Certification en cybersécurité : un décret pour faire monter les développeurs en compétences

S'il existe une forme de synchronicité, alors on peut dire que l'administration Biden a frappé juste avec l'annonce de son décret (Executive Order), qui détaille le plan du gouvernement américain pour renforcer les réseaux fédéraux, ainsi que pour améliorer les normes et les meilleures pratiques de cybersécurité à travers le pays. Cette stratégie fait suite à deux cyberattaques dévastatrices récentes : la faille persistante dans la chaîne d'approvisionnement de SolarWinds, ainsi que l'attaque contre l'infrastructure gazière de Colonial Pipeline.

Bien que ces événements aient sans aucun doute provoqué des ondes de choc à tous les niveaux du gouvernement, cette directive marque une période passionnante pour l'avenir de la cybersécurité. Il semble que nous prenions enfin au sérieux la protection de notre existence numérique dès le plus haut niveau, et il n'y a pas de meilleur moment qu'aujourd'hui pour promouvoir de meilleures normes et une qualité logicielle supérieure.

Le décret aborde de nombreux aspects de la cybersécurité fonctionnelle, mais pour la première fois, il souligne spécifiquement l'impact des développeurs et la nécessité pour eux de posséder des compétences et une sensibilisation vérifiées en matière de sécurité. Pendant des années, nous avons clamé haut et fort que c'était la voie à suivre pour combattre les vulnérabilités courantes qui nous font si souvent trébucher, et l'alignement des mandats gouvernementaux sur cette approche est le chemin vers un succès généralisé en matière de cyberdéfense.

Comment les organisations, tout comme les départements fédéraux, doivent-elles répondre à ce décret ? Analysons quelques catégories principales.

La formation « coche-case » n'est plus une option.

Nous soulignons depuis longtemps l'inefficacité de la plupart des types de formation en cybersécurité destinés aux développeurs. Elles sont souvent trop génériques, ne sont pas dispensées de manière à susciter l'engagement et à inspirer le résultat souhaité (à savoir : un code plus sécurisé), et sont abordées beaucoup trop rarement. Pire encore, de nombreuses entreprises se contentent d'une formation « coche-case » : une approche qui fournit le strict minimum, des bases expédiées en une fois pour remplir une exigence opérationnelle et cocher une case à côté du nom d'un développeur. Ces stratégies éducatives sont ce qui maintient chaque RSSI sur le qui-vive, croisant les doigts pour que leur entreprise ne soit pas la victime de la prochaine faille « zero-day ». Elles ne fonctionnent tout simplement pas pour réduire les vulnérabilités et créer un code de meilleure qualité.

Dans la section 4 du mandat de Biden, la nécessité pour une organisation de démontrer que ses développeurs font preuve d'une conformité de sécurité documentée et vérifiée est clairement établie :

‍

« Les directives doivent inclure des critères pouvant être utilisés pour évaluer la sécurité des logiciels, inclure des critères pour évaluer les pratiques de sécurité des développeurs et des fournisseurs eux-mêmes, et identifier des outils ou des méthodes innovants pour démontrer la conformité aux pratiques sécurisées. »

Il y a un léger problème : il n'existe actuellement aucune certification standard de l'industrie spécifique aux développeurs. Pouvoir évaluer le niveau de compétence en codage sécurisé des développeurs, et travailler avec des cours et des évaluations pour améliorer ces compétences, est fondamental pour permettre aux entreprises de fixer des objectifs et d'atteindre la conformité. Lorsque les développeurs peuvent démontrer leurs compétences de base dans un environnement pratique, cela peut être évalué et certifié de manière significative et fiable. C'est au cœur de notre offre chez Secure Code Warrior, et nous avons travaillé dur pour créer un système utilisable pour une certification fiable, personnalisable selon leur pile technologique et leurs exigences organisationnelles.

Ces compétences sont précieuses et ne peuvent être automatisées. La certification peut transformer les développeurs en une force consciente de la sécurité, capable de défendre la base de code contre des menaces insidieuses.

‍

Un accent sur l'outillage des développeurs (et les outils en général).

