Instaurer la confiance : la voie vers une véritable synergie entre AppSec et développeurs

Une version de cet article a été publiée dans Cyber Defense Magazine. Il a été mis à jour et syndiqué ici.

Une relation bâtie sur les fondations fragiles de la méfiance ne peut, en toute honnêteté, qu'être abordée avec des attentes limitées. Malheureusement, c'est souvent le cas de la relation de travail entre les développeurs et l'équipe de sécurité applicative (AppSec) au sein d'une organisation. Généralement glaciale et marquée par une tendance à se mettre mutuellement des bâtons dans les roues, la situation est loin d'être idéale et conduit à de piètres résultats dans un monde où la dépendance technologique présente des risques élevés.

Les développeurs s'épanouissent dans la résolution de problèmes, la création de fonctionnalités et l'expression de leur créativité. L'équipe AppSec, en revanche, a la tâche ingrate de débusquer les failles de sécurité dans leur code, de le renvoyer pour correction et de fournir des audits et des rapports qui ternissent l'éclat des projets favoris des ingénieurs. Il serait injuste de blâmer uniquement les développeurs — la sécurité n'est ni leur priorité ni une partie de leurs indicateurs de performance — et l'équipe AppSec, déjà surchargée, ne peut être pénalisée pour avoir simplement fait son travail. Cependant, pour garantir les meilleures pratiques de cybersécurité et de meilleurs résultats au niveau organisationnel, il est impératif qu'ils commencent à collaborer harmonieusement.

Et tout commence par la confiance.

L'image de « méchant » qui colle à l'AppSec entrave l'harmonie du DevSecOps.

Si vos seules interactions avec quelqu'un surviennent lorsqu'il souligne vos erreurs, il est fort probable que ses interventions ne soient pas accueillies favorablement.

Rarement sollicitée sauf en cas de problème, la présence de l'équipe de sécurité, perçue négativement, tend à créer des frictions. La relation est fracturée depuis longtemps : les développeurs voient l'équipe AppSec comme un frein à leur créativité, à leurs processus et à la livraison ponctuelle des fonctionnalités, tandis que l'AppSec s'épuise à signaler continuellement des failles de sécurité courantes dont les remèdes existent depuis des décennies.

Face à des délais de plus en plus intenables, des équipes sous-dotées et un désir ardent d'éviter de retravailler le code, les développeurs attendent souvent le dernier moment pour livrer, réduisant ainsi au minimum la fenêtre d'opportunité pour l'examen et l'intervention de l'AppSec. Ce processus dysfonctionnel a un impact inacceptable en augmentant les risques de cybersécurité pour l'organisation.

Pour les spécialistes de la sécurité, c'est le classique « ne tirez pas sur le messager » : après tout, leur travail consiste à trouver des bugs et à les signaler pour qu'ils soient corrigés, rien de personnel. Le point de friction réside dans le fait qu'ils font souvent des recommandations inadaptées à la pile technologique de l'entreprise, ce qui les rend largement inutiles dans la vision globale du développement logiciel interne.

L'idée de l'AppSec en tant que « méchant » est contre-intuitive pour la plupart des méthodologies de développement, mais pour le DevSecOps, c'est un désastre. L'étalon-or a largement dépassé le Waterfall, l'Agile et même le DevOps, pour évoluer vers un processus où la sécurité est considérée comme une responsabilité partagée dès le début du cycle de vie du développement logiciel (SDLC).

Pour que le DevSecOps fonctionne, les ingénieurs logiciels doivent avoir une raison de se soucier de la sécurité, ce qui passe par la compréhension de l'importance de leur rôle dans la sécurisation des logiciels mondiaux. Les spécialistes de la sécurité qui font l'effort de tendre la main, de collaborer avec les responsables du développement pour répondre aux besoins des équipes et d'adopter un rôle de mentor pour favoriser la sensibilisation à la sécurité, tendent à récolter les fruits de leurs efforts sur le long terme... et passent un peu moins de temps à s'arracher les cheveux face à une énième erreur XSS.

Les développeurs doivent être en mesure de produire un code plus sécurisé.

En ce qui concerne l'apprentissage du codage sécurisé durant les études supérieures, pour de nombreux ingénieurs, c'est inexistant. Et ce n'est pas parce qu'ils étaient tous occupés à jouer au beer pong ou à WoW ; c'est tout simplement absent de la plupart des cursus en informatique.

