DevSecOps dans la région DACH : conclusions clés des programmes pilotes de codage sécurisé

Les bonnes pratiques en matière de cybersécurité sont un sujet brûlant depuis plus d'une décennie, fréquemment débattu au niveau gouvernemental dans la plupart des régions du monde. Les cyberattaques sont essentiellement une réalité quotidienne, et toute entité stockant des données privées précieuses en ligne est une cible potentielle. Rien qu'en Allemagne, le ministère fédéral de l'Éducation et de la Recherche estime que 96 pour cent de toutes les petites et moyennes entreprises ont déjà subi un incident de sécurité informatique. Le même rapport souligne le besoin urgent de recherche, de législation et de sensibilisation en matière de cybersécurité, avec un appel définitif à l'inclusion d'une formation à la sécurité plus robuste dans les domaines de l'informatique et des technologies de l'information.

Avec l'avènement du RGPD, ainsi qu'une stratégie révisée suite à une attaque multi-étapes ayant exposé les données sensibles de nombreuses personnalités publiques — ainsi que des serveurs du gouvernement fédéral allemand — il est clair que la sensibilisation et l'action en matière de cybersécurité sont au cœur des préoccupations des dirigeants de la région DACH. Le piratage de fin 2018 a été exécuté par un étudiant de 20 ans aux compétences relativement faibles, son principal point d'accès à des informations hautement sensibles ayant été rendu possible par une simple devinette de mots de passe. Bien qu'il s'agisse d'une faille d'authentification extrêmement préoccupante, elle a mis en évidence la nécessité d'une bien meilleure sensibilisation à la sécurité aux niveaux gouvernemental, commercial et sociétal. Un rapport de 2019 a souligné que l'Allemagne était à la traîne en termes d'initiatives de défense en cybersécurité, s'appuyant sur la législation comme tactique principale. Cependant, avec l'arrivée du DevSecOps comme méthodologie de développement idéale, de nombreuses entreprises ont reconnu le besoin d'une formation pratique, de la création de logiciels sécurisés dès la conception et de programmes de sensibilisation à la sécurité à l'échelle de l'entreprise.

Le pouls de la sécurité logicielle dans la région DACH

Des organisations comme OWASP et MITRE publient des classements vérifiés par des données des vulnérabilités les plus fréquentes. Dans tous les langages, l'injection SQL arrive en première position, et bien qu'elle date de plusieurs décennies, il s'agit d'une faille courante souvent exploitée avec des conséquences désastreuses.

Le logiciel bancaire suisse BPC, SmartVista, a été alerté d'une vulnérabilité SQLi par SwissCERT, mais elle est restée sans correctif pendant des mois malgré son potentiel à exposer des données clients sensibles, y compris des numéros de carte de crédit. L'injection SQL peut mener et mène effectivement à des violations dangereuses, tout comme la violation de 2017 touchant plusieurs ministères et universités aux États-Unis et au Royaume-Uni. Nombre de ces incidents sont causés par des processus de validation des entrées laxistes, permettant à un attaquant d'insérer du code malveillant depuis le front-end d'une application. Une autre source courante de vulnérabilité est l'utilisation de code fournisseur non sécurisé qui n'est pas vérifié pour les bugs de sécurité, introduisant ainsi des failles dans un environnement de production pourtant scanné et validé. Aucun de ces points d'accès n'est spécifique à la région DACH ; il s'agit plutôt d'exemples mondiaux de mauvaises pratiques de sécurité qui ne peuvent perdurer alors que le monde produit de plus en plus de code.

Il est impératif de corriger les problèmes dès qu'ils sont découverts, et la décision de SmartVista de traîner les pieds aurait pu être un désastre. Bien que la région DACH ait connu sa part de violations, des directives et un soutien plus ciblés en matière de sensibilisation et de formation à la sécurité pourraient empêcher les problèmes potentiels au niveau organisationnel de dégénérer, ce qui nécessitera une législation beaucoup plus spécifique pour encourager une formation évaluée pour les développeurs.

Toutes les formations au codage sécurisé ne se valent pas.

De nombreuses directives de cybersécurité dans le monde deviennent plus complètes, mais elles restent assez vagues lorsqu'il s'agit de définir une formation à la sécurité efficace. La directive NIS dans l'UE inclut l'exigence de « sensibilisation, formation et éducation » au niveau national, mais se précipiter vers une solution de formation pourrait ne pas produire le résultat escompté de réduction tangible des risques si elle omet des éléments clés favorisant la montée en compétences des développeurs et le changement organisationnel.

Les solutions éducatives varient, et la formation doit être spécifique au travail quotidien du développeur (y compris la possibilité d'apprendre dans son langage et son framework préférés) tout en restant engageante et mesurable dans le temps.

Les solutions de formation statiques, telles que la formation vidéo sur ordinateur, sont souvent trop génériques et rarement revisitées ou évaluées sur leur succès à susciter la sensibilisation et les compétences nécessaires pour empêcher les vulnérabilités d'entrer dans le code au moment de son écriture. La formation dynamique, cependant, est essentielle pour faire monter en compétences les développeurs avec des exemples contextuels, en plus de fournir des mesures qui influencent les processus d'atténuation des entreprises. Elle est mise à jour fréquemment, favorise un haut niveau de rétention des connaissances et participe à la formation de développeurs conscients de la sécurité qui contribuent à une culture de sécurité positive sur leur lieu de travail.

