Un avenir meilleur pour le DevSecOps ? C'est plus proche que vous ne le pensez

J'ai eu le plaisir de contribuer, aux côtés d'autres experts, à un article très instructif de Suparna Goswami dans Data Breach Today. Comme elle le souligne, tout le monde s'accorde à dire qu'intégrer la sécurité dès le début du cycle de vie du développement logiciel (SDLC) est essentiel pour prévenir les violations de données, mais c'est plus facile à dire qu'à faire. On y trouve des analyses pertinentes de RSSI, ainsi que les résultats d'une enquête récente montrant que le principal défi de la sécurité applicative dans les flux CI/CD est : "le manque d'outils de test de sécurité automatisés et intégrés".

À mon sens, le DevSecOps doit commencer dès que le développeur écrit son code. Pour que le DevSecOps soit efficace, il faut avant tout que les développeurs disposent de la formation, des compétences et des outils nécessaires pour coder de manière sécurisée dès le départ. Si les développeurs apprenaient à écrire du code sécurisé en temps réel, ou mieux encore, à éviter de créer la plupart des bugs, les responsables de la sécurité et les outils de test pourraient se concentrer sur la détection et la résolution rapide des vulnérabilités les plus complexes.

Il existe de nombreuses solutions pour détecter les vulnérabilités dans le code, mais la sécurité doit davantage mettre l'accent sur la formation des développeurs aux directives de sécurité afin d'éviter qu'ils ne commettent ces erreurs dès le départ.

Les développeurs doivent être accompagnés pour écrire du code sécurisé et corriger la grande majorité de leurs erreurs au moment même où ils codent. Je suis fier de dire que la technologie permettant d'y parvenir existe désormais. Tout comme les correcteurs orthographiques et grammaticaux aident les rédacteurs, les développeurs peuvent désormais être assistés en temps réel pour coder de manière sécurisée, en suivant les directives linguistiques et les politiques de sécurité appropriées. À mon avis, c'est là que réside l'avenir du DevSecOps.

C'est précisément ce que propose Sensei de Secure Code Warrior : il agit comme un coach de sécurité en temps réel pour les équipes de développement, supervisé par l'AppSec, garantissant que les directives de sécurité sont toujours à portée de main du développeur. Cela les aide à coder de manière plus cohérente, plus sécurisée et plus rapide. Dans notre programme d'adoption précoce, nous avons constaté que le temps de résolution des problèmes est passé d'une moyenne de trois heures par bug à seulement dix minutes.

Nous devons utiliser des outils de sécurité capables de s'adapter au rythme du DevSecOps, avec efficacité et, surtout, avec précision. Il est temps de viser un standard plus élevé en matière de sécurité logicielle.

Il existe de nombreuses solutions pour détecter les vulnérabilités dans le code, mais la sécurité doit davantage mettre l'accent sur la formation des développeurs aux directives de sécurité afin d'éviter qu'ils ne commettent ces erreurs dès le départ.