La formation approfondie en sécurité soulève des questions dans l'enseignement

Depuis le début de notre mission en 2015, nous nous sommes toujours attachés à proposer aux développeurs une formation au codage sécurisé qui soit ludique, pertinente et stimulante. Nous avons depuis longtemps reconnu l'importance de fournir aux développeurs les connaissances et les outils nécessaires pour comprendre les meilleures pratiques de sécurité, leur utilité, et la manière dont ils peuvent contribuer à renforcer les logiciels contre les attaques malveillantes dès l'écriture du code.

Cependant, la formation à la sécurité n'est pas un concept nouveau. Nous n'avons certainement pas été les premiers à lancer cette initiative, et des mesures de sécurité adéquates sont prises en compte dans le développement de logiciels depuis longtemps. Certes, certains types de formation sont plus efficaces que d'autres, mais l'accès à une éducation en matière de sécurité est relativement facile à trouver, surtout aujourd'hui.

... alors pourquoi diable avons-nous autant de violations de données ? En septembre, plus de quatre milliards d'enregistrements avaient été exposés lors de multiples cyberattaques pour la seule année 2019.

De nombreuses organisations mènent actuellement une bataille perdue d'avance pour protéger nos données de plus en plus précieuses. Il est devenu évident pour les CISO et les CIO du monde entier que le « shifting left » (décalage vers la gauche) arrive encore trop tard ; nous devons commencer par la gauche avec la sécurité dans le cycle de vie du développement logiciel (SDLC), ce qui signifie que les développeurs doivent disposer de connaissances suffisantes en matière de sécurité pour corriger les failles bien avant que le code ne soit validé, et encore moins rendu public.

Les spécialistes de l'AppSec ne peuvent pas être les seuls gardiens du savoir en matière de sécurité.

Par le passé, la sécurité logicielle était le domaine d'un groupe très restreint de geeks brillants, n'ayant quasiment aucune interaction avec les ingénieurs qui écrivaient le code. Leur travail consistait à tester, casser et empêcher le code non sécurisé de voir le jour. S'ils se croisaient, c'était probablement parce que le spécialiste de la sécurité soulignait des failles dans le code... ce qui garantissait un accueil glacial de la part du développeur qui avait travaillé d'arrache-pied à sa création.

Aujourd'hui, la situation est pratiquement la même, sauf que les enjeux sont bien plus importants. Presque tous les aspects de notre vie sont numérisés... des albums photo sur les réseaux sociaux aux dossiers médicaux, en passant par les opérations bancaires et nos documents d'identité les plus précieux. C'était une chose de protéger des logiciels et des systèmes d'exploitation principalement hors ligne et autonomes. C'en est une autre de devoir se défendre contre des menaces pesant sur des milliards de lignes de code, avec des centaines de millions d'utilisateurs potentiellement en danger. Les enjeux sont tout simplement trop élevés pour qu'un seul groupe de spécialistes en assume l'entière responsabilité, et c'est pourquoi nous devons combler le fossé entre l'AppSec et l'équipe de développement. Ils doivent travailler ensemble, partager leurs connaissances et fonctionner comme une unité cohérente et sensibilisée à la sécurité.

Il n'y a qu'un seul problème : les développeurs ont rarement l'occasion d'acquérir des compétences en codage sécurisé de manière significative. La plupart des formations supérieures abordent à peine les meilleures pratiques de sécurité, et la qualité de la formation en entreprise est très variable.

Faut-il s'étonner que nous assistions à d'énormes violations un jour sur deux ? Téléchargez notre liste de contrôle AppSec.

‍

Un « permis de coder ».

Malgré le paysage actuel plutôt sombre, je suis optimiste quant à l'avenir de la sécurité. Il y a un changement dans l'air, et je suis très encouragé par le nombre immense d'organisations qui prennent le codage sécurisé au sérieux en ce moment.

Il devient de plus en plus évident que les développeurs ont besoin d'accéder aux bons outils et aux bonnes connaissances pour atténuer les risques de sécurité, et qu'une culture florissante de sensibilisation à la sécurité est vitale dans la lutte contre les violations de données. Lorsque les développeurs assument la responsabilité de la sécurité au moment de l'écriture du code, il devient beaucoup moins facile pour les attaquants d'exploiter des failles simples et d'obtenir les clés du royaume.

Il a toujours été vrai que certains développeurs sont plus sensibilisés à la sécurité que d'autres, et cela représente un véritable défi pour les organisations. Bien que les équipes de développement internes bénéficient souvent d'un certain niveau de formation et de suivi des compétences, les choses deviennent très floues lorsque vous intégrez des sous-traitants, des freelances et de jeunes diplômés. Agissent-ils avec un état d'esprit axé sur la sécurité ? Peuvent-ils éviter avec succès des failles ancestrales comme le cross-site scripting qui existent depuis des décennies ? C'est difficile à dire, et pourtant, ils sont souvent lâchés sur des parties vitales d'un développement logiciel. Aïe.

Heureusement, nous assistons à une augmentation des normes non négociables pour les développeurs. Par exemple, certaines organisations utilisent Secure Code Warrior comme outil pour évaluer les compétences en développement et délivrer un « permis de coder ». Sans avoir réussi les évaluations fondamentales de codage sécurisé, ils ne peuvent pas travailler sur les projets. Cela a été inestimable pour aider les diplômés et les stagiaires à se mettre à niveau en matière de compétences de sécurité, tout en inculquant le sens de l'importance du codage sécurisé. Après tout, la sécurité doit être synonyme de qualité lorsqu'il s'agit de logiciels.