Points de données des pilotes Secure Code Warrior dans la région DACH :

Ema Rimeike, directrice commerciale chez Secure Code Warrior (titulaire d'un MSc en cybersécurité), a travaillé en étroite collaboration avec des organisations de la région DACH, en menant des programmes pilotes pour les développeurs afin d'évaluer leurs compétences internes en codage sécurisé, leur engagement envers les meilleures pratiques de sécurité, ainsi que la culture de sécurité globale de l'entreprise. En utilisant une formation au code sécurisé gamifiée et dynamique, ses conclusions clés révèlent un avenir prometteur lorsque les développeurs disposent des connaissances et des outils qui favorisent une réduction efficace des vulnérabilités dès le début du cycle de vie du développement logiciel (SDLC).

Au cours de ses programmes pilotes, elle a compilé des statistiques basées sur une moyenne de 90 minutes passées par utilisateur sur la plateforme Secure Code Warrior (SCW), au cours desquelles ils ont joué à 15 défis de codage sécurisé (leçons ludiques, courtes et à rythme libre) :

Les utilisateurs ont passé en moyenne 5,5 minutes pour terminer un défi, contre 3 minutes en moyenne pour les autres pilotes SCW mondiaux.

• Précision vs Confiance : Les pilotes DACH ont enregistré un pourcentage moyen compris entre 88 et 92 % pour la confiance dans leurs réponses aux défis, alors que la précision de ces réponses se situait entre 53 et 66 %
• Plus de 75 % des participants interrogés préfèrent les méthodes de formation gamifiées — ou dynamiques — par opposition aux approches statiques comme la formation sur ordinateur (CBT).
• Parmi les vulnérabilités les plus fréquemment observées, nous avons constaté des failles d'injection, des erreurs de configuration de sécurité, des scripts intersites (XSS), une utilisation inappropriée de la plateforme, un contrôle d'accès défaillant, des problèmes d'authentification, une corruption de la mémoire, une falsification de requête intersite, une protection insuffisante de la couche de transport et des redirections et transferts non validés

Il n'est un secret pour personne que, de manière générale, une solide éthique de travail et un souci de précision sont très appréciés dans la région DACH, et les développeurs participant au programme pilote ne font pas exception. Ces données témoignent de leur manque d'habitude face à ce type de formation, mais aussi de leur désir de continuer à jouer, d'améliorer leur score et d'éviter d'utiliser la fonction « indice » disponible. Leur volonté d'apprendre et de progresser est évidente, mais elle montre également qu'il reste du travail à faire pour mettre en œuvre une formation et une sensibilisation efficaces au sein même de l'organisation.

Une formation de qualité qui réduit les risques et déjoue les vulnérabilités n'est pas un exercice ponctuel, et elle va bien au-delà de la simple conformité. Les managers et le personnel chargé de la sécurité des applications doivent s'efforcer de déployer un programme de sensibilisation à la sécurité avec une stratégie et un soutien qui reflètent les objectifs de sécurité fondamentaux et visent à les maintenir sur le long terme. C'est, en fait, la pierre angulaire d'un processus DevSecOps réussi avec des développeurs sensibilisés à la sécurité.

Que révèle un programme pilote pour une organisation ?

Les programmes pilotes de Secure Code Warrior sont un outil extrêmement précieux pour donner aux entreprises un aperçu de leur état de santé actuel en matière de sécurité (généralement entre 65 et 75 %), ainsi que des domaines nécessitant une amélioration immédiate. Ils révèlent :

• Une clarté sur les vulnérabilités à traiter en priorité, ainsi que sur la question de savoir si cette orientation doit être appliquée à une équipe, une unité commerciale ou un langage de programmation particulier
• Une vision précise et plus large des facteurs de risque de cybersécurité au sein de leur cycle de vie de développement logiciel (SDLC), englobant le facteur humain du développement logiciel.
• En tirant parti de la plateforme SCW, les organisations peuvent prédire le résultat potentiel des tests d'intrusion et avoir l'opportunité d'atténuer ces risques en amont, en préparant les équipes avant même qu'elles ne soient affectées à un projet spécifique.

Dans les organisations qui ont commencé à déployer des programmes de sécurité complets et efficaces, on approuve généralement au niveau de la direction 1 à 1,5 heure par semaine de développement professionnel pour aider les développeurs à améliorer leurs connaissances en matière de codage sécurisé. Cependant, nous constatons que les organisations s'éloignent de l'accent mis sur le « temps passé sur la plateforme » pour se concentrer sur « quelles équipes de développement logiciel présentent le risque le plus élevé et le plus faible pour l'entreprise ». Cela est étroitement lié à la certification/au système de niveaux, à la découverte de champions de la sécurité et aux programmes de mentorat pour obtenir les meilleurs résultats. L'allocation de temps, associée à une évaluation constructive et positive, est absolument essentielle pour créer des développeurs sensibilisés à la sécurité qui non seulement apprécient la sécurité, mais réduisent également de manière mesurable les risques pour l'entreprise.

