Intelligence de sécurité accrue : des cours guidés pour aider les développeurs à se préparer aux normes NIST

Le secteur de la cybersécurité a connu des évolutions très positives ces derniers temps. Il semble que la volonté de donner la priorité à la sécurité dès le début du développement logiciel commence à s'imposer dans de nombreuses organisations. Cela, associé à des mesures officielles comme le décret présidentiel de Biden sur la cybersécurité, a clairement montré que chacun doit apporter sa pierre à l'édifice pour garantir la sécurité des logiciels et des données. Ce qui est particulièrement enthousiasmant, c'est que le débat sur le rôle du développeur dans le maintien de normes de codage sécurisé continue d'évoluer, même au niveau gouvernemental.

Cependant, il manque quelque chose à cette réflexion. Le décret suggère que les développeurs ont besoin de compétences en sécurité vérifiées, pourtant aucune certification officielle de ce type n'existe actuellement. De nombreuses entreprises restent guidées par le NIST (qui a fourni des directives mises à jour en réponse au décret) dans leur quête de conformité et de normes de sécurité logicielle plus élevées. Mais si nous réfléchissons à des stratégies pour réduire significativement les vulnérabilités, tout en intégrant les bons outils et en maintenant la vélocité des versions, la plupart sont tout simplement trop génériques pour produire les résultats escomptés. C'est là que beaucoup d'entreprises se retrouvent bloquées, persistant avec une formation limitée des développeurs ou ne s'appuyant pas sur des bases générales pour leur permettre d'acquérir des compétences pratiques et concrètes.

Les développeurs sensibilisés à la sécurité ne courent pas les rues, mais ils peuvent être formés et progresser beaucoup plus rapidement avec les bons outils. À cette fin, nous sommes heureux d'annoncer notre propre formation exclusive pour la conformité au NIST, structurée selon les directives du décret du gouvernement américain.

Un soutien significatif au niveau du code pour les développeurs

En utilisant les directives du NIST pour les logiciels critiques au regard du décret (EO-critical) ici, nous avons structuré la formation pour atteindre les cinq objectifs clés qui, en fin de compte, amélioreront la sécurité des logiciels vitaux utilisés aux plus hauts niveaux du gouvernement, et devraient idéalement servir de référence pour un développement de meilleure qualité dès la conception.

Pour obtenir un réel impact au sein d'une équipe de développement, toute montée en compétences doit aller au-delà de la théorie et être mise en œuvre de manière à ne pas entraîner un changement de contexte constant entre le travail et la formation pour trouver des réponses et rester agile. Les pratiques de sécurité méticuleuses (sans parler de l'équipe de sécurité) sont perçues comme des obstacles aux sprints de développement et entravent sérieusement le travail de l'ingénieur moyen focalisé sur les fonctionnalités.

Des micro-apprentissages courts et digestes, adaptés aux besoins des développeurs, sont bien mieux accueillis et permettent un développement de compétences pratique et mémorable.

Découvrez comment nous avons structuré cela pour notre formation NIST :

Objectif 1 : Protéger les logiciels et les plateformes logicielles critiques (EO-critical) contre tout accès et utilisation non autorisés.‍

Les erreurs de configuration de sécurité et les pratiques d'authentification inappropriées sont exploitées par les attaquants pour infiltrer les systèmes, prendre le contrôle de comptes et voler des données. Il s'agit d'une faille courante qui peut entraîner des problèmes majeurs si elle est exploitée avec succès.

Sur la plateforme d'apprentissage Secure Code Warrior, les développeurs peuvent relever des défis basés sur des extraits de code réels qui reflètent fidèlement la manière dont ces failles apparaissent dans leur travail quotidien, et trouver une solution précise pour les sécuriser. Pour les ingénieurs DevOps, la sécurisation de l'infrastructure nécessite des configurations de contrôle d'accès méticuleuses. Il existe des défis spécialisés pour répondre à cette exigence dans les langages d'infrastructure en tant que code (IaC) comme Terraform, CloudFormation et Ansible, ainsi que dans le code utilisé pour Docker et Kubernetes.

