Tournois de développeurs : l'arme secrète de l'AppSec pour améliorer la culture et l'engagement en matière de sécurité

Imaginez que vous créez quelque chose de toutes pièces, en mettant à profit vos compétences et votre expérience pour laisser une empreinte, petite mais unique, sur le monde. Seul ou en équipe, vous y mettez tout votre cœur pour bâtir quelque chose à partir de rien. Vous y consacrez des centaines, voire des milliers d'heures, pour vous assurer que votre « bébé » soit le meilleur possible. Une fois terminé, ce sentiment d'accomplissement est en soi une véritable récompense.

Maintenant, imaginez qu'un rabat-joie arrive et vous dise que ce n'est pas terrible. Peut-être va-t-il même jusqu'à affirmer que, malgré toute l'énergie, le temps et l'amour que vous y avez consacrés, le résultat est inutilisable : c'est cassé. En substance, il vient de vous dire que votre bébé est laid.

Ce scénario est source de tensions ; après tout, qui aime voir son travail acharné critiqué et jugé inadéquat ? Malheureusement, pour de nombreux développeurs, c'est la réalité de leur relation avec l'équipe AppSec. La responsabilité première d'un développeur est de créer des logiciels fonctionnels, riches en fonctionnalités et livrés dans des délais stricts. La sécurité est rarement une priorité et peut même être perçue comme un frein à l'innovation et à la rapidité de livraison. L'équipe AppSec a la tâche ingrate de vérifier minutieusement le code, d'effectuer des tests d'intrusion, puis d'annoncer les mauvaises nouvelles : la présence de vulnérabilités dans un code souvent déjà validé. C'est un processus coûteux dans un environnement où les ressources et le temps sont limités, une situation qui ne peut que créer un fossé entre deux équipes qui partagent le même objectif, mais qui parlent des langages si différents qu'elles semblent à couteaux tirés.

Ne serait-il pas temps de donner un coup de jeune à la sécurité ? Il suffit de changer notre façon d'en parler et de rendre les choses un peu plus positives (et pourquoi pas amusantes !) pour tout le monde, en particulier pour les équipes de développement.

Sortir de la salle de classe pour entrer dans l'arène

Beaucoup de développeurs terminent leur formation professionnelle sans avoir appris grand-chose sur le codage sécurisé ; leur premier contact avec la formation en sécurité se fait donc souvent une fois en entreprise. La formation en salle est une solution courante, mais elle prend un temps précieux sur la livraison des fonctionnalités (et soyons honnêtes : si l'enseignant et le contenu ne sont pas stimulants, c'est une perte de temps facilement oubliée par tous). Il existe aussi des cours vidéo, des examens sur papier et des formations génériques sur les politiques de sécurité de l'entreprise... autant d'outils souvent trop vagues pour être utiles au quotidien pour un développeur.

Trop souvent, la sécurité est traitée comme une simple formalité de conformité à cocher, ce qui a bien trop souvent l'effet inverse : cela ne fait qu'élargir le fossé entre l'équipe AppSec et les développeurs. Après tout, il ne semble pas que la formation conventionnelle ait l'effet positif sur la culture de sécurité et la conformité que nous recherchons tous désespérément dans notre secteur.Nous continuons à commettre les mêmes erreurs.

Selon la communauté CWE (Common Weakness Enumeration), il existe plus de 700 faiblesses de sécurité logicielles courantes à combattre. Certaines, comme l'injection SQL, sont comme des cafards que l'on n'arrive pas à écraser malgré leur existence depuis plus de vingt ans. Nous savons comment les corriger ; la formation est là pour permettre aux développeurs de les stopper, ainsi que tant d'autres, et pourtant, les tests d'intrusion et les revues de code manuelles continuent d'identifier ces violations.

Peut-être avons-nous abordé le problème sous le mauvais angle et devons-nous, en tant qu'industrie, envisager une formation efficace différemment... en exploitant les compétences incroyables que nous apprécions chez nos développeurs. Ce sont des créatifs, des curieux et des résolveurs de problèmes qui aiment les défis. Gamifier la formation à la sécurité, c'est parler leur langage, leur permettre d'apprendre par la pratique – et qui sait, ils pourraient bien se prendre de passion pour la sécurité en chemin.

Un peu de saine compétition

Une dépendance excessive envers des outils (souvent imprécis), des tests d'intrusion coûteux et une pénurie de spécialistes AppSec va nous enfoncer davantage dans le trou noir de la sécurité. Une trop grande partie de nos vies et de notre vie privée se trouve en ligne pour que les entreprises continuent de négliger les forteresses virtuelles qui protègent nos données. Alors que la transformation numérique de notre monde accroît notre dépendance aux logiciels, nous devons nous tourner vers les super-héros qui sont sous nos yeux depuis le début : les équipes de développement.

La formation gamifiée, adaptée aux langages et frameworks pertinents, est un outil puissant pour les responsables AppSec afin de transformer la culture de sécurité au sein de l'entreprise. Grâce à cette formation, les développeurs peuvent exercer leurs nouveaux muscles en matière de sécurité lors d'un tournoi ludique, aussi passionnant que votre imagination le permet : il suffit de voir comment le « Game of Codes » d'IAG a fait parler tout le monde de sécurité au sein de leur organisation.

Le module de tournoi de Secure Code Warrior offre bien plus qu'une simple conclusion à un programme de formation : c'est une plateforme où chaque développeur peut valider ses compétences, mesurer ses progrès depuis le début de la formation et identifier les domaines à améliorer. L'aspect compétitif agit comme un véritable moteur pour s'impliquer positivement dans la sécurité, en utilisant la reconnaissance et la récompense pour soutenir le développement d'une culture de sécurité robuste au sein de l'équipe et de l'entreprise.

Injecter un peu de plaisir dans ce qui peut être perçu comme une tâche laborieuse, voire intimidante, peut grandement contribuer à changer les mentalités négatives et à inspirer une participation continue. Après tout, qui n'aime pas la gloire de marquer plus de points que ses collègues dans un environnement compétitif (et sain) ?

Des champions parmi vous

La formation gamifiée et les tournois qui en découlent contribuent énormément à instaurer une culture de sécurité positive, permettant aux équipes AppSec et de développement de mieux comprendre le travail quotidien de chacun. Un développeur sensibilisé à la sécurité est un atout précieux, capable de corriger les vulnérabilités courantes et de laisser les problèmes complexes aux rares spécialistes AppSec sur le terrain. Les relations s'améliorent, et le précieux budget de sécurité n'est plus gaspillé à résoudre indéfiniment les mêmes erreurs, tel un « jour sans fin ».

Il existe cependant un autre sous-produit puissant : la révélation de champions de la sécurité dont vous ignoriez l'existence. Les tournois peuvent mettre en lumière ceux qui ont non seulement des aptitudes pour la sécurité, mais qui en font preuve d'une réelle passion. Ces champions sont essentiels pour maintenir la dynamique, servir de point de contact entre les équipes, superviser leurs pairs et faire respecter les meilleures pratiques. Mettre en place un programme de champions solide, incluant reconnaissance et soutien de la direction, est une fierté pour l'organisation, ainsi qu'un atout majeur pour le CV et la carrière de l'individu.

En résumé ? Nous devons exiger de meilleurs résultats en matière de tests de sécurité. Moins d'erreurs courantes et un meilleur soutien pour ceux qui sont en première ligne. Pourquoi ne pas découvrir comment un tournoi de développeurs peut vous y mener plus vite que prévu ?