Transformer la conformité PCI-DSS en un exercice utile pour tous : Partie 2 - RSSI et sensibilisation des développeurs

Voici la deuxième partie de notre mini-série sur la conformité PCI-DSS au sein d'une organisation. Dans ce dernier chapitre, nous détaillons comment les CTO et les CISO peuvent montrer l'exemple pour réduire les cyberrisques et rendre le processus fluide, efficace... et peut-être même un peu ludique pour les développeurs. (Vous avez manqué la première partie ? Consultez-la ici pour découvrir comment les spécialistes AppSec peuvent saisir cette opportunité pour améliorer les résultats en matière de sécurité).

Les bonnes pratiques PCI-DSS relèvent indéniablement d'une responsabilité partagée, mais les CISO et les CTO peuvent tirer parti de leur influence considérable pour bâtir, depuis le sommet, un programme de sécurité positif et prospère. Ils sont les garants de la confiance en matière de cybersécurité et de la perception des utilisateurs finaux. Mettre l'accent sur la sensibilisation dès le départ a un effet d'entraînement puissant, aidant les développeurs et les professionnels de l'AppSec à obtenir les connaissances, les outils et le soutien nécessaires pour contribuer à une posture de sécurité robuste au sein de l'entreprise.

Il est important de rester conforme, mais lorsque tout le monde adhère au « pourquoi », voit les résultats et est accompagné de la bonne manière, un programme peut transcender la simple législation pour devenir une seconde nature.

Les CTO et les CISO ont un rôle à jouer dans la création d'une confiance mutuelle

Vous est-il arrivé récemment d'hésiter à communiquer vos coordonnées bancaires sur un site ? À moins qu'il ne s'agisse de l'application web douteuse de votre pizzeria locale, ce n'est probablement pas une situation que vous vivez souvent, surtout avec les grandes entreprises et les noms connus du commerce en ligne.

À moins qu'elles ne révèlent une violation de données, bien sûr.

Le géant mondial de l'hôtellerie, Marriott, vient de révéler sa deuxième violation en l'espace de trois ans, celle-ci ayant entraîné le vol de 5,2 millions de dossiers clients. Cette fois, il ne semble pas que les informations de paiement aient été compromises, bien que leur violation catastrophique de 2018 s'en soit chargée ; 383 millions de clients ont été touchés, avec le vol de 5 millions de numéros de passeport non chiffrés, ainsi que de 8 millions de numéros de carte bancaire.

Si la confiance des clients envers la marque Marriott n'était pas déjà au plus bas, je dirais qu'elle est sur le point d'atteindre le fond. C'est le genre de situation qui empêche les CISO de dormir, car ils se sentent comme des cibles faciles dans la guerre contre les cybermenaces. Il suffit de regarder Equifax, Yahoo, Sony ou Target : ce ne sont là que quelques grands noms ayant subi des violations à grande échelle, représentant des milliards de données volées, des centaines de milliards de dollars de dommages et des pertes colossales de clientèle qui ont frappé leur cœur économique. C'est un désastre pour l'entreprise (Target a rapporté une chute de 440 millions de dollars de ses bénéfices au trimestre suivant leur violation de 2014), et bien que les individus ne soient généralement pas tenus pour responsables — après tout, la sécurité logicielle devrait être une responsabilité partagée — ce n'est pas exactement ce que vous voulez voir sur un CV par ailleurs brillant si vous travailliez pour ces organisations à ce moment-là.

Renoncer à un programme de sécurité robuste pour atteindre la conformité dans une organisation traitant des paiements, des données sensibles et cet actif immatériel qu'est la confiance des clients, est le signe d'une entreprise non seulement exposée aux risques, mais aussi sérieusement à la traîne en matière d'innovation.

Tout le monde devrait se soucier des problèmes de confiance dans la relation client/organisation.

Au-delà du stress et de la calamité auxquels les départements informatiques, de développement et de sécurité sont confrontés après une violation, le facteur confiance est un élément majeur de la réussite à long terme d'une jeune entreprise, ou de la croissance continue d'une entreprise établie. Ce que vous risquez de perdre en priorité, c'est votre emploi, si l'entreprise devait faire face à un ralentissement économique dû à une perte de confiance.

Les réglementations PCI-DSS tiennent les entreprises responsables — et comme mentionné plus haut, ignorer ces règles bien établies a des conséquences énormes — mais elles ne valent que ce que vaut le programme de sécurité mis en place et les personnes qui y travaillent. Si vous les prenez au sérieux, restez vigilant et montrez l'exemple aux autres, alors vous vous démarquez de manière très positive.

La sensibilisation est primordiale.

Un programme de sensibilisation à la sécurité défaillant rendra la plupart des tentatives de maintien de la conformité PCI pratiquement inutiles. La sensibilisation à la sécurité à l'échelle de l'organisation constitue la partie la plus critique des directives de bonnes pratiques ; ils proposent même leurs propres modules de formation sur la manière de mettre cela en œuvre dans des rôles interfonctionnels, et sur ce à quoi cela ressemble dans les entreprises qui adoptent la bonne approche.

Alors que nous nous dirigeons vers le DevSecOps comme norme actuelle en matière de développement logiciel sécurisé — où la sécurité en tant que responsabilité partagée est fondamentale — les entreprises doivent consacrer le temps, l'argent et les efforts nécessaires pour garantir que tout le monde, y compris les fournisseurs et les sous-traitants, soit sensibilisé à la sécurité et suive les meilleures pratiques.

Un développeur sensibilisé à la sécurité est un développeur conforme (et y parvenir n'a pas besoin d'être ennuyeux)

Lorsqu'il s'agit de devenir un développeur « certifié » conforme PCI-DSS, il n'existe pas beaucoup d'options évidentes. Pourquoi ? Probablement parce que cela ne peut pas être un exercice ponctuel.

L'organisation OWASP est une référence mondiale pour apprendre à contrer les vulnérabilités courantes, et son Top 10 figure officiellement dans les directives PCI-DSS destinées aux développeurs. Toutefois, maintenir une vigilance constante et perfectionner ses compétences demande du temps et des efforts soutenus. Personne ne souhaite que cela devienne une corvée fastidieuse et inutile.

Une culture de sécurité positive n'est pas un simple « bonus » au sein d'une entreprise ; si la sécurité est prise au sérieux, elle doit faire partie intégrante du fonctionnement quotidien de la société.

Les développeurs sont en première ligne pour stopper les vulnérabilités. Bénéficient-ils du soutien, des outils et de la formation nécessaires pour remplir leur rôle dans la conformité PCI-DSS ?

En réalité, une formation adaptée est plus fluide ; elle ne doit pas ressembler à un cours magistral, mais être parfaitement pertinente par rapport au travail quotidien. Ce type de formation pratique est une opportunité de montée en compétences : un atout de carrière indéniable pour les développeurs soucieux d'éliminer les vulnérabilités et de collaborer avec leur équipe pour produire un code de meilleure qualité.

Envie de tester vos compétences en codage sécurisé dès maintenant ? Choisissez votre mission.