Prévisions 2024 : sécurité, IA, rétention des développeurs et perspectives d'avenir

Nous sommes arrivés à cette période de l'année. Le moment de réfléchir à tout ce qui s'est passé, à ce que nous pensions voir arriver et qui ne s'est pas produit, aux leçons apprises et à ce qui, selon nous, façonnera les décisions, les actions et les résultats des 12 prochains mois.

Une conjoncture économique difficile, l'émergence de nouvelles menaces en cybersécurité et l'introduction de l'IA auprès du grand public ont marqué une année 2023 intéressante pour le DevSecOps. Plus curieux encore, aucun de ces éléments n'est derrière nous alors que nous tournons la page pour entamer 2024. Ils sont au cœur des préoccupations des organisations, de leurs équipes de développement et de cybersécurité, ainsi que des régulateurs gouvernementaux.

Alors que les priorités évoluent rapidement, voici les principales prédictions de Secure Code Warrior pour les 12 prochains mois :

Les organisations accorderont une importance capitale à la rétention des développeurs

Les développeurs apportent une valeur immense aux organisations et à leurs clients. Il appartient désormais aux organisations de démontrer leur valeur et d'apprécier ce que les développeurs peuvent apporter à leurs résultats financiers. Davantage d'investissements seront consacrés aux stratégies de rétention, aux programmes et aux efforts visant à garantir que les développeurs soient encouragés à faire de leur employeur actuel leur destination de carrière à long terme. L'apprentissage et le développement constitueront un différenciateur majeur pour ces entreprises.

Les exigences accrues envers les développeurs placeront le contenu et les intégrations au premier plan.

La pression exercée sur les développeurs ne diminuera pas de sitôt, les organisations souhaitant toujours plus de logiciels et une transformation numérique continue pour satisfaire leurs clients plus rapidement. Pour que les développeurs restent performants, anticipent les obstacles émergents dans les cycles de vie du développement logiciel (SDLC) et accèdent à davantage de ressources pour accélérer l'innovation, le contenu pédagogique et les intégrations tierces seront d'une importance capitale.

Les outils d'IA sont le nouveau Stack Overflow

Tout comme les développeurs se tournent vers Stack Overflow ou des forums open source pour obtenir de l'aide, ils commenceront à se tourner vers les outils d'IA. Cependant, cela crée un faux sentiment de sécurité. Les développeurs utiliseront l'IA comme un « canal d'assistance », mais les organisations réaliseront que cette approche ne suffit pas.

La remédiation par l'IA est là pour durer

L'IA ne remplacera pas le développeur demain, mais la technologie s'intègre de plus en plus dans le cycle de vie du développement logiciel (SDLC), créant un processus plus fiable pour éviter l'introduction de vulnérabilités ou pour identifier une correction compatible. Nous assisterons inévitablement à davantage d'expérimentations tout au long de l'année, ce qui entraînera un changement dans le comportement des développeurs, les investissements organisationnels, la réaffectation du personnel et de nouvelles approches de la gestion des risques en cybersécurité.

Dépendance à l'IA + croissance explosive des API = mesures réglementaires

Le nombre d'entreprises qui alimentent leur activité grâce à la création et à l'activation accélérées d'API a considérablement élargi le vecteur de menace lié aux API. Avec la propension de l'utilisation de l'IA à augmenter de façon exponentielle la vitesse à laquelle les API sont créées et lancées, une meilleure gouvernance de la sécurité des API devra devenir une priorité, et de nouvelles mesures réglementaires seront certainement introduites.

Plus de conséquences pour les éditeurs de logiciels qui ne livrent pas de code sécurisé

La directrice de la CISA, Jen Easterly, a clairement fait savoir que les éditeurs de logiciels ne devraient pas être autorisés à « se dédouaner » en matière de sécurité au sein de leurs produits. Bien que les pouvoirs de la CISA soient limités — aidant à appliquer des pratiques de conception sécurisée (Secure-by-Design) aux fournisseurs qui vendent aux agences fédérales — l'incident MOVEit plus tôt cette année a réaffirmé que les grands éditeurs de logiciels doivent atteindre et dépasser une nouvelle référence. Il faut plus de responsabilité et plus de conséquences pour sanctionner les récidivistes qui livrent du code non sécurisé.

Le Top 10 de l'OWASP pour 2024 mettra l'accent sur les failles de conception

En matière de conception sécurisée, l'OWASP a introduit en 2021 la catégorie « Insecure Design », axée sur les failles et problèmes de sécurité architecturaux. À l'approche de leur prochain Top 10 (prévu pour 2024), les discussions au niveau exécutif porteront davantage sur la distinction entre conception et implémentation non sécurisées, en insistant sur le cycle de vie de développement logiciel sécurisé (SSDLC) et la modélisation des menaces.

Les fournisseurs DevSecOps devront démontrer un retour sur investissement concret pour convaincre les différents décideurs.

Pour réussir dans un cycle de vente concurrentiel, les fournisseurs devront adapter leur discours aux différents secteurs de l'entreprise. Traditionnellement, ils s'adressent aux RSSI. En 2024, il sera crucial de prouver la réduction des risques dans des contextes spécifiques pour les responsables de la formation et du DevOps/AppSec, en plus des équipes de sécurité.

Le « contrôle d'accès » sera la clé de la maturité en matière de sécurité logicielle.

Les RSSI doivent prouver la valeur métier et l'efficacité de leurs programmes. Les développeurs devront démontrer leur sensibilisation à la sécurité avant de travailler sur des dépôts sensibles. Ceux qui adoptent une approche de « contrôle » et privilégient le code sécurisé dès le début du processus positionneront mieux leurs équipes pour l'excellence.

La sécurité réactive sera considérée comme dépassée.

Alors que la cyber-résilience devient une priorité, ceux qui se limitent à la réaction et à la gestion des incidents s'exposent à des risques inacceptables. Le « Shift left » doit dépasser le stade du simple mot à la mode : la sécurité au niveau du code doit être prioritaire, tout comme la montée en compétences des développeurs. Plus que jamais, gouvernements et entreprises doivent s'engager dans une approche préventive où chacun partage la responsabilité.

Leader de l'éducation et de l'implémentation du code sécurisé, nous sommes impatients de collaborer avec nos 600+ clients pour anticiper ces évolutions. À quoi ressemble votre année 2024 et comment Secure Code Warrior peut-il vous aider ?

Vous souhaitez en savoir plus ? Suivez-nous sur X et LinkedIn pour rester informé de toutes nos actualités.