Exploiter l'IA et les mesures proactives pour une gestion efficace des alertes de vulnérabilité

J'ai récemment eu le plaisir d'animer un webinaire au cours duquel notre CTO, Matias Madou, et Sharon Kochevsky de Mend.io ont abordé le thème Maîtriser les alertes de vulnérabilité. Durant cette session, ils ont exploré les défis et les solutions liés à la gestion des alertes de sécurité. Si vous avez manqué ce webinaire, voici quelques points clés de leur échange. Bien entendu, le webinaire est désormais disponible à la demande ici pour en découvrir tous les détails. 

L'impact de l'IA sur la sécurité

Matias a utilisé l'analogie des voitures autonomes pour illustrer l'état actuel de l'IA dans la création de logiciels sécurisés. Bien que ces véhicules puissent techniquement se conduire seuls, ils rencontrent des difficultés sur la route. Il a cité l'exemple de freinages fantômes imprévus. Des problèmes surviennent, et ce sont les techniciens humains qui doivent les résoudre. De même, si les développeurs suivent aveuglément l'IA, des erreurs de code et des vulnérabilités peuvent apparaître.  

Pour que l'IA produise de meilleurs résultats, Matias a souligné la nécessité de régularité et d'exemples de code de qualité pour entraîner les développeurs aux modèles d'IA. Si l'IA fonctionne bien sur des frameworks génériques, elle peine avec des applications réelles comportant des millions de lignes de code.

Il a ajouté que les développeurs expérimentés peuvent tirer profit de l'IA générative pour accélérer le codage, mais que les moins formés pourraient représenter un risque en reproduisant et en intégrant rapidement du code défectueux. 

Vers une approche proactive

La discussion a mis en avant le passage à des actions proactives. Plutôt que de simplement surveiller les problèmes de sécurité, Sharon Kochevsky préconise que les entreprises et les programmes AppSec privilégient des correctifs réels plutôt qu'une approche réactive axée sur le reporting. Comme Matias, il insiste sur la nécessité de dépasser les pratiques purement administratives pour se concentrer sur des résultats concrets. Le panel a également abordé la création de rapports et l'utilisation d'outils de sécurité intégrés avec des tableaux de bord en temps réel.

Combler le fossé 

Sharon et Matias ont identifié un problème crucial : le manque de communication entre les développeurs et les responsables de la sécurité. Les organisations intègrent désormais des « champions de la sécurité » pour combler ce fossé. Ces experts, placés au sein des équipes d'ingénierie, aident à promouvoir des mesures de sécurité proactives.

Nous n'avons fait qu'effleurer le sujet et la conversation se poursuit au-delà de ces webinaires ; un dialogue continu est essentiel dans notre secteur en constante évolution. Si vous souhaitez en savoir plus ou revoir la session, elle est disponible à la demande.

‍