Avancer avec le NIST : notre vision de la cyberdéfense axée sur l'humain

Le récent décret sur la cybersécurité de l'administration Biden fait beaucoup parler dans le secteur de la sécurité, en particulier ceux qui cherchent à convaincre les développeurs de l'importance d'appliquer les meilleures pratiques de codage sécurisé dans leur travail quotidien. Pour la première fois, les développeurs travaillant sur des logiciels utilisés par le gouvernement fédéral doivent posséder des compétences vérifiées en matière de sécurité et se conformer à de nouvelles directives évolutives.

Cela marque un changement positif dans le statu quo de la cyberdéfense et intègre enfin la montée en compétences adéquate des développeurs au cœur du débat. Bien que ces politiques soient centrées sur le gouvernement américain, elles offrent aux organisations du monde entier une opportunité d'aborder et d'améliorer les normes de sécurité actuelles, depuis les développeurs jusqu'à l'analyse de sécurité des chaînes d'approvisionnement logicielles.

Le NIST a récemment sollicité l'avis du public pour éclairer ses prochaines mises à jour de la législation HIPAA, entre autres. C'était pour nous une occasion incontournable de mettre en commun notre expertise pour rédiger des documents de positionnement visant à promouvoir une approche de la cybersécurité plus humaine, plus sûre et plus efficace, permettant aux organisations de tirer le meilleur parti de leurs équipes.

En tant qu'organisation axée sur l'expertise, nous avons la chance de compter parmi nous certains des professionnels de la cybersécurité les plus dévoués et les plus accomplis, notamment le doctorant Pieter de Cremer et le Dr Brian Chess, membre de notre conseil consultatif technique. Nous avons uni nos efforts pour soumettre officiellement au NIST des documents de positionnement, soulignant comment notre approche de la montée en compétences des développeurs et de la sécurité préventive dès la phase de création logicielle pourrait avoir un impact positif sur les normes de cybersécurité à l'avenir.

Un parcours de développement sécurisé, tracé pour les développeurs

Les outils d'analyse de vulnérabilités, de surveillance et autres formes d'automatisation de la sécurité sont de plus en plus répandus et figurent à la fois dans le nouveau décret et dans les directives du NIST. Ils constituent une part de plus en plus essentielle d'un programme de sécurité moderne, mais l'histoire et le présent montrent que si les outils d'analyse détectent les vulnérabilités logicielles avec une efficacité croissante, cela n'a en soi aucun effet sur leur réduction, ni sur l'amélioration de la sécurité dès la conception.

Une pile technologique lourde qui distrait et ralentit le flux de travail des développeurs est l'une des raisons fondamentales pour lesquelles ces derniers se désengagent de la sécurité et la perçoivent négativement. Cependant, si les développeurs disposaient d'un parcours balisé pour un développement sécurisé, personnalisé non seulement pour la technologie, mais aussi pour les langages, les frameworks et les objectifs de projet spécifiques, alors intégrer la sécurité dans le processus de développement dès le départ — avec le moins de perturbations possible pour leur productivité — est un idéal qui permettrait de réduire considérablement les vulnérabilités courantes au fil du temps.

Pour lire notre document de positionnement NIST dans son intégralité, téléchargez-le dès maintenant :

Cadre de certification pour les pratiques de développement sécurisé : le chaînon manquant (actuel)

À ce jour, il n'existe aucune certification formelle permettant de vérifier les compétences en codage sécurisé et les meilleures pratiques. Il s'agit d'un oubli de longue date du secteur, et nous considérons qu'il est essentiel pour l'avenir de la cyberdéfense et du développement sécurisé.

Nous savons qu'il existe de nombreuses formes de formation à la sécurité destinées aux développeurs, mais si l'on en croit le volume de violations de données à grande échelle, de cyberattaques et de code de mauvaise qualité, cela ne permet pas de former des développeurs sensibilisés à la sécurité, et ils ne sont pas dotés des connaissances nécessaires pour résoudre un problème qui ne fait qu'empirer.

La montée en compétences des développeurs nécessite des outils et une éducation pertinents pour leur travail quotidien, contextuels, courts (mais fréquents), et leur permettant de s'appuyer sur leurs connaissances existantes dans les langages et frameworks qu'ils utilisent réellement. Une formation générique ne suffit pas, et cela doit être clairement stipulé dans la législation et par les organismes industriels tels que le NIST.

Le cadre NICE est tout à fait adapté pour élaborer des directives de certification complètes qui utilisent activement des méthodologies efficaces, présentant un intérêt et une pertinence majeurs pour les développeurs et leur travail. S'aligner sur ce cadre institutionnel reconnu aide à normaliser les pratiques qui font réellement la différence et fournit des parcours plus concrets à suivre pour les organisations.

Pour lire notre deuxième document de positionnement NIST dans son intégralité, téléchargez-le dès maintenant :

Le facteur humain dans la cybersécurité est souvent oublié, et il est temps d'œuvrer à des solutions humaines pour des problèmes humains tels que les vulnérabilités récurrentes. Les bugs vieux de plusieurs décennies ne devraient plus nous freiner, mais il faudra le soutien des gouvernements mondiaux pour changer le statu quo et apporter un impact positif et mesurable.
‍
Êtes-vous prêt à certifier vos développeurs ? Vous êtes au bon endroit. Découvrez notre plateforme d'apprentissage dès aujourd'hui.