À cette fin, la formation en entreprise est souvent le premier contact d'un développeur avec l'art de la sécurité logicielle, et elle est rarement passionnante. Les heures de vidéos ennuyeuses sont une méthode de formation courante, tout comme les exercices de conformité « à cocher », bien trop rares pour avoir un réel impact sur l'apprentissage du codage sécurisé ou pour réduire les vulnérabilités courantes dans les logiciels d'une organisation.

L'équipe AppSec comme le groupe de développement sont extrêmement occupés ; toute formation doit donc être pertinente, engageante et pratique. Ayant moi-même un parcours de développeur, nous aimons résoudre des problèmes et passer à l'action. La plupart des formations théoriques nous passent donc au-dessus pendant que nous nous concentrons sur quelque chose de plus urgent (ou, soyons honnêtes, de plus intéressant).

Les spécialistes AppSec occupent une position d'influence et peuvent forger une situation gagnant-gagnant à long terme en défendant les intérêts des développeurs. Rechercher une formation viable, pertinente pour le poste et dispensée dans leurs langages et frameworks préférés est un pas de géant pour changer la donne et inspirer une culture de sécurité positive et ascendante au sein d'une organisation. Nous essayons la même chose depuis des décennies, et il est clair que l'approche de formation « taille unique » ne fonctionne pas. En aidant à fournir les bons outils et les bonnes connaissances aux développeurs, ils peuvent améliorer leurs compétences en codage sécurisé, agir avec une conscience accrue de la sécurité et produire un code de meilleure qualité.

Les efforts pour se mettre sur la même longueur d'onde doivent venir des deux côtés.

Il est facile pour des personnes ayant des objectifs différents de se méprendre, voire, dans le pire des cas, de se méfier les unes des autres. L'AppSec a pour mission de suivre le rythme effréné de la production de code et de détecter les failles de sécurité susceptibles d'entraîner des compromissions de données, des accès non autorisés et des attaques malveillantes capables de nuire durablement à l'image de marque auprès des clients.

Les développeurs, entre autres missions, créent des fonctionnalités dans le respect des délais. Ils sont chargés de concevoir des logiciels fonctionnels et esthétiques, et de créer des expériences numériques uniques qui fidélisent les clients. Ils ont déjà beaucoup à gérer, et leur confier la responsabilité de la sécurité est une perspective intimidante. La sécurisation du code est perçue comme le problème de l'AppSec, et si cela était réalisable dans les années 90 (avant que nos voitures ne puissent être piratées et que nos vies entières ne tiennent dans un superordinateur de poche appelé smartphone), il y a aujourd'hui tout simplement trop de code et pas assez de personnes pour le soumettre au parcours du combattant de la sécurité.

Avec une bonne dose d'empathie et les moyens de faire de la sécurité une priorité dès le début du processus de création logicielle, l'AppSec et les développeurs peuvent aligner leurs objectifs. Après tout, une culture de sécurité positive en dépend, et des développeurs sensibilisés à la sécurité sont l'ingrédient secret pour stopper les vulnérabilités courantes, malgré la pénurie croissante de compétences en cybersécurité.

Le respect mutuel du temps de chacun apporte des avantages considérables.

Comme je l'ai déjà dit, tout le monde est très occupé à créer de la magie (c'est-à-dire des logiciels incroyables). Les développeurs ont besoin de temps de travail dédié pour suivre une formation pratique et efficace qui renforce leurs compétences en codage sécurisé, et tout programme de formation doit être conçu pour être ultra-pertinent.

L'AppSec perd son temps à corriger encore et encore les mêmes vulnérabilités du OWASP Top 10, tandis que les développeurs voient le leur grignoté par des exercices peu engageants qui renforcent l'idée que la sécurité est une corvée.

Des expériences d'apprentissage personnalisées sont essentielles ; elles permettent d'aller droit au but grâce à une formation contextuelle et concise, délivrée au moment précis où elle est nécessaire.

En élaborant un cours de codage sécurisé sur mesure, adapté aux objectifs visés et aux parcours d'apprentissage internes, on respecte le temps et le flux de travail des développeurs, tout en travaillant à une réduction mesurable des vulnérabilités et des risques de cybersécurité pour l'entreprise. C'est une victoire rapide pour mettre fin aux rivalités et avancer ensemble dans la jungle de la cybersécurité.

La nouvelle fonctionnalité d'apprentissage contextuel de Secure Code Warrior, Courses, est disponible dès maintenant.

‍