OWASP AppSec Day 2019 : Former des développeurs à la sécurité

Plus tôt ce mois-ci, j'ai eu l'occasion d'assister à la OWASP AppSec Day 2019 dans la magnifique ville de Melbourne. Ces événements axés sur les développeurs comptent parmi mes préférés ; ils rappellent avec humilité l'existence d'une communauté qui travaille sans relâche pour former et donner aux ingénieurs logiciels et aux spécialistes les moyens de promouvoir la sécurité dans leur travail.

La liste des invités était sensationnelle, sans parler de sa diversité rafraîchissante, et il est très agréable de constater que, même après toutes ces années dans le secteur, je peux encore repartir inspiré. Des personnalités comme Tanya Janca, Toni James et Teri Radichel ont fait des présentations incroyables, tandis que les défis de codage sécurisé improvisés de Wireghoul (Eldar Marcussen) ont mis toute l'auditoire à l'épreuve, mais il était formidable de constater une telle conscience de la sécurité parmi les participants.

Cette année, Secure Code Warrior était sponsor platine de l'événement. J'ai souri en me rappelant qu'il y a seulement quatre ans, c'était l'équipe derrière l'OWASP AppSec Day qui aidait notre startup naissante avec un stand gratuit et de la promotion. Ce fut un moment de fierté de voir le chemin parcouru par notre entreprise, et l'occasion d'être reconnaissant de l'existence d'une communauté aussi généreuse composée de personnes incroyables.

Toni James : La sécurité du point de vue du développeur

S'il y a une chose que nous devons davantage cultiver dans ce monde, c'est l'empathie. Et lorsqu'il s'agit de rendre les logiciels plus sûrs à tous les niveaux, comprendre la situation du développeur est essentiel.

J'ai beaucoup apprécié la présentation de Toni, et je suis certain qu'elle a immédiatement trouvé un écho chez chaque développeur. L'histoire ne se résume pas à « écrire du code sécurisé », et bien que je sois convaincu que les développeurs formés efficacement à la sécurité sont notre meilleur atout dans la lutte contre les vulnérabilités, il est impératif de prendre en compte leurs défis quotidiens.

Le travail d'un développeur logiciel peut être exposé à des millions d'utilisateurs, soutenir des infrastructures critiques et être le moteur de services que nous tenons pour acquis. La création de fonctionnalités, la mise en œuvre d'innovations commerciales et le respect de délais de livraison serrés créent une forte pression, et cela avant même qu'une équipe AppSec ne vienne examiner leur travail acharné. Toni a parlé de la vie dans cet environnement et de la façon dont une bonne dose d'empathie de part et d'autre peut conduire à des processus et des résultats de sécurité bien meilleurs. Je suis très heureux de voir des progrès aussi sains réalisés pour combler le fossé entre les développeurs et les équipes AppSec ; en fin de compte, c'est un élément essentiel d'une culture de sécurité positive et florissante, et Toni est un excellent exemple de ce processus fonctionnant à merveille.

Tanya Janca et Teri Radichel : Super-héroïnes de la sécurité

Sans vouloir en faire une compétition, les contributions de Tanya Janca et Teri Radichel à la conférence ont été parmi mes préférées. Dix minutes après le début de leur tutoriel sur les évaluations de sécurité cloud en mode DIY, elles ont démontré l'étendue incