Managers et champions de la sécurité : les véritables moteurs et influenceurs clés des pratiques de développement sécurisé.

À l'heure actuelle, seuls 15 % des développeurs s'accordent à dire que les pratiques de code sécurisé devraient être la responsabilité de tous. Dans un monde où les menaces de sécurité se multiplient, cela est tout simplement insuffisant. Il faut agir. L'une des clés pour instaurer une culture saine de la sécurité applicative (AppSec) consiste à comprendre les influences (et les influenceurs !) en jeu. C'est pourquoi, en 2020, Secure Code Warrior a mandaté Evans Data Corp. pour mener une étude primaire* sur les attitudes des développeurs et des managers vis-à-vis du codage sécurisé, des pratiques de code sécurisé et des opérations de sécurité.

En ce qui concerne l'adoption vitale de pratiques de codage sécurisé, certains rôles ont une influence et une voix croissantes, ce qui peut aider à inciter les autres à apprendre et à adopter les meilleures pratiques.

Le premier d'entre eux est le responsable du développement, qui encourage les développeurs réticents à l'AppSec à adopter une mentalité de codage sécurisé. Les responsables du développement sont conscients que leurs équipes et eux-mêmes doivent accroître et améliorer leurs compétences en matière de codage sécurisé. 42 % des managers interrogés déplorent le manque de compétences en codage sécurisé chez les nouvelles recrues.

Le second est le « champion de la sécurité ». Bien que la plupart des développeurs considèrent encore la sécurité comme la responsabilité de quelqu'un d'autre, il existe un groupe restreint mais croissant qui adopte le codage sécurisé et le défend auprès de ses pairs. 25 % des développeurs interrogés conviennent qu'il existe des personnes référentes qui mènent le changement vers le codage sécurisé.

Bien que ces champions ne soient parfois que des développeurs ou des développeurs seniors, ils peuvent avoir un impact considérable pour faire évoluer une organisation vers une posture de sécurité proactive.

Mais examinons d'abord le rôle du responsable du développement dans ce contexte.

83 % des managers interrogés déclarent demander à leurs développeurs d'apprendre ou d'adopter des pratiques de codage sécurisé. Environ les trois quarts des managers interrogés affirment proposer des incitations aux développeurs pour qu'ils s'engagent dans une formation au code sécurisé.

• 67 % offrent aux développeurs la possibilité d'accéder à de plus grandes responsabilités en reconnaissance de l'apprentissage des pratiques de codage sécurisé.
• 47 % déclarent offrir la possibilité d'une rémunération plus élevée.

De nombreux managers accordent une importance primordiale aux compétences en codage sécurisé lors du recrutement de nouveaux développeurs et valorisent l'expérience en codage sécurisé chez les développeurs déjà présents dans leurs équipes.

Il est clair qu'au niveau organisationnel, les responsables du développement sont des moteurs essentiels de l'adoption des pratiques de codage sécurisé, et jouent un rôle déterminant dans l'identification des champions de la sécurité au sein de leurs équipes de développeurs.

Identifier les champions de la sécurité

L'une des clés pour améliorer l'engagement des développeurs dans les programmes de formation et de sensibilisation au code sécurisé consiste à identifier des défenseurs ou des champions de la sécurité parmi les rangs de leurs développeurs actuels.

Certains responsables du développement le font déjà : 55 % des personnes interrogées déclarent reconnaître les développeurs qui obtiennent de bons résultats lors d'événements spéciaux.

En tant que champion du changement dans le codage sécurisé, Secure Code Warrior comprend le pouvoir des événements spéciaux et des compétitions pour révéler le meilleur de la base de développeurs d'une organisation. C'est pourquoi nous avons fait des tournois un pilier central de notre plateforme d'apprentissage.

Sensibiliser à la sécurité et favoriser l'appropriation‍

Avec une variété de défis, des limites de temps, des classements et des prix, les tournois créent un engouement qui rend le codage sécurisé attrayant et favorise la sensibilisation à la sécurité ainsi que l'appropriation des enjeux.

Pour ce qui est de mesurer l'effet de la formation au code sécurisé, 65 % des responsables du développement interrogés affirment que des évaluations régulières des compétences orientent l'attention de leur organisation sur le codage sécurisé. Les tournois peuvent être utilisés pour évaluer les compétences en sécurité des développeurs dans un environnement actif mais sécurisé, et établir rapidement une base de référence pour le développement futur des compétences. Cette formation ludique offre des expériences pratiques et contextuelles dans les langages et frameworks de programmation pertinents, avec des défis qui imitent ceux auxquels les développeurs sont confrontés dans le monde réel.

Tout au long du tournoi, les développeurs cumulent des points et suivent leur progression dans le classement. Ce suivi permet à la direction d'identifier les futurs champions de la sécurité au sein de leurs équipes de développement.

‍
Si vous souhaitez en savoir plus sur le développement des compétences en code sécurisé grâce à une formation ludique qui mobilise vos développeurs et révèle vos champions de la sécurité, réservez une démo dès maintenant.

‍

*Passer de la réaction à la prévention : le nouveau visage de la sécurité des applications. Secure Code Warrior et Evans Data Corp. 2020