Plus de failles, plus de problèmes : le coût de la confiance accordée aux applications tierces

Ce n'est un secret pour personne, notre mission principale est de sécuriser les logiciels et leur développement, en intégrant la sécurité dès le début de la production. Notre vision établit une nouvelle référence en matière de création logicielle, où les développeurs disposent des compétences et des connaissances nécessaires pour détecter le code vulnérable pendant le processus d'écriture et le corriger avant même qu'il ne devienne un problème.

Dans cette optique, vous pourriez penser que nous nous réjouissons d'entendre parler de nouvelles violations de données, de cyberattaques et de codes exploités affectant des entreprises du monde entier ; ces incidents soulignent certainement la nécessité de notre service dans de multiples secteurs. En réalité, c'est assez frustrant. Il est clair qu'en tant qu'industrie, nous commettons les mêmes erreurs encore et encore, car la plupart des formations en sécurité ne sont tout simplement pas assez robustes pour minimiser les risques et stopper ces violations.

La dernière victime en date d'une violation de données est Ticketmaster. Si vous faisiez partie des milliers de clients concernés, vous auriez reçu un e-mail vous informant de l'incident et vous demandant de changer votre mot de passe. Personne ne s'attend à ce que ses données personnelles soient compromises simplement pour avoir acheté des billets pour un concert ou un événement sportif, et pourtant, nous y sommes.

C'est une situation terrible pour tout le monde ; préjudiciable à la réputation de Ticketmaster et une expérience client franchement déplorable. Il y a cependant un problème : ce n'était pas entièrement de leur faute.

Vous voyez, l'entreprise utilisait les services d'une application de support client tierce fournie par Inbenta Technologies. Ticketmaster UK a découvert que le produit contenait du code malveillant, entraînant la compromission de cinq pour cent des données de leurs clients à l'échelle mondiale.

Et comment les pirates ont-ils réussi à exploiter ce système ? Ils ont manipulé une seule ligne de code JavaScript, personnalisée par Inbenta Technologies pour les besoins de Ticketmaster. Selon Inbenta, le code était utilisé sur une page pour laquelle il n'avait pas été conçu et, s'ils l'avaient su, ils l'auraient identifié comme une vulnérabilité de sécurité.

La vulnérabilité elle-même est essentiellement un problème de sécurité lié à une bibliothèque de téléchargement/stockage de fichiers, où une seule faille peut affecter tous les sites sur lesquels le même code est chargé. Le code peut être modifié pour collecter et rediriger des données personnelles vers les attaquants, pour ne citer que cela. Il s'agit d'une exploitation simple au potentiel de dommages considérable, et c'est un point sur lequel nous travaillons pour nous défendre avec une gamme d'exercices de formation sur la plateforme pour les développeurs.

Bien sûr, il est pratiquement impossible de gérer une entreprise sans dépendre d'applications tierces. Cependant, vous n'avez aucun contrôle sur la façon dont ils construisent leurs logiciels et une visibilité quasi nulle sur la solidité de la sécurité de leur code. Cela devient un exercice de confiance. Si votre partenaire tiers est laxiste dans ses pratiques de codage sécurisé, vous pourriez ouvrir la porte à une violation dans votre entreprise.

Alors, quelle est la solution ? Pour faire simple : nous devons tous faire mieux. Nous devons cesser de considérer la sécurité comme un obstacle irritant sur le chemin de l'innovation en entreprise.

Il est plus facile que vous ne le pensez de donner à votre équipe de développement les outils et les connaissances nécessaires pour adopter la sécurité et stopper le mauvais code dans son élan. Nous avons été heureux de voir tant des plus grandes et des plus célèbres entreprises mondiales de la finance, des télécommunications, de la vente au détail et de la technologie adopter cette nouvelle approche, mais la formation à la sécurité ne devrait pas être le domaine réservé des entreprises du Fortune 100. Chaque entreprise qui compte des développeurs parmi son personnel doit mettre en place une formation pour aider ses équipes à coder de manière sécurisée.

Le livre blanc récemment publié, que j'ai rédigé en collaboration avec notre CTO Matias Madou, présente les avantages de bâtir une culture de la sécurité au sein de votre organisation. Nous détaillons pourquoi c'est la clé pour libérer l'innovation, rester agile et réduire l'impact financier d'un code non sécurisé.

Vous y trouverez des conseils, notamment :

* Comment rendre la formation à la sécurité pertinente et engageante pour les développeurs

* Comment apprendre aux développeurs à identifier et à corriger leurs propres problèmes

* Comment aider les développeurs à construire leur propre code de manière sécurisée.

Je vous invite à télécharger cette ressource et à l'utiliser pour promouvoir la sécurité dans votre organisation, développer les compétences de votre équipe et être à l'avant-garde de l'établissement d'une norme de code plus élevée.

Nous devons cesser de considérer la sécurité comme un obstacle irritant sur le chemin de l'innovation en entreprise.