Comment devenir un ingénieur DevSecOps hors pair

Tout comme la technologie elle-même, les outils, les techniques et les processus optimaux pour développer du code évoluent rapidement. Nous, humains, avons un besoin insatiable de plus de logiciels, de plus de fonctionnalités... et nous les voulons plus rapidement que jamais, avec une meilleure qualité et, par-dessus le marché, sécurisés. Il y a encore quelques années, le développement Agile était la grande nouveauté utilisée pour diviser les gros projets en tâches plus petites et pour s'adapter rapidement aux cycles de feedback des clients. Avant cela, la méthode Waterfall était la référence absolue.

Alors que de nombreuses personnes et organisations passent de Waterfall à Agile — et soyons réalistes, tout le monde n'y est pas encore — elles rencontrent déjà un nouveau problème : les équipes de développement et leurs homologues opérationnels travaillent toujours en silos. Dans cet environnement, comment de petites équipes travaillant en mode Agile peuvent-elles tenir la promesse d'un déploiement et d'une livraison plus rapides ?

DevOps, un terme combinant développement et opérations, a été créé pour fusionner les fonctions des développeurs et des équipes opérationnelles lors de la création de nouveaux logiciels. Essentiellement, il s'agissait d'aider les développeurs à prendre en charge la mise en production, au lieu de rejeter la responsabilité sur l'équipe opérationnelle.

Ils peuvent certainement livrer plus rapidement — parfois même plusieurs fois par jour — ce qui semble correspondre à l'esprit Agile. Cependant, DevOps crée toujours une grande équipe mixte d'ingénieurs et de personnel opérationnel, ce qui n'est pas forcément aussi aligné sur l'Agilité dans la réalité. En fin de compte, il est préférable de considérer DevOps comme une évolution d'Agile, car les méthodologies sont similaires à bien des égards et complémentaires dans leurs différences. DevOps promeut un pipeline d'intégration et de déploiement automatisé et continu, essentiel pour permettre des versions fréquentes, mais moins suffisant au niveau de l'équipe — et c'est là qu'Agile intervient. Agile permet aux équipes, en particulier les petites, de suivre le rythme de ces versions rapides et de l'évolution des exigences, tout en restant concentrées et collaboratives. Cela semble idéal — et le processus peut aider les équipes à garder le cap sur l'objectif final — mais il n'est pas sans problèmes.

Les logiciels créés en utilisant les meilleures pratiques DevOps peuvent encore trébucher sur le premier obstacle : l'équipe de sécurité. Lorsque le code est examiné par des spécialistes de la sécurité applicative (AppSec) traditionnels/Waterfall, que ce soit avec des outils ou une revue manuelle complexe, ils découvrent souvent des risques et des vulnérabilités inacceptables qui doivent alors être corrigés après coup. Le processus d'intégration de correctifs de sécurité dans des applications terminées n'est ni rapide ni facile... et il est bien plus coûteux pour l'organisation.

Alors, si le monde dépasse Waterfall, Agile et maintenant DevOps, quelle est la solution ? Et en tant que développeur, quel est votre rôle pour suivre le rythme de ces changements d'approche ?

Les techniques de développement sont en constante évolution, mais heureusement, ce changement n'est pas si radical. Les organisations doivent simplement ajouter le "Sec" à "DevOps"... et c'est ainsi qu'est né DevSecOps. L'un des objectifs principaux de DevSecOps est de briser les barrières et d'ouvrir la collaboration entre les équipes de développement, d'opérations et, enfin et surtout, de sécurité. DevSecOps est devenu à la fois une tactique d'ingénierie logicielle et une culture qui prône l'automatisation et la surveillance de la sécurité tout au long du cycle de vie du développement logiciel.

Cela peut sembler être un processus organisationnel de plus, peut-être avec "trop de cuisiniers" pour un développeur ayant une longue liste de fonctionnalités à construire. Cependant, la méthodologie DevSecOps offre aux développeurs soucieux de la sécurité une véritable opportunité de briller.

Le brillant avenir de DevSecOps

Alors, pourquoi un développeur voudrait-il devenir ingénieur DevSecOps ? Peut-être avez-vous une certaine expérience avec DevOps (ou même Agile) mais souhaitez franchir l'étape suivante pour devenir compétent en DevSecOps. Tout d'abord, sachez que c'est une décision très intelligente, et pas seulement pour protéger le monde contre des cyberattaques coûteuses. Les experts affirment que la demande pour des talents en cybersécurité monte en flèche sans fin en vue. Ceux qui maîtrisent DevSecOps peuvent s'attendre à une carrière longue et lucrative.

