Motiver les développeurs est la clé pour améliorer les pratiques de sécurité

Le paysage des cybermenaces devient chaque jour plus complexe. Les attaquants scannent constamment les réseaux à la recherche d'applications, de programmes et d'instances cloud vulnérables. La tendance actuelle est aux API, largement considérées comme une cible facile en raison de leurs contrôles de sécurité souvent laxistes. Ils sont si persistants que de nouvelles applications peuvent parfois être compromises et exploitées quelques heures seulement après leur déploiement. Le rapport 2021 de Verizon sur les enquêtes relatives aux violations de données (Data Breach Investigations Report) montre clairement que les menaces pesant sur les entreprises et les organisations sont plus dangereuses aujourd'hui qu'à n'importe quel autre moment de l'histoire.

Il devient évident que la seule façon de véritablement renforcer les logiciels créés est de s'assurer qu'ils reposent sur un code sécurisé. En d'autres termes, la meilleure façon de stopper l'invasion des acteurs malveillants est de leur refuser dès le départ tout accès à vos applications. Une fois que vous commencez à mener cette guerre, la plupart des avantages penchent en faveur des attaquants.

Cette situation a d'abord donné naissance au développement agile et au DevOps, puis à l'ensemble du mouvement DevSecOps, où la sécurité est une responsabilité partagée par tous les acteurs impliqués dans le processus de création de logiciels, du développement au déploiement. Mais la base de cette pyramide, et sans doute la partie la plus importante, ce sont les développeurs. Bien que la plupart d'entre eux souhaitent apporter leur pierre à l'édifice et écrire du code sécurisé, beaucoup d'organisations pour lesquelles ils travaillent soutiennent moins les changements qu'exige un tel bouleversement des priorités.

La défaite par conception

Pendant de nombreuses années, on a dit aux développeurs que leur rôle principal au sein de leur organisation était de créer et de déployer rapidement des applications dans un environnement dynamique, où les affaires ne s'arrêtent jamais et où les clients ne dorment jamais. Plus les développeurs codaient vite et plus ils déployaient de fonctionnalités, plus ils étaient valorisés lors de leurs évaluations de performance.

La sécurité était une réflexion après coup, si elle était prise en compte. Tout cela était laissé aux équipes de sécurité des applications (AppSec). Ces équipes étaient peu appréciées de la plupart des développeurs, car elles renvoyaient souvent les applications terminées en phase de développement pour appliquer des correctifs de sécurité ou réécrire du code afin de corriger des vulnérabilités. Et chaque heure qu'un développeur passait à travailler sur une application déjà « terminée » était une heure de moins consacrée à la création de nouvelles applications et fonctionnalités, diminuant ainsi sa performance (et sa valeur, aux yeux d'une entreprise particulièrement punitive).

Puis, l'environnement des menaces a changé l'importance et la priorisation de la sécurité pour la plupart des entreprises. Selon le récent rapport sur le coût d'une violation de données d'IBM et du Ponemon Institute, le coût moyen d'une cyberattaque s'élève désormais à environ 3,8 millions de dollars par incident, bien que ce chiffre soit loin d'être une limite supérieure. Une entreprise a subi à elle seule 1,3 milliard de dollars de pertes à la suite d'une intrusion sur son réseau. Les entreprises d'aujourd'hui veulent la sécurité offerte par le DevSecOps, mais, malheureusement, elles ont tardé à récompenser les développeurs qui répondent à cet appel.

Demander simplement aux équipes de développement de prendre en compte la sécurité ne fonctionnera pas, surtout si elles sont toujours incitées uniquement sur la base de la rapidité. En fait, dans un tel système, les développeurs qui prennent le temps d'apprendre la sécurité et de sécuriser leur code pourraient être pénalisés par rapport à leurs collègues moins sensibilisés, qui continuent d'obtenir de meilleures évaluations et des primes lucratives. C'est presque comme si les entreprises truquaient involontairement le système pour provoquer leurs propres échecs en matière de sécurité, et cela revient à leur perception de l'équipe de développement. Si elles ne les considèrent pas comme la première ligne de défense, il est très peu probable qu'un plan viable utilisant leur main-d'œuvre aboutisse.

