Le meilleur du brunch : nos leaders de l'AppSec partagent leur sagesse

Tout au long de ma carrière dans l'AppSec, j'ai eu la chance de rencontrer et d'échanger avec certains des talents les plus incroyables du secteur, chacun contribuant à sécuriser et à renforcer les réseaux de code toujours plus vastes de notre monde. À ce stade de mon parcours (avec un peu plus de connaissances et beaucoup moins de cheveux !), on me demande souvent de m'adresser aux futures stars de la sécurité logicielle, un rôle que j'adore. Cependant, je mesure aussi l'importance d'être visible en tant que leader et mentor pour ceux qui cherchent à s'affirmer et à évoluer dans leurs fonctions.

Récemment, j'étais à Londres avec une partie de l'équipe de Secure Code Warrior, et nous avons organisé un brunch dans le but de réunir quelques superstars de l'AppSec pour réseauter, partager des idées et déguster quelques viennoiseries. Devant plus de soixante invités, ils ont partagé leur riche expertise lors d'une table ronde, enthousiasmant l'auditoire sur l'avenir de la sécurité des applications.

En abordant des sujets brûlants comme l'optimisation du budget AppSec d'une organisation, ainsi que plusieurs questions complexes du public, le panel a offert une matinée inspirante qui aidera sans aucun doute les responsables de la sécurité, les spécialistes et leurs développeurs à bâtir des programmes viables au sein de leurs organisations.

Nous avons eu le privilège d'accueillir les leaders suivants pour le panel : Outils vs Humains : votre budget AppSec répond-il adéquatement aux deux ?

• Vincent Gilbert, CISO, Société Générale
• Cédric Levy-Bencheton, PDG, Cetome
• Reena Shah, Responsable de la culture et de la sensibilisation à la sécurité et à la confidentialité, M&G Prudential
• Lee Thurlow, Directeur mondial AppSec, Pearson
• Lewis Bramfitt, Directeur général, Bramfitt Lab.

Chaque intervenant a partagé ses réflexions sur le paysage des outils AppSec (spoiler : avec tant d'organisations produisant autant de logiciels, choisir des outils couvrant toutes les fonctions nécessaires peut s'avérer être un véritable champ de mines. Après tout, aucun outil unique ne peut tout faire).

Reena Shah a également soulevé un point intéressant. En quelques années seulement, nous avons constaté une évolution positive de la perception de l'AppSec au sein des grandes organisations, permettant à un élément critique de prendre forme : l'investissement dans les personnes pour promouvoir les meilleures pratiques et la culture de sécurité :

"Je pense que les choses changent. Quand j'ai commencé il y a quatre ans, obtenir un budget et une équipe dédiés à la culture et à la sensibilisation à la sécurité était très difficile. Aujourd'hui, ce n'est plus un défi. Il m'est facile de dire : "voici le budget et les ressources nécessaires pour réduire les risques". Je constate un changement massif, car la direction et les cadres dirigeants comprennent l'importance de financer la réduction des incidents de sécurité", a-t-elle déclaré.

Vous pouvez regarder l'intégralité du panel dès maintenant :

Pour moi, il est extrêmement rafraîchissant de voir l'avenir de l'AppSec mettre l'accent sur une formation adaptée pour les développeurs en première ligne, leur permettant de constituer une défense solide contre des vulnérabilités anciennes qui refont encore surface.

Les outils offrent un niveau de soutien, mais soyons réalistes : il est temps d'arrêter de répéter les mêmes erreurs.

Fermer la boucle des erreurs AppSec

Dans le cadre du brunch des Leaders in AppSec, j'ai également présenté une intervention sur la manière de résoudre le problème coûteux et récurrent des vulnérabilités de sécurité qui apparaissent encore et encore. Les outils peuvent les détecter, mais ils ne font pas grand-chose pour les prévenir. Les développeurs doivent recevoir la formation adéquate pour empêcher leur introduction dès le départ.

Et, disons-le, nous les développeurs, nous sommes une drôle de tribu. Certaines formations sont bien plus efficaces que d'autres en termes d'engagement et de rétention. Vous pouvez regarder ma présentation complète ici :

Mettre l'accent sur la formation à la sécurité, ainsi que sur la sensibilisation générale et une culture positive entre développeurs et experts AppSec, agit comme de la kryptonite pour un attaquant. Ces petites portes dérobées se ferment, ces accès faciles à nos données se tarissent, et les super-héros de la sécurité collaborent pour faire rimer sécurité avec qualité logicielle.

Doucement, mais sûrement, nous y arrivons.