À la conquête de l'or : les normes de sécurité en matière de code augmentent en flèche chez Paysafe

Paysafe aide à transformer les transactions financières en expériences fondées sur la confiance, et l'entreprise sait que fournir une plateforme sécurisée et fluide qui traite plus de 152 milliards de dollars de volumes de transactions annualisés ne se limite pas au simple respect des normes de conformité de base. Au cours des quatre dernières années, Paysafe a continué de promouvoir une approche globale de la gestion des risques des développeurs grâce à son partenariat avec Secure Code Warrior, dont le programme de sécurité des applications a démontré un impact positif sur les besoins généraux de l'entreprise, notamment :

‍
Le défi : améliorer les normes de sécurité en matière de code au sein de Paysafe

En tant que fournisseur de paiement en ligne multinational, Paysafe a toujours considéré le codage sécurisé comme une priorité stratégique qui va au-delà du simple respect des exigences de conformité PCI DSS. Bien que des sessions formelles de formation en classe animées par des experts et des évaluations des compétences aient fait partie de leurs premiers efforts, l'objectif de Paysafe a toujours été d'élargir continuellement la portée et l'ampleur de son initiative de codage sécurisé, en garantissant une approche de premier ordre en matière de sécurité des applications et en veillant à ce que les ingénieurs écrivent du code sécurisé dès le départ.

« Pour nous, il ne s'est jamais contenté de cocher une case indiquant que nous avons dispensé une formation. Notre objectif est de tenir notre personnel au courant des développements en cours. Nous nous efforçons toujours de nous améliorer et d'en faire plus. Nous voulons que les équipes d'ingénierie et les équipes de sécurité collaborent. Les équipes qui peuvent se développer elles-mêmes sont mieux informées et conçoivent un meilleur code », explique Boyan Hristov, partenaire de développement personnel chez Paysafe.

La vision de Paysafe était de déplacer la sécurité vers la gauche, en formant des ingénieurs conscients de la sécurité qui intègrent des pratiques de codage sécurisées à chaque étape du cycle de vie du développement logiciel. Pour y parvenir, ils avaient besoin d'un programme évolutif, engageant et continu qui non seulement fournirait des preuves d'audit à des fins de conformité à la norme PCI, mais entraînerait également un changement culturel profond et durable. Cela comprenait des expériences d'apprentissage ludiques, des tournois réguliers et des formations continues pour aider les développeurs à rester à la pointe des tendances du secteur en matière de sécurité.

La solution : une approche de pointe avec Secure Code Warrior

Paysafe a adopté la plateforme de gestion des risques pour les développeurs de Secure Code Warrior pour aider à développer les pratiques de codage sécurisées, à impliquer des ingénieurs et à intégrer la sécurité plus tôt dans le cycle de développement. Leur programme Security Champions s'est développé au fil du temps, Secure Code Warrior jouant un rôle essentiel dans la réalisation des objectifs de prévention des cyberrisques.

Paysafe a permis aux développeurs de s'engager de manière organique avec la plateforme, en encourageant des activités ludiques telles que des tournois avec des prix alléchants pour impliquer et enthousiasmer les développeurs. Lors du déploiement initial du programme, l'entreprise a rendu certaines évaluations obligatoires pour répondre aux exigences de conformité PCI et a proposé d'autres contenus et activités en option.

Au fur et à mesure que le programme gagnait du terrain, la direction a apporté un soutien supplémentaire, alignant ainsi davantage les objectifs des équipes de développement et de sécurité de l'information. Cela a permis à l'équipe Paysafe de faire passer le programme au niveau supérieur et d'introduire des programmes de certification plus formels avec des KPI désignés et des incitations à la réussite.

La phase suivante du programme s'est concentrée sur les 10 principaux sujets standard de l'OWASP, avec des étapes de certification permettant aux développeurs de progresser à travers différents niveaux de réussite. Aujourd'hui, le programme a atteint un nouveau niveau d'envergure et de maturité, élevant les normes de base pour les développeurs à tous les niveaux, des employés à temps plein aux travailleurs occasionnels.

