Établir une approche cohérente de la sécurité portée par les développeurs

En réponse aux failles de sécurité majeures telles que l'attaque SolarWinds, qui a utilisé un processus de mise à jour logicielle pour infecter plus de 18 000 utilisateurs du célèbre logiciel de gestion Orion, y compris de nombreuses grandes entreprises et agences gouvernementales, on observe une pression croissante en faveur d'initiatives de sécurité plus efficaces menées par les développeurs. Les entreprises de toutes tailles commencent à s'interroger sur leur « chaîne d'approvisionnement logicielle » et exigent que les développeurs qui conçoivent leurs logiciels possèdent des compétences et une sensibilisation vérifiées en matière de sécurité.

Même le gouvernement des États-Unis appelle à de meilleures pratiques de sécurité menées par les développeurs et à un renforcement de la chaîne d'approvisionnement logicielle. Ces concepts sont un élément clé du décret présidentiel sur l'amélioration de la cybersécurité nationale émis par le président Biden.

Dans l'ensemble, la communauté des développeurs a été réceptive à l'idée d'intégrer la sécurité plus tôt dans le cycle de vie du développement logiciel (SDLC) grâce à des programmes et des mouvements comme le DevSecOps. Et lors d'une récente enquête, les développeurs ont déclaré accorder de l'importance à la formation en sécurité qu'ils ont reçue pour soutenir cet effort.

Les vulnérabilités logicielles continuent d'être exploitées, et même les développeurs admettent qu'ils laissent parfois des failles dans leur code.

Pourquoi ?

L'enquête a confirmé que l'écriture d'un code de qualité était une priorité absolue pour la communauté des développeurs. Cependant, elle a également identifié plusieurs raisons pour lesquelles la formation dispensée aux développeurs, bien que jugée utile, est loin d'atteindre l'objectif de sécurisation de la chaîne d'approvisionnement logicielle. 33 % des répondants ont déclaré qu'ils laissaient encore des vulnérabilités dans leur code car, même après la formation reçue, ils ne savaient toujours pas comment identifier ou corriger les failles connues. Par ailleurs, 92 % ont affirmé avoir besoin d'un niveau supplémentaire de formation en sécurité, tandis que 50 % ont estimé qu'une formation beaucoup plus approfondie était nécessaire.

Il est clair que la communauté des développeurs valorise la formation qui lui est proposée. Cependant, lorsqu'ils sont interrogés sur les obstacles à l'adoption de pratiques de codage sécurisé, le manque de temps est cité comme la raison principale, suivi par un cinquième des répondants qui pointe du doigt l'absence d'approche cohérente. La formation est davantage perçue comme un événement ponctuel plutôt que comme une partie intégrante d'un effort stratégique continu visant à incorporer la sécurité dans les flux de travail quotidiens des développeurs.

Par conséquent, les développeurs ne sont pas en mesure de développer et de conserver des compétences en codage sécurisé dans le cadre d'un programme cohérent et continu au sein de leur organisation. Nous pouvons également conclure que la formation actuelle n'est pas particulièrement efficace ou complète, étant donné que de nombreux développeurs déclarent ne toujours pas savoir identifier et corriger les vulnérabilités courantes.

92 % des développeurs ont déclaré avoir besoin d'un niveau supplémentaire de formation en sécurité, tandis que 50 % ont estimé qu'une formation beaucoup plus approfondie était nécessaire.

Que peuvent faire les entreprises pour remédier à cette situation ?

Il est intéressant de noter que les développeurs ont massivement exprimé le besoin de davantage de formation en sécurité. Et bien qu'ils apprécient la formation reçue, il se peut qu'ils se contentent simplement de ce qui leur est proposé.

Lorsqu'ils ont été invités à commenter les moyens d'améliorer leur formation, leurs véritables réflexions sur le sujet ont commencé à émerger. En général, la plupart des formations reçues étaient limitées, non interactives, peu ciblées sur leurs responsabilités professionnelles et ne faisaient pas partie d'un plan global ou continu visant à améliorer les compétences et la sensibilisation à la sécurité au sein de leur organisation. Selon les développeurs interrogés, si les entreprises souhaitent améliorer l'efficacité de la formation proposée, celle-ci doit s'inscrire dans une approche globale favorisant une plus grande importance accordée à la sécurité tout au long du cycle de vie du développement logiciel (SDLC). De plus, les développeurs ont formulé des demandes spécifiques pour rendre leur formation plus pertinente. L'une des suggestions les plus populaires consistait à inclure davantage d'études de cas et d'exemples pratiques de situations qu'ils sont susceptibles de rencontrer en matière de sécurité. Une autre réponse fréquente pour améliorer l'efficacité était que la formation couvre progressivement des scénarios de plus en plus complexes ou difficiles – une démarche qui nécessiterait probablement une approche plus cohérente et un plan à long terme pour l'apprentissage continu et le développement des compétences. Les développeurs ont également souligné le besoin de plus d'interactivité, voire l'ajout d'un élément compétitif. En règle générale, une formation où les utilisateurs se contentent de regarder une vidéo ou d'écouter un cours sans possibilité d'apprentissage pratique et contextuel n'est pas considérée comme efficace ou particulièrement utile pour enseigner une compétence complexe et perçue comme difficile, telle que le codage sécurisé.

Les développeurs ont également souligné le besoin de plus d'interactivité, voire l'ajout d'un élément compétitif.

Quels autres éléments sont importants lors de l'adoption d'une approche de sécurité cohérente ?

La formation est bien entendu essentielle pour améliorer la sensibilisation et les compétences en sécurité de la communauté des développeurs d'une entreprise. Il est nécessaire de garantir que l'apprentissage soit continu, interactif, pertinent et contextuel. Mais une approche véritablement cohérente en matière de sensibilisation à la sécurité va encore plus loin.

Une approche réellement cohérente doit prendre en compte ce qui est nécessaire pour favoriser une véritable culture de la sécurité menée par les développeurs. Cela peut nécessiter de changer l'approche traditionnelle de gestion et de constitution des équipes de développement. Par exemple, les développeurs ont traditionnellement été évalués en fonction de leur rapidité de codage. Cependant, une approche cohérente de la sécurité pourrait impliquer de modifier ces indicateurs et valeurs établis de longue date. Au lieu de cela, les évaluations pourraient mettre l'accent sur la récompense des développeurs capables de créer un code de qualité qui est également sécurisé, c'est-à-dire exempt de vulnérabilités.

Cela pourrait également impliquer la communauté des développeurs elle-même dans cet effort. Plutôt que d'imposer la sécurité aux développeurs, envisagez de créer ou de nommer des « champions de la sécurité » au sein de la communauté. Il s'agirait de développeurs talentueux et sensibilisés à la sécurité, qui se distinguent lors des formations ou dans le cadre des nouvelles évaluations de performance. Ils devraient également être disposés à aider leurs pairs à monter en compétences, améliorant ainsi la communauté de développement de l'intérieur.

Une approche réellement cohérente doit prendre en compte les besoins nécessaires pour favoriser une véritable culture de la sécurité portée par les développeurs. Cela peut impliquer de modifier les méthodes habituelles de gestion et de structuration des équipes de développement.

Pour aller plus loin

Livre blanc : Les défis (et opportunités) pour améliorer la sécurité logicielle

Livre blanc : L'approche préventive de la sécurité logicielle axée sur les développeurs

Livre blanc : Le Superbowl du DevSecOps : comment les champions de la sécurité peuvent mener votre équipe à la victoire contre les vulnérabilités tardives

Rapport : L'état de la sécurité axée sur les développeurs en 2022