Objectif 2 : Protéger la confidentialité, l'intégrité et la disponibilité des données utilisées par les logiciels et les plateformes logicielles critiques (EO-critical).

Pour cet objectif, tous les chemins mènent au contrôle d'accès. Le contrôle d'accès défaillant a récemment détrôné les failles d'injection en tête du classement OWASP Top 10 2021, et c'est une faille sérieuse qui nécessite les compétences de développeurs sensibilisés à la sécurité pour être identifiée et corrigée le plus tôt possible.

La formation traite de concepts tels que le moindre privilège au niveau du code et aide à inculquer l'approche consistant à limiter l'accès aux comptes utilisateurs aux seules zones nécessaires, en tant que bonne pratique.

Objectif 3 : Identifier et maintenir les plateformes logicielles critiques (EO-critical) et les logiciels déployés sur ces plateformes afin de protéger les logiciels critiques contre toute exploitation.

L'un des plus grands défis dans les grandes organisations est de maintenir une surveillance de la sécurité sur tous les différents logiciels, systèmes et composants actuellement en service. En matière de gestion des risques et de correctifs, ces éléments doivent être une priorité dans tout programme de sécurité, les développeurs étant en état d'alerte pour effectuer la maintenance de sécurité.

Sur la plateforme d'apprentissage Secure Code Warrior, les développeurs peuvent relever des défis qui les aideront à identifier et à corriger les composants vulnérables, ainsi que les erreurs de configuration de sécurité basées sur les autorisations.

Objectif 4 : Détecter, réagir et se rétablir rapidement face aux menaces et incidents impliquant des logiciels et des plateformes logicielles critiques pour les EO.

Il est regrettable (et constitue une perte de temps et d'argent) que de nombreuses organisations se concentrent encore sur la réponse aux incidents, plutôt que sur la prévention, lorsqu'elles traitent des problèmes de cybersécurité. C'est une culture que nous nous efforçons de changer, et les développeurs sont aux commandes pour fournir une puissance de prévention lorsqu'ils sont correctement formés aux meilleures pratiques de sécurité.

L'objectif 4 exige des développeurs, dans le cadre de leurs fonctions, qu'ils surveillent en permanence la sécurité de leurs environnements et de leurs points de terminaison, tant au niveau logiciel que réseau. L'insuffisance de la journalisation et de la surveillance est un autre défaut courant et insidieux, et il est essentiel que les ingénieurs soient capables de gérer cela efficacement dans leurs tâches quotidiennes.

Sur la plateforme d'apprentissage Secure Code Warrior, les développeurs peuvent relever des défis pour perfectionner ces compétences, qu'ils travaillent avec des langages web, API ou cloud.

Sensibilisation à la sécurité et durabilité.

Objectif 5 : Renforcer la compréhension et la performance des actions humaines qui favorisent la sécurité des logiciels et des plateformes logicielles critiques pour les EO.

Cet objectif est assez général, mais c'est le plus important à atteindre… et vous ne pouvez pas y parvenir sans maîtriser les quatre premiers. Cette directive demande que des activités fréquentes de sensibilisation à la sécurité soient menées et que toutes les « actions humaines » sur les logiciels critiques pour les EO soient effectuées par des personnes dûment formées dans le cadre de leurs rôles et responsabilités.

Les développeurs sont parmi les personnes les plus proches du code, ainsi que des configurations de sécurité et du contrôle d'accès. Leurs compétences en sécurité doivent être cultivées, et pour atteindre les normes élevées définies par le NIST, une structure de cours pratique pourrait être le moyen le plus efficace d'y parvenir, surtout avec de grandes équipes de développement.

Commencez à ajouter des points d'expérience et du QI en sécurité à votre équipe de développement dès aujourd'hui.