En plus des directives concernant la vérification des pratiques de codage sécurisé, le décret approfondit considérablement le volet automatisation et outillage de la sécurité.

Il y a tout simplement trop de code produit pour que les humains puissent le gérer seuls d'un point de vue sécurité, et l'automatisation - en tant que partie intégrante d'une pile technologique étendue - est un élément majeur de tout programme de sécurité, comme il se doit. Cependant, tous les outils ne se valent pas, et il n'existe pas d'« outil miracle » capable de détecter chaque vulnérabilité, dans chaque langage de programmation. Un excellent programme de sécurité adopte une approche nuancée, surtout lorsqu'il s'agit d'outils et de services destinés aux développeurs.

La section 3 du décret définit les attentes vis-à-vis des fournisseurs créant des logiciels éligibles à une utilisation par le gouvernement fédéral, ainsi que des directives instructives concernant l'utilisation d'outils dans le processus de développement :

‍

« (iii) employer des outils automatisés, ou des processus comparables, pour maintenir des chaînes d'approvisionnement de code source de confiance, garantissant ainsi l'intégrité du code ;
(iv) employer des outils automatisés, ou des processus comparables, qui vérifient les vulnérabilités connues et potentielles et les corrigent, lesquels doivent fonctionner régulièrement, ou au minimum avant la publication d'un produit, d'une version ou d'une mise à jour. »

Les outils de sécurité dans la pile technologique des développeurs sont l'un des moyens d'améliorer rapidement les meilleures pratiques de sécurité, garantissant que les versions ont les meilleures chances de respecter les délais sans être retardées par des bugs de sécurité ou d'autres obstacles majeurs. Cependant, les développeurs auront toujours besoin d'un apprentissage contextuel pour tirer le meilleur parti des outils les plus puissants. Il est crucial qu'ils comprennent ce qui a été signalé, pourquoi c'est dangereux et comment y remédier, ce qui réduira le nombre d'erreurs que les outils devront identifier en premier lieu.

Les meilleurs outils s'intégreront à l'environnement du développeur, l'aidant à produire un code de meilleure qualité (et plus sécurisé), et garantissant que la sécurité reste une priorité absolue.

‍

Sécuriser la chaîne d'approvisionnement.

L'un des aspects que je préfère dans ce décret concerne les plans complets visant à sécuriser la chaîne d'approvisionnement logicielle. Ce n'est pas surprenant compte tenu de l'affaire SolarWinds, mais c'est un point essentiel :

« La sécurité des logiciels utilisés par le gouvernement fédéral est vitale pour sa capacité à remplir ses fonctions critiques. Le développement de logiciels commerciaux manque souvent de transparence, d'une attention suffisante sur la résistance aux attaques et de contrôles adéquats pour empêcher toute altération par des acteurs malveillants. Il est urgent de mettre en œuvre des mécanismes plus rigoureux et prévisibles pour garantir que les produits fonctionnent de manière sécurisée et conforme aux attentes… le gouvernement fédéral doit agir pour améliorer rapidement la sécurité et l'intégrité de la chaîne d'approvisionnement logicielle, en donnant la priorité aux logiciels critiques. »

Cette décision affectera toute entreprise logicielle souhaitant travailler avec le gouvernement américain, mais elle devrait servir de norme partout. Le manque de transparence des fournisseurs tiers (sans parler des développeurs utilisant des composants tiers) sur leurs mesures de sécurité rend extrêmement difficile l'évaluation, la validation et la garantie du respect des meilleures pratiques en cybersécurité. Nous devons analyser nos fournisseurs et les logiciels qu'ils produisent. Ces actions peuvent sembler être un « effort supplémentaire », mais elles devraient être inhérentes à tout standard d'excellence en cybersécurité.

Livrer du code sécurisé en toute confiance est un défi de longue date dans notre secteur, mais c'est l'occasion idéale d'évaluer vos processus actuels et de montrer la voie vers des logiciels et des infrastructures cloud robustes, enviés par tous. Contactez-nous dès maintenant pour découvrir comment tirer parti de nos formations, évaluations et outils de développement pour certifier votre prochaine équipe de développeurs sensibilisés à la sécurité.

‍