La formation extrascolaire met les universités sous les projecteurs.

Changer la conversation autour du codage sécurisé demande plus qu'un article par-ci, un discours par-là. Il faut que ce soit un mouvement à l'échelle de la communauté, et il est formidable de voir autant d'organisations de premier plan prendre conscience de la situation et mettre en place des programmes de sécurité de haut niveau atteignant une norme enviable. L'une de ces entreprises est HSBC, dont le formidable programme veille à ce que les jeunes diplômés et les nouvelles recrues entament leur parcours « start left » le plus tôt possible. En tant que responsable de la Technology Academy de HSBC Inde, Sekhar Babu Tatavarti a trouvé qu'une formation approfondie en sécurité était indispensable :

« Chez HSBC Technology, nous voulions nous assurer que notre communauté de développeurs comprenne l'importance du codage sécurisé pour protéger la banque contre les vulnérabilités. Dans le programme de formation des diplômés que nous avons organisé cette année, nous avons pensé que c'était une occasion en or de les sensibiliser tôt et de leur permettre d'apprendre par eux-mêmes et d'intégrer les meilleures pratiques de codage sécurisé avant qu'ils ne soient opérationnels et ne commencent à coder sur leurs projets respectifs.

Nous avons choisi la plateforme Secure Code Warrior pour sa merveilleuse méthode d'apprentissage par la gamification pour les diplômés, et ils n'ont pas déçu nos attentes. Nous sommes ravis que chacun d'entre eux ait participé avec enthousiasme au tournoi en plus de terminer la certification White Belt dans différentes technologies », a-t-il déclaré.

De plus en plus d'organisations, à l'instar de HSBC, considèrent les compétences en codage sécurisé comme essentielles au niveau des développeurs. Cela a eu pour effet de mettre en lumière l'enseignement supérieur dans son ensemble. Les CISO et CIO commencent à se demander pourquoi les ingénieurs fraîchement diplômés terminent leur cursus sans aucune formation solide en sécurité.

Innovation dans l'enseignement supérieur.

Bien que le codage sécurisé doive devenir une composante obligatoire du génie logiciel dans l'enseignement supérieur, certaines universités ouvrent la voie en proposant une formation de premier ordre et en donnant la priorité à la sécurité dès le début du processus de développement, plutôt que d'en faire le domaine réservé de rares spécialistes de l'AppSec sur le terrain.

À l'Université du Queensland en Australie, le professeur Ryan Ko réalise des progrès significatifs pour préparer la prochaine génération de développeurs à nous protéger contre l'inévitable vague de cyberattaques :

"La plupart des vulnérabilités logicielles sont introduites au stade du codage. Si nous pouvons agir à la source (c'est-à-dire auprès du programmeur), nous serons en mesure d'éradiquer la plupart des problèmes récurrents figurant aujourd'hui dans la liste CVE. Étant donné que les logiciels affectent la vie et les moyens de subsistance de la majeure partie de notre société moderne, les universités et les établissements de formation ont la responsabilité morale et sociale d'enseigner à tous les programmeurs débutants comment coder de manière sécurisée", a-t-il déclaré.

Il s'agit d'une évolution passionnante par rapport aux cursus classiques, qui offrent très peu en matière de sensibilisation et de compétences en sécurité. Et c'est un « virus » que je serais ravi de voir se propager davantage. Pour mon plus grand plaisir, l'Université Macquarie insuffle également à ses étudiants une mentalité axée sur la sécurité, grâce aux efforts de personnes comme Christophe Doche :

"Lancé en 2016, l'Optus Macquarie University Cyber Security Hub est la première initiative de ce type en Australie, reliant des universitaires spécialisés en sécurité de l'information, commerce, criminologie, renseignement, droit et psychologie à des experts en cybersécurité issus de l'industrie et du gouvernement.

Notre mission est de positionner l'Australie comme un leader mondial de la cybersécurité grâce à l'éducation, la recherche et les partenariats. Un aspect important consiste à combler le déficit de compétences bien documenté en cybersécurité, les projections indiquant que 1,8 million d'emplois ne seront probablement pas pourvus dans le monde en 2022.

Combler ce déficit de compétences nécessite une approche multidimensionnelle, qui implique le perfectionnement et la reconversion de la main-d'œuvre existante, ainsi que la formation d'une nouvelle génération de spécialistes de la cybersécurité", a-t-il déclaré.

Leur approche est incroyable : elle propose un apprentissage de précision très engageant qui aide à combler les fossés entre les départements et à créer une véritable culture de la sécurité. Ils tirent parti du microapprentissage dans leur stratégie, en proposant des modules d'apprentissage ludiques et courts, avec un taux élevé de rétention, d'engagement et de répétition. Je suis particulièrement fier que nous puissions les aider à impliquer leurs étudiants de manière créative :

"Un excellent exemple de cet engagement est le partenariat avec Secure Code Warrior. Après un tournoi organisé par Secure Code Warrior et le Cyber Security Hub en août 2019, nous envisageons maintenant d'intégrer la plateforme Secure Code Warrior à notre programme, notamment dans notre nouvelle unité sur le développement d'applications sécurisées", a déclaré Christophe.

Des initiatives comme celles de l'Université Macquarie et de l'Université du Queensland sont de véritables pionnières du codage sécurisé dans le secteur de l'éducation. En tant que professionnels de l'AppSec, développeurs et membres de la communauté de la sécurité au sens large, notre objectif doit être d'intégrer la sécurité dans tout ce que nous faisons et de poursuivre notre engagement à anticiper les risques.