Pourquoi il ne faut jamais négliger le facteur humain en matière de cybersécurité

Nous avons récemment été très heureux de voir le premier Poste du Forbes Technology Council par notre président-directeur général, Pieter Danhieux, en ligne. L'article expliquait en quoi le renforcement des compétences des développeurs pour créer un code plus sécurisé est essentiel pour prévenir les cyberattaques et les violations de données. De plus, il a révélé comment ces mêmes développeurs soucieux de la sécurité peuvent contribuer à fournir un code de meilleure qualité et plus sécurisé, plus rapidement que ne le pensent de nombreux services informatiques. La nécessité de cette approche est certainement impérieuse. Une étude récente a révélé que une cyberattaque se produit désormais toutes les 39 secondes, et nous avons tous été témoins des perturbations causées par une seule attaque de ransomware réussie sur le Pipeline Colonial, qui, dans l'ensemble, n'était pas aussi destructeur que le SolarWinds hack.

‍

De nombreuses vulnérabilités courantes persistent parce que personne n'a jamais pris la peine de montrer aux développeurs comment remplacer les mauvais modèles de codage par une meilleure méthode d'exécution des mêmes fonctions, de manière plus sûre et plus sécurisée. Et l'impact de la correction d'un logiciel à un stade avancé de son développement est extrêmement coûteux, à la fois en termes d'heures passées et de retards de déploiement. Corriger le code une fois qu'il a été déployé, en particulier lorsqu'un attaquant a exploité une vulnérabilité non découverte auparavant, peut parfois coûter des millions de dollars. Et cela ne prend même pas en compte l'atteinte à la réputation d'une entreprise à la suite d'une violation majeure.

Les développeurs formés à la sécurité deviennent naturellement de meilleurs codeurs. Les RSSI ne devraient certainement pas abandonner leurs outils de sécurité de sitôt, mais en adoptant une approche de sécurité inclusive et préventive depuis le sommet, les RSSI peuvent tirer parti de la plus grande ressource de leur entreprise, le facteur humain, en particulier lorsqu'il s'agit de sécuriser le codage dès le début du cycle de développement logiciel.

Pour ce faire, voici les trois principales stratégies de haut niveau à garder à l'esprit.

1. Soyez proactif, pas réactif

Les entreprises tombent souvent dans le piège de la réactivité, par exemple en réagissant à ce que fait la concurrence au lieu de développer et de poursuivre une vision unique. Beaucoup adoptent également cette approche lorsqu'il s'agit de failles de sécurité dans le code, ne prenant la cybersécurité au sérieux que lorsque cela est contraint de le faire à la suite d'une violation réussie. Malheureusement, d'ici là, le mal est fait : les amendes, les frais de recouvrement, l'attrition des clients et la restauration de la marque se répercutent sur les résultats financiers. Une autre forme de réaction plutôt que d'action consiste à s'appuyer sur l'analyse automatique ou manuelle du code pour détecter les vulnérabilités dans le code existant au lieu de se concentrer sur la création de code sécurisé en premier lieu. Malheureusement, la numérisation de code n'est pas une solution parfaite, ce qui signifie que plus le code contient de vulnérabilités, plus il y a de chances que certaines d'entre elles passent à travers.

Ce n'est qu'en adoptant une approche proactive et en collaborant avec les développeurs pour les aider à créer un code sécurisé dès le départ que vous pourrez établir un cycle de vie de développement logiciel qui réduit considérablement la possibilité que des vulnérabilités de codage soient divulguées aux utilisateurs.

2. Améliorez vos compétences, n'exagérez pas

Une fois que vous avez décidé de fournir aux développeurs les connaissances dont ils ont besoin pour créer du code sécurisé, choisissez judicieusement votre approche. Les ateliers de formation internes qui interrompent le codage frustrent aussi bien les développeurs que les managers. Les cours hors site qui nécessitent une participation le soir ou le week-end sont encore moins populaires. La meilleure approche consiste à développer progressivement les compétences en matière de codage, fournir des informations pertinentes étape par étape pendant le processus de codage — essentiellement l'amélioration des compétences sans distraire les développeurs de manière significative ni ralentir le processus de développement.

3. Incitez, ne présumez pas

Les développeurs ne doivent pas considérer le renforcement des compétences en matière de sécurité comme une punition ou une corvée totale. Les responsables doivent inspirer les développeurs en expliquant le rôle important que joue le code sécurisé dans le succès de l'entreprise. Il est également important de faire comprendre que les codeurs sécurisés sont plus précieux pour l'entreprise et bénéficieront d'opportunités de carrière élargies à l'avenir.

L'administration Biden est bien accueillie Décret exécutif a mis davantage l'accent sur la cybersécurité et sur la nécessité « d'inclure des critères pour évaluer les pratiques de sécurité des développeurs et des fournisseurs eux-mêmes, et d'identifier des outils ou des méthodes innovants pour démontrer la conformité aux pratiques sécurisées ». Mais si l'outillage est essentiel, il ne suffit pas. Aucun outil n'éliminera complètement la capacité d'un individu à ignorer, à mal comprendre, à abuser ou à contourner les systèmes et les outils mis en place. Pour optimiser la sécurité de leurs entreprises, les RSSI doivent tirer parti du facteur humain et encourager les développeurs à devenir des partisans et des praticiens volontaires de la sécurité.