Transformer la conformité PCI-DSS en un exercice utile pour tous : Partie 1 - AppSec

Voici la première partie d'une série consacrée à la mise en conformité PCI-DSS au sein d'une organisation. Dans ce chapitre, nous détaillons comment les spécialistes de la sécurité applicative (AppSec) peuvent collaborer étroitement avec les responsables du développement pour autonomiser les développeurs, renforcer le cycle de vie de développement sécurisé (SSDLC) et obtenir des résultats concrets à partir de législations générales.

Le mot « conformité » n'est pas très enthousiasmant. Il est formel, aride, directif... voire un peu restrictif. S'il avait une couleur, ce serait le beige. Et, disons-le, il semble en décalage avec tout environnement créatif ou innovant.

En tant que développeur, mon expérience de la « conformité » se résumait généralement à lire (en diagonale) quelques directives ou à assister à une présentation, avant de retourner coder des fonctionnalités et de me concentrer sur la création de logiciels que les clients utiliseront et apprécieront. Chacun retient ce qu'il peut sur le moment (et essaie de bien faire les choses), mais les directives de conformité — surtout celles concernant les meilleures pratiques de sécurité — ne sont généralement pas conçues pour les développeurs, et les actions requises peuvent manquer de clarté. Dans ce contexte, il est bien trop facile de rester focalisé sur ses objectifs immédiats.

Le fait est que le développement de logiciels sécurisés n'est plus une option dans aucune entreprise ; c'est (ou cela devrait être) une priorité absolue... et si une entreprise détient de grandes quantités d'informations sensibles sur ses clients, elle devient une cible de choix pour les cyberattaques. Les développeurs sont les premiers à manipuler le code et, à ce titre, ils devraient être tout aussi impliqués que le reste de l'équipe dans les mesures de conformité de sécurité.

Mais attendez... écoutez-moi bien. Cela ne signifie pas que tout le monde doit devenir l'esclave d'un développement rigide et sans créativité. Cela signifie que l'entreprise a l'opportunité et le pouvoir de créer, ensemble, un standard de code plus élevé. Le monde prend lentement conscience que, jusqu'à présent, les développeurs n'ont pas vraiment eu les bons outils pour faire de la sécurité une priorité (et les spécialistes de la sécurité isolés ne peuvent pas porter cette responsabilité seuls). Cependant, alors que l'industrie évolue vers un avenir DevSecOps où la sécurité est une responsabilité partagée, ils peuvent aider à endiguer le flux de vulnérabilités récurrentes lorsqu'ils sont mis en position de réussir.

Les directives PCI-DSS couvrent la conformité de la sécurité en ligne pour les passerelles de paiement par carte, un service que la plupart d'entre nous utilisent régulièrement. Ces directives sont applicables mondialement, et elles ont détaillé précisément ce que les développeurs doivent faire pour maintenir des normes conformes à leurs mandats, parallèlement à plusieurs documents de conformité couvrant divers aspects du commerce électronique.

Les violations de données sont des risques effrayants et destructeurs pour la réputation qu'aucune entreprise ne peut se permettre, et avec les prévisions de Cyber Security Ventures tablant sur une violation « zero-day » par jour en 2021, c'est un combat auquel chacun dans le processus de livraison logicielle peut contribuer.

Analysons les recommandations PCI-DSS et voyons comment elles peuvent être appliquées au sein de l'équipe :

Attention, équipes AppSec et Conformité : toutes les formations pour développeurs ne se valent pas

Dans les grandes (ou même petites) organisations, les développeurs ont rarement leur mot à dire sur la formation qu'ils reçoivent en entreprise. Pour fidéliser leurs meilleurs éléments, certaines sociétés proposent des programmes complets, mais ceux-ci restent moins courants qu'ils ne le devraient. Le besoin de formation en sécurité représente une excellente occasion non seulement de lancer la conformité organisationnelle sans ennuyer tout le monde à mourir, mais aussi de réchauffer les relations parfois glaciales avec l'équipe de développement.