La sécurité de l'emploi pour les ingénieurs DevSecOps est d'autant plus assurée que, contrairement aux tactiques de cybersécurité traditionnelles comme l'analyse de vulnérabilités avec une série d'outils logiciels, DevSecOps nécessite des personnes sachant implémenter la sécurité dès l'écriture du code. Comme l'ont noté les analystes de Booz, Allen and Hamilton dans leur blog intitulé 5 Myths of Adopting DevSecOps, les organisations veulent et ont même besoin de DevSecOps, mais ne peuvent tout simplement pas l'acheter. DevSecOps est une méthodologie qui permet aux équipes pluridisciplinaires d'intégrer des technologies et de collaborer tout au long du cycle de vie du développement logiciel, ce qui nécessite des personnes qualifiées, une gestion du changement et un engagement continu de la part de multiples parties prenantes.

Selon Booz, Allen and Hamilton, les entreprises peuvent acheter des applications et des outils pour aider à certains aspects de DevSecOps, comme les logiciels de gestion des versions, "mais ce sont vraiment vos équipes de livraison qui font la différence". Ce sont elles qui pilotent l'amélioration continue offerte par DevSecOps ainsi que son changement culturel et de paradigme.

Les organisations ne peuvent pas "acheter" un programme DevSecOps viable ; il doit être construit et maintenu, en utilisant une gamme d'outils, des connaissances internes et des conseils qui renforcent la culture de sécurité, tout en étant économiquement pertinent. Ce n'est pas facile, mais c'est loin d'être impossible.

Comment vous démarquer dans le mouvement DevSecOps

L'une des premières étapes pour devenir ingénieur DevSecOps est de réaliser qu'il s'agit autant d'une culture que d'un ensemble de techniques. Cela exige la volonté d'implémenter la sécurité dans chaque ligne de code que vous créez, et le désir de protéger proactivement votre organisation en recherchant activement les failles et vulnérabilités de sécurité pendant que vous codez, en les corrigeant bien avant qu'elles n'atteignent la production. La plupart des ingénieurs DevSecOps prennent leur profession et leurs compétences très au sérieux. L'organisation professionnelle DevSecOps possède même un manifeste énonçant ses convictions.

Le manifeste est assez dense, car les manifestes sont rarement une lecture légère. Mais à la base, il y a quelques vérités que tous les grands ingénieurs DevSecOps devraient apprendre à adopter, comme :

• Réalisez que l'équipe de sécurité applicative est votre alliée. Dans la plupart des organisations, les spécialistes AppSec sont en conflit avec les développeurs, car ils renvoient constamment le code terminé pour des corrections. Les équipes AppSec n'ont pas non plus beaucoup d'affection pour les développeurs, car ils peuvent retarder la mise en production du code en introduisant des bugs de sécurité courants. Cependant, un ingénieur DevSecOps intelligent comprendra que les objectifs des équipes de sécurité sont finalement les mêmes que ceux des développeurs. Vous n'avez pas besoin d'être meilleurs amis, mais établir une relation de travail calme et collaborative est vital pour réussir.
• Pratiquez et affinez vos techniques de codage sécurisé. Si vous pouvez trouver les vulnérabilités des applications pendant qu'elles sont encore en cours de construction, alors combler ces failles peut arrêter les futurs pirates dans leur élan. Bien sûr, cela nécessite à la fois une compréhension des vulnérabilités et les outils pour aider à les corriger. Les pages du blog Secure Code Warrior peuvent vous donner un aperçu des vulnérabilités les plus courantes et dangereuses que vous rencontrerez, ainsi que des conseils pratiques et des défis pour tester vos connaissances. L'aspect le plus important est de garder la sécurité à l'esprit et de prendre le temps pour une formation par petites doses qui vous aide à développer vos connaissances existantes. Il est courant que les interactions d'un développeur avec la sécurité soient assez banales — voire négatives — mais monter en compétences en sécurité est une excellente décision de carrière, et cela ne doit pas être une corvée.
• N'oubliez pas : les superstars du DevSecOps contribuent à une culture de sécurité positive au sein de leur organisation. Au lieu de se concentrer sur les objectifs du passé, comme livrer des applications rapidement sans se soucier de leurs problèmes inhérents, il est important de faire de la recherche et de la correction des vulnérabilités dans le code en développement une priorité absolue. La sécurité doit être considérée comme l'affaire de tous, et chacun devrait partager les félicitations et les récompenses qui découlent du déploiement d'applications efficaces et hautement sécurisées à chaque fois.

Vous pouvez contribuer à instaurer une culture de sécurité exceptionnelle au sein de votre organisation en promouvant le développement sécurisé et les meilleures pratiques dès la base, en recommandant des solutions de formation et en veillant à ce qu'aucun développeur ne soit laissé pour compte dans l'univers effréné du DevSecOps. Le seul bon code est un code sécurisé, et des développeurs compétents et sensibilisés à la sécurité sont des pièces maîtresses du puzzle. Les bénéfices personnels et professionnels en valent largement la peine, et avec des milliards de données personnelles compromises chaque année (un chiffre en constante augmentation), nous avons besoin de vous. Prenez votre place en première ligne et aidez à contrer les menaces dans notre monde numérique.

Matias Madou, Ph.D., est le CTO et cofondateur de Secure Code Warrior. Expert en sécurité, développeur de longue date et mordu de Fortnite.