Comment les organisations utilisent-elles déjà Secure Code Warrior ?

Plusieurs entreprises utilisent déjà Secure Code Warrior pour créer une prise de conscience, développer les compétences des développeurs et instaurer une culture de sécurité positive.

Par exemple, dans un cas d'utilisation, une équipe en formation sur la plateforme a utilisé SCW pour révéler ses forces et ses faiblesses en matière de sécurité :

Action des développeurs : Les développeurs ont pu voir leurs propres résultats, ce qui leur a permis d'identifier les domaines sur lesquels ils devaient se concentrer et leur a donné les moyens de s'auto-diriger et de rythmer leur formation pour atténuer des vulnérabilités spécifiques ou combler des lacunes de connaissances qui les aideront dans leurs futurs développements logiciels.

Action de la direction : Ils ont analysé les forces et les faiblesses globales au niveau de l'équipe et ont pu prescrire une approche ludique répondant aux domaines de préoccupation spécifiques. Cela a créé un parcours éducatif bidirectionnel qui permet d'acquérir rapidement des connaissances pertinentes.

Résultat : Une fois les tests d'intrusion effectués au niveau de l'équipe, les vulnérabilités sont visibles, et la comparaison avec les résultats précédents a permis de valider facilement si la formation avait été efficace pour réduire les failles de sécurité courantes.

Cela nous ramène aux étapes initiales du développement logiciel, où les objectifs d'amélioration continue de l'équipe avant la formation et l'introduction des meilleures pratiques de sécurité dès le départ peuvent être efficaces, faciles à déployer et permettre de gagner du temps sur l'ensemble du périmètre de développement.

Équipes de projet DevSecOps

Dans un environnement DevSecOps idéal, plusieurs unités commerciales sont représentées au sein d'une équipe de projet pour décider et atteindre des résultats clés, dont l'un est l'application des meilleures pratiques de sécurité.

En termes de recherche et de planification pré-projet, la plateforme SCW peut évaluer les compétences en sécurité de l'équipe de développement proposée avant le début des travaux, en prédisant les résultats éventuels des tests d'intrusion et les retards liés à la sécurité dans le SDLC avec suffisamment de temps pour s'y préparer adéquatement. Une formation spécifique au code et à la structure du projet peut être créée pour l'équipe, incluant un processus d'évaluation/certification qui vérifie les compétences globales en matière de sensibilisation à la sécurité, exigeant un score de réussite prédéfini avant qu'ils ne soient autorisés à travailler sur les livrables du projet.

Cela offre une approche d'une immense valeur commerciale en réduisant le coût de correction des vulnérabilités, en atténuant les risques de sécurité, en économisant du temps lors des tests d'intrusion, en réduisant le coût des programmes de primes aux bugs coûteux et en améliorant les compétences du groupe de développeurs de manière centralisée, durable, évolutive et unifiée.

Conclusion :

Les entreprises subissent une pression accrue pour donner la priorité à la sécurité, protéger nos données et se conformer à des réglementations de plus en plus strictes à l'échelle mondiale, mais surtout pour les organisations commerçant dans l'UE sous les directives strictes du RGPD.

Pour les entreprises de la région DACH, il est clair qu'elles tracent des voies de sécurité viables en reliant les efforts et les résultats de formation à des activités concrètes liées à la prévention des risques, notamment la réduction des vulnérabilités courantes dans le code qu'elles produisent.

Pour élaborer une analyse de rentabilisation réellement quantifiable en faveur de l'augmentation des budgets de sécurité, de la sensibilisation et de la conformité globale, la formation doit être attrayante pour les développeurs, cohérente, adaptable et mesurable. Le suivi des niveaux de compétence actuels pour adapter la formation appropriée, la découverte de champions de la sécurité et la mesure de la performance des équipes au fil du temps sont autant d'initiatives vitales, et de nombreuses entreprises avant-gardistes à travers la région DACH en réalisent les avantages après un projet pilote SCW complet.

De nombreuses entreprises peinent à définir des indicateurs de performance en matière de sécurité, souvent trop génériques. Grâce à une utilisation cohérente et à long terme de la plateforme SCW, les entreprises peuvent exploiter des évaluations précises, des formations et des indicateurs de gestion pour découvrir :

• La réduction des vulnérabilités au fil du temps
• La réduction des coûts de correction des vulnérabilités au fil du temps
• Le développement des compétences individuelles et collectives au fil du temps
• La réduction des coûts et des délais lors de la phase de pentest

Quels indicateurs votre organisation suit-elle actuellement, à quelle fréquence sont-ils réévalués et ont-ils montré une amélioration marquée au fil du temps ? Dans quelle mesure vos initiatives de formation sont-elles intégrées au flux de travail actuel de vos développeurs ?

L'approche dynamique, ludique et complète de SCW est considérée comme un élément crucial du cycle de vie de développement logiciel sécurisé (SSDLC). Les entreprises dotent leurs développeurs des outils et de la formation adéquats, tout en intégrant SCW à leur flux de travail SSDLC.