‍« Nous apprécions beaucoup le partenariat que nous avons établi avec SCW au cours des quatre dernières années. Ensemble, nous avons été en mesure de proposer une formation ciblée sur la sécurité des applications et de renforcer les relations entre nos équipes de sécurité et d'ingénierie, ancrées dans un engagement commun à développer du code sécurisé pour la première fois et le plus tôt possible dans le SDLC », déclare Alan Osborne, directeur de la sécurité informatique chez Paysafe.

Grâce au soutien et à l'alignement continus du CISO, du CTO et des dirigeants de l'ingénierie, Paysafe s'est associé à Secure Code Warrior pour faire évoluer continuellement son programme. Aujourd'hui, le programme est étroitement aligné sur les besoins de l'entreprise, fournit des résultats tangibles et reste pertinent et intéressant pour les équipes internes.

Résultats : une nouvelle norme pour le code sécurisé dans l'ensemble de l'organisation

Les initiatives de sécurité des applications de Paysafe se sont améliorées depuis le début de leur parcours il y a quatre ans. Grâce à son partenariat avec Secure Code Warrior, Paysafe a démontré l'impact considérable qu'une approche holistique de la gestion des risques pour les développeurs peut avoir sur l'ensemble de l'organisation.

L'analyse des données de scan SAST par Paysafe a montré que les applications développées par des équipes formées avec Secure Code Warrior présentaient une réduction notable des vulnérabilités détectées lors des premières analyses de développement. Le nombre de vulnérabilités détectées lors de la première analyse a encore diminué dans les équipes où les développeurs étaient plus activement impliqués dans la plateforme SCW.

L'équipe ayant le plus haut niveau d'activité et d'engagement dans Secure Code Warrior a constaté une réduction significative, année après année, des vulnérabilités découvertes au cours des premières phases de développement, mettant en évidence la valeur ajoutée d'une formation continue basée sur les compétences pour renforcer les habitudes de codage sécurisé. La création d'un code sécurisé dès le départ a permis à leur équipe et aux autres équipes du SDLC de gagner beaucoup de temps. Des milliers d'heures de développement ont été économisées en éliminant le besoin d'identifier, de consigner et de retravailler les vulnérabilités du code en les prévenant dès le début du développement. Cela s'est traduit par une amélioration de 45 % de la productivité des développeurs, ce qui a permis de démontrer les avantages de la mise à niveau des compétences en matière de code sécurisé et de l'amélioration du processus de développement quotidien. Une solution gagnant-gagnant pour les équipes d'ingénierie comme pour les équipes AppSec.

L'engagement de Paysafe en faveur du code sécurisé l'a aidée à se démarquer et à atteindre la quatrième place du SCW Trust Score^® dans le cadre de l'indice de référence des services bancaires et financiers. Bien qu'il s'agisse d'une réalisation dont ils sont fiers, l'engagement de Paysafe en faveur d'initiatives de code sécurisé ne s'arrête pas là. Encouragée par les résultats obtenus grâce à son partenariat avec Secure Code Warrior, Paysafe cherche à améliorer encore le programme.

« Secure Code Warrior nous a aidés à augmenter la productivité des développeurs, à accélérer notre capacité à commercialiser des produits et des améliorations, et à réduire considérablement les coûts et les risques au fil du temps », déclare Alan Osborne, directeur de la sécurité informatique chez Paysafe. « Nous avons démontré que le codage sécurisé, soutenu par une formation améliorée pour les développeurs, n'est pas simplement un avantage, mais qu'il s'agit d'un investissement éprouvé qui génère un réel retour sur investissement tout en renforçant les compétences, l'expérience et les capacités de nos développeurs. »

Ensuite, Paysafe vise à rendre ses normes de sécurité plus opérationnelles en incorporant des mesures supplémentaires de gouvernance et de gestion des risques dans son processus, SCW Trust Agent approfondissant son partenariat de longue date avec Secure Code Warrior et démontrant son engagement en faveur de l'excellence en matière de cybersécurité.