Le meilleur du brunch : nos leaders en matière d'AppSec partagent leur sagesse

Tout au long de ma carrière en tant que professionnel de la sécurité des applications, j'ai eu la chance de rencontrer et de nouer des contacts avec certains des talents les plus incroyables du secteur, chacun ayant contribué à sécuriser et à renforcer les réseaux de code en constante augmentation dans le monde. À ce stade de mon parcours (avec un peu plus de connaissances et beaucoup moins de cheveux !) , on me demande souvent de m'adresser aux futures stars de la sécurité logicielle, et c'est un travail que j'adore. Cependant, je comprends également à quel point il est important d'être visible en tant que leader et mentor pour ceux qui cherchent à se démarquer et à évoluer dans leurs rôles.

Récemment, j'étais à Londres avec certains des Secure Code Warrior équipe, et nous avons organisé un brunch dans le but de réunir une poignée de superstars de l'AppSec pour le réseautage, les idées et une pâtisserie ou deux. Devant plus de soixante invités, ils ont fait part de leur riche expertise dans le cadre d'un panel d'experts, suscitant l'intérêt de tous pour l'avenir de la sécurité des applications.

En abordant des sujets d'actualité tels que la manière de tirer le meilleur parti du budget d'une entreprise en matière de sécurité des applications, ainsi que plusieurs questions pointues posées par le public, le panel a livré une véritable magie matinale qui aidera sans aucun doute les responsables de la sécurité, les spécialistes et leurs développeurs à mettre en place des programmes viables au sein de leurs organisations.

Nous avons eu le privilège d'accueillir les dirigeants suivants pour le panel, Outils contre. Personnel : votre budget AppSec répond-il de manière adéquate à ces deux aspects ?

• Vincent Gilbert, directeur de la sécurité informatique, Société Générale
• Cédric Levy-Bncheton, PDG, Cétome
• Reena Shah, responsable de la culture et de la sensibilisation à la sécurité et à la confidentialité, M&G Prudential
• Lee Thurlow, directeur mondial de la sécurité des applications, Pearson
• Lewis Bramfitt, directeur général, Laboratoire Bramfitt.

Chaque intervenant a fait part de ses réflexions sur le paysage des outils AppSec (spoilers) : étant donné que de nombreuses organisations génèrent une telle quantité de logiciels, il peut être difficile de sélectionner des outils qui remplissent toutes les fonctions dont vous avez besoin. Après tout, aucun outil ne peut tout couvrir à lui seul).

Reena Shah a également soulevé un point intéressant. En quelques années à peine, nous avons assisté à une évolution positive de la perception de la sécurité des applications au sein des grandes entreprises, ce qui a permis à un élément essentiel de commencer à prendre forme : l'investissement dans le personnel pour défendre les meilleures pratiques et la culture de sécurité :

« Je pense que cela est en train de changer. Lorsque j'ai commencé il y a quatre ans, il était très difficile de trouver un budget et une équipe en matière de culture et de sensibilisation à la sécurité. Et ce que je découvre maintenant, c'est que ce n'est plus mon défi. Il est très facile pour moi de dire : « C'est le budget dont j'ai besoin, ce sont les personnes dont j'ai besoin pour réduire les risques. Je constate un changement radical, et je pense que c'est parce que le conseil d'administration - et la haute direction - comprennent à quel point il est important de fournir des fonds pour nous aider à réduire les incidents de sécurité. » Elle a dit.

Vous pouvez regarder le panel complet dès maintenant :

Pour moi, il est incroyablement rafraîchissant de voir l'avenir d'AppSec mettre l'accent sur la formation et les connaissances appropriées pour les développeurs en première ligne, afin de leur permettre de se défendre solidement contre des vulnérabilités séculaires qui persistent encore aujourd'hui.

Les outils fournissent un niveau d'assistance, mais en réalité, il est temps de faire face aux faits. Il faut simplement arrêter de répéter les mêmes erreurs.

Fermeture de la boucle d'erreur AppSec

Dans le cadre du brunch Leaders in AppSec, j'ai également fait une présentation sur la manière dont nous pouvons résoudre le problème coûteux et récurrent des mêmes failles de sécurité qui apparaissent à plusieurs reprises. Les outils peuvent les détecter, mais ils ne font pas grand-chose pour les empêcher. Les développeurs doivent recevoir la formation appropriée pour arrêter leur introduction en premier lieu.

Et bien, nous, les développeurs, sommes un groupe amusant. Certaines formations sont beaucoup plus efficaces que d'autres en termes d'engagement et de rétention. Vous pouvez regarder ma présentation dans son intégralité ici :

L'accent est mis sur formation en matière de sécurité, ainsi qu'une prise de conscience générale et une culture positive entre les développeurs et AppSec, c'est comme de la kryptonite pour un attaquant. Ces petites portes dérobées se ferment, ces moyens simples d'accéder à nos données s'assèchent, et les superhéros de la sécurité travaillent ensemble pour faire de la sécurité un synonyme de qualité logicielle.

Lentement mais sûrement, nous y arrivons.