En ce qui concerne la conformité PCI, leurs directives sont précises quant aux résultats attendus pour tout logiciel exploitant des passerelles de paiement ; parmi d'autres objectifs, ils exigent que les applications soient durcies (essentiel pour contrer les injections de code malveillant ou les altérations), que les contrôles de moindre privilège soient appliqués et qu'une sensibilisation complète aux vulnérabilités courantes soit assurée... au minimum. Tout le personnel travaillant avec des données de titulaires de carte doit être correctement formé, et pour les développeurs, cette formation peut faire toute la différence pour écrire un code sécurisé dès le début du processus.

Le document officiel Best Practices for Maintaining PCI-DSS Compliance détaille des concepts directs concernant la sensibilisation à la sécurité, les besoins des développeurs et la formation appropriée, tels que :

Copyright © 2006 - 2020 PCI Security Standards Council, LLC. Tous droits réservés.

Cela donne un aperçu de la formation spécifique et approfondie nécessaire pour doter les développeurs des compétences requises, mais ne désigne aucune solution éducative particulière comme étant plus efficace qu'une autre. Le guide PCI-DSS pour les développeurs est un peu plus direct, identifiant l'OWASP Top 10 comme une référence pour apprendre à identifier et corriger les vulnérabilités les plus courantes, ainsi que certains programmes de certification.

Mais... voici le problème. Comme vous le savez sans doute par diverses initiatives de formation et de conformité en entreprise, leur qualité et leur succès futur peuvent varier considérablement. Et lorsqu'il s'agit de développeurs, tant de programmes de formation au codage sécurisé ne semblent pas répondre à nos besoins, à nos méthodes de travail, ni même à nos tâches quotidiennes de manière significative. Dans ce scénario, toutes les formations ne se valent pas, et toutes ne conduiront pas à des logiciels plus sécurisés. C'est, bien sûr, l'exact opposé du résultat souhaité, et cela ne réduira en rien le stress lié à votre propre travail. Si vous voulez alléger la charge et empêcher les vulnérabilités courantes de causer des désastres potentiels, vous devrez construire un pont.

Combler le fossé des compétences en sécurité avec le soutien des responsables techniques

Collaborer directement avec les responsables techniques pour trouver une solution adaptée, tout en veillant à ce qu'elle soit adoptée par ceux qui l'utilisent au quotidien, est le moyen le plus rapide d'obtenir des résultats concrets en matière de sécurité. Ils ont une meilleure connaissance de leur équipe et peuvent identifier les obstacles qui ont rendu la formation à la conformité difficile par le passé (au-delà du fait qu'elle soit rarement une expérience agréable).

Les formations en présentiel, les vidéos à la demande et les exercices ponctuels de type « case à cocher » rendent la mise à jour des connaissances très difficile. Ce sont des solutions statiques qui ne peuvent pas suivre l'évolution constante du secteur de la cybersécurité. En fin de compte, le responsable technique veut rentabiliser le temps investi. Il est donc essentiel de travailler avec lui pour proposer des options viables qui répondent à l'objectif commun : un code plus sécurisé et conforme.

À quoi ressemble une bonne formation ? Apprendre à coder de manière sécurisée via des sessions massives et ponctuelles n'a que peu d'intérêt. Un processus d'apprentissage progressif et par petites doses facilite grandement la mémorisation et l'application en contexte. De plus, il doit impérativement porter sur les langages et frameworks utilisés au quotidien. Personnellement, j'aime être mis au défi et voir l'utilité de mes efforts. Nous sommes tous déjà assez occupés, n'est-ce pas ?

Pour se conformer aux bonnes pratiques PCI-DSS susmentionnées, les responsables peuvent être amenés, selon la solution choisie, à assembler un patchwork de cours disparates pour couvrir tous les langages et frameworks de l'entreprise. C'est là que les choses se compliquent, sans parler de la difficulté pour les équipes AppSec et conformité d'évaluer l'impact réel sur la sécurité et la réduction des vulnérabilités. Travaillez ensemble pour trouver la solution idéale plutôt que de vous précipiter sur une option inadaptée pour aller vite. Sinon, vous risquez de vous retrouver avec une formation « Frankenstein »... et c'est assez effrayant.

Merci d'avoir lu la première partie de cette mini-série sur la norme PCI-DSS. Dans le dernier chapitre, nous verrons comment les CISO et CTO peuvent favoriser cette transformation culturelle, autonomiser les équipes, et comment les acteurs de première ligne — vos développeurs — peuvent tirer parti de la sensibilisation et de la conformité PCI-DSS.