui se présentent à nous.
Comment les RSSI de renommée mondiale gagnent la confiance des membres du conseil d'administration et des budgets en 2023
Les RSSI se trouvent dans une situation de plus en plus difficile : protéger davantage d'actifs, envoyer plus de code, réduire la surface d'attaque et le faire avec des ressources financières qui diminuent rapidement. Il ne fait aucun doute que la cybersécurité est considérée comme un centre de coûts, et bien que le programme de sécurité d'une organisation soit ce qui empêche un acteur de la menace de faire la une des journaux de demain, les responsables de la sécurité doivent redoubler d'efforts pour vendre et prouver la valeur commerciale globale du département, dans un langage qui soit logique pour l'organe exécutif.
Favoriser un succès significatif pour les initiatives de sécurité dès la conception des entreprises
Notre dernier document de recherche, Benchmarking Security Skills : Streamlining Secure-by-Design in the Enterprise, est le résultat d'une analyse approfondie de véritables initiatives de sécurité par conception au niveau de l'entreprise et de l'élaboration d'approches basées sur les meilleures pratiques basées sur des résultats basés sur des données.
Les avantages de l'analyse comparative des compétences en matière de sécurité pour les développeurs
L'attention croissante portée au code sécurisé et aux principes de sécurité dès la conception nécessite que les développeurs soient formés à la cybersécurité dès le début du SDLC, avec des outils tels que le Trust Score de Secure Code Warrior qui permettent de mesurer et d'améliorer leurs progrès.
Le score de confiance révèle la valeur des initiatives de renforcement des compétences sécurisées dès la conception
Nos recherches ont montré que la formation au code sécurisé fonctionne. Trust Score, qui utilise un algorithme s'appuyant sur plus de 20 millions de points de données d'apprentissage issus du travail de plus de 250 000 apprenants dans plus de 600 organisations, révèle son efficacité pour réduire les vulnérabilités et comment rendre l'initiative encore plus efficace.
Analyse comparative des compétences en matière de sécurité : rationalisation de la sécurité dès la conception dans l'entreprise
Il est notoirement difficile de trouver des données pertinentes sur le succès des initiatives de sécurisation dès la conception. Les RSSI sont souvent confrontés à des défis lorsqu'ils tentent de prouver le retour sur investissement (ROI) et la valeur commerciale des activités des programmes de sécurité, tant au niveau des personnes que de l'entreprise. Sans oublier qu'il est particulièrement difficile pour les entreprises de se faire une idée de la manière dont leurs organisations sont comparées aux normes actuelles du secteur. La stratégie nationale de cybersécurité du président a invité les parties prenantes à « intégrer la sécurité et la résilience dès la conception ». La clé pour que les initiatives de sécurité dès la conception fonctionnent est non seulement de donner aux développeurs les compétences nécessaires pour garantir un code sécurisé, mais également de garantir aux régulateurs que ces compétences sont en place. Dans cette présentation, nous partageons une myriade de données qualitatives et quantitatives, dérivées de plusieurs sources primaires, y compris des points de données internes collectés auprès de plus de 250 000 développeurs, des informations sur les clients basées sur les données et des études publiques. En tirant parti de cette agrégation de points de données, nous visons à communiquer une vision de l'état actuel des initiatives de sécurisation dès la conception dans de nombreux secteurs verticaux. Le rapport explique pourquoi cet espace est actuellement sous-utilisé, l'impact significatif qu'un programme de renforcement des compétences réussi peut avoir sur l'atténuation des risques de cybersécurité et la possibilité d'éliminer des catégories de vulnérabilités d'une base de code.
Reclaiming Critical Thinking in AI-Augmented Secure Software Development
The AI debate isn't about use, but application. Discover how to balance the need for AI productivity gains with robust security by relying on developers who deeply understand their code.
.avif)
The Agentic Era Arrived Early. Don’t Get Caught Off Guard by Late AI Governance.
Anthropic's Claude Mythos represents a permanent, fundamental shift in how every security leader must approach their security program, especially with patch management of legacy systems.
Forgez votre forteresse : six piliers essentiels de l'habilitation des développeurs en matière de sécurité logicielle
Dans ce livre blanc, Matias Madou, Ph.D., expert en sécurité, directeur technique et cofondateur de Secure Code Warrior, abordera les six piliers dont vous avez besoin pour déployer une formation et une activation efficaces en matière de sécurité pour votre cohorte de développement. Les leçons apprises par dix dirigeants qui mettent en œuvre des programmes de sécurité au niveau de l'entreprise et les pièges courants à éviter sur la voie du succès.