Et cela sans même parler du manque de formation. Certains développeurs très qualifiés ont des décennies d'expérience en codage, mais très peu en matière de sécurité… après tout, cela ne leur a jamais été demandé. À moins qu'une entreprise ne propose un bon programme de formation à ses programmeurs qualifiés, elle peut difficilement s'attendre à ce qu'ils acquièrent soudainement de nouvelles compétences et les mettent en pratique de manière significative pour réduire activement les vulnérabilités.

Récompenser les développeurs pour leurs bonnes pratiques de sécurité

La bonne nouvelle est que l'immense majorité des développeurs font leur travail parce qu'ils le trouvent à la fois stimulant et gratifiant, et parce qu'ils apprécient le respect que leur poste implique. Michael Shpilt, codeur professionnel de longue date, a récemment écrit sur tout ce qui le motive, lui et ses collègues, dans leur travail de développement. Oui, il cite la rémunération financière parmi ces incitations, mais elle arrive étonnamment loin dans la liste. Il privilégie plutôt le plaisir de créer quelque chose de nouveau, l'apprentissage de nouvelles compétences et la satisfaction de savoir que son travail sera directement utilisé pour aider les autres. Il parle également de son besoin de se sentir valorisé au sein de son entreprise et de sa communauté. En bref, les développeurs sont comme beaucoup de bonnes personnes qui tirent de la fierté de leur travail.

Les développeurs comme Shpilt et d'autres ne veulent pas que des acteurs malveillants compromettent leur code et l'utilisent pour nuire à leur entreprise ou aux utilisateurs mêmes qu'ils essaient d'aider. Mais ils ne peuvent pas changer soudainement leurs priorités vers la sécurité sans soutien. Sinon, c'est presque comme si le système travaillait contre eux.

Pour aider les équipes de développement à améliorer leurs compétences en cybersécurité, elles doivent d'abord recevoir la formation nécessaire. L'utilisation d'un apprentissage structuré et d'outils tels que la formation « Just-in-Time » (JiT) peut rendre ce processus beaucoup moins pénible et aider à renforcer les connaissances existantes dans le bon contexte.

Le principe du JiT est que les développeurs reçoivent les bonnes connaissances au bon moment. Par exemple, si un outil de formation JiT détecte qu'un programmeur est en train de créer un morceau de code non sécurisé ou d'introduire accidentellement une vulnérabilité dans son application, il peut s'activer et montrer au développeur comment corriger ce problème, et comment écrire un code plus sécurisé pour effectuer cette même fonction à l'avenir.

Une fois l'engagement en faveur de la montée en compétences mis en place, les anciennes méthodes d'évaluation des développeurs basées uniquement sur la vitesse doivent être éliminées. Au lieu de cela, les codeurs devraient être récompensés en fonction de leur capacité à créer du code sécurisé, les meilleurs développeurs devenant des champions de la sécurité qui aident le reste de l'équipe à améliorer ses compétences. Et ces champions doivent être récompensés à la fois par le prestige de l'entreprise et par une compensation financière. Il est également important de se rappeler que les développeurs n'ont généralement pas une expérience positive avec la sécurité ; les encourager avec un apprentissage positif et ludique ainsi que des incitations qui répondent à leurs intérêts contribuera grandement à assurer à la fois la rétention des connaissances et le désir de continuer à développer leurs compétences.

Les entreprises peuvent toujours inclure la vitesse de codage comme un élément de l'évaluation d'un développeur, mais avec l'attente que le développement d'applications sécurisées puisse prendre un peu plus de temps, surtout pendant que les codeurs apprennent ces nouvelles compétences.

Le DevSecOps peut être la défense ultime contre les arts sombres d'un paysage de menaces de plus en plus dangereux. N'oubliez simplement pas que les champions de ce nouveau monde, les développeurs qui créent constamment du nouveau code, doivent être respectés et rémunérés pour leur travail.

Envie de mettre vos compétences en sécurité à l'épreuve face à des développeurs du monde entier ? Découvrez les Devlympics 2021 de Secure Code Warrior et tentez de remporter un prix majeur lors de nos tournois mondiaux !