Avez-vous surestimé la maturité de votre organisation en matière de sécurité ?

Une version de cet article a été publiée dans Dark Reading. Il a été mis à jour et syndiqué ici.


Alors que la plupart des entreprises naviguent entre croissance, innovation et transformation numérique, il est naturel que certains domaines restent en chantier à mesure qu'une société se développe. C'est souvent le cas du programme de cybersécurité d'une organisation, surtout lorsque les responsables de la sécurité luttent pour garder une longueur d'avance sur les nouvelles menaces, vulnérabilités et évolutions technologiques qui augmentent l'exposition aux risques.

Cependant, avec une pénurie persistante de compétences qui contraste avec le déluge de code produit pour répondre aux besoins logiciels mondiaux, de nombreuses entreprises prennent du retard dans leur stratégie de cybersécurité et leur infrastructure. Et alors que le secteur semble obsédé par une approche basée sur les outils, la puissance des compétences humaines est souvent négligée dans un programme défensif efficace.

Il est temps d'évaluer honnêtement notre maturité globale en matière de cybersécurité et d'identifier les gains rapides et viables qui s'offrent à nous.

La maturité durable en cybersécurité est un processus.

Il est facile pour le public de supposer que chaque entreprise dispose d'un programme de cybersécurité robuste et que la protection consiste simplement à choisir le bon logiciel et à l'activer comme un bouclier pour stopper net les acteurs malveillants. 2022 ayant été l'une des pires années jamais enregistrées en matière d'incidents cyber - incluant la prise en otage du gouvernement costaricien tout entier - beaucoup de professionnels de la sécurité aimeraient que ce soit aussi simple.

Bien que de nombreux secteurs - en particulier dans la finance - soient axés sur la conformité et liés par des cadres réglementaires de plus en plus complexes exigeant des mesures de sécurité strictes, la réalité est que la plupart des organisations manquent de cyber-résilience. Plus de la moitié des grandes entreprises mondiales ne parviennent pas à stopper efficacement les cyberattaques, ni à détecter et corriger rapidement les vulnérabilités exploitées.

Même les organisations considérées comme avancées, dotées d'un programme mature et défini englobant le trio gagnant des personnes, des processus et des technologies, peuvent peiner à suivre le rythme effréné du paysage des menaces. Un domaine critique où beaucoup d'entreprises échouent est la sensibilisation à la sécurité basée sur les rôles, en particulier pour l'équipe de développement. Bien que chaque personne dans une organisation doive comprendre son rôle dans la réduction de la surface d'attaque, ceux qui manipulent le code au quotidien pourraient être les moteurs d'une approche de la sécurité véritablement transformationnelle... s'ils étaient correctement formés.

Un programme de sécurité défensif et holistique exige une amélioration continue et une attention particulière portée à l'établissement de bases solides. Si ces bases sont principalement axées sur les outils, il est fort probable que les niveaux de maturité soient inférieurs à ce que les responsables de la sécurité escomptent. Une étude du Ponemon Institute a révélé que 53 % des entreprises n'étaient pas convaincues que leur pile technologique de sécurité pouvait stopper efficacement les brèches, et avec l'erreur humaine comme cause principale des cyberattaques réussies contre les entreprises, grandes ou petites, exclure les développeurs d'une montée en compétence stratégique revient à jouer avec le feu.

Faites des développeurs le moteur de l'excellence en sécurité logicielle

La vérité inconfortable concernant les cyberattaques est que, dans presque tous les cas, les attaquants ont un avantage net sur l'entreprise ciblée, quel que soit son niveau de maturité en matière de sécurité. Ils disposent du temps, des outils et de la motivation nécessaires pour rechercher méticuleusement toute faiblesse à exploiter, se consacrant à percer les défenses pour atteindre leur but.

Les organisations, quant à elles, jonglent avec les besoins de l'entreprise et des clients. Bien qu'elles ne puissent se permettre le risque immense d'une cyberattaque paralysante, il n'est pas pratique de ralentir les opérations pour accommoder une abondance de contrôles de sécurité qui pourraient finir par entraver la performance. C'est là que les développeurs formés à la sécurité deviennent un facteur clé de la cyberdéfense.

Bien qu'il soit établi depuis longtemps que les développeurs n'ont traditionnellement pas été habilités à partager la responsabilité de la sécurité de manière significative, cela peut et doit changer. Les organisations peuvent créer des parcours de montée en compétence viables pour les développeurs, mais elles doivent choisir des options de formation qui proposent un contenu pertinent et adapté à leur réalité. Au minimum, cela doit être transmis dans les langages et frameworks qu'ils utilisent activement, et traiter les vulnérabilités qu'ils sont le plus susceptibles de rencontrer dans leur code.

Lorsque les formations sont structurées en tenant compte du flux de travail des développeurs, il est bien plus probable que les mauvaises pratiques de codage, qui perpétuent les vulnérabilités et erreurs de configuration courantes, soient remplacées par de bonnes pratiques sécurisées, augmentant ainsi considérablement la qualité logicielle au fil du temps. Les logiciels de faible qualité ont coûté aux États-Unis 2,41 billions de dollars cette année seulement, et cela ne peut être remédié qu'en brisant le cycle des erreurs qui entretiennent une dette technique risquée.

Il faut un engagement à l'échelle de l'organisation pour un programme de sécurité plus positif et holistique ; un programme qui exploite le pouvoir humain nécessaire pour faire la différence sur les problèmes liés aux personnes. Et si éviter de faire la une des journaux demain est essentiel, cela vaut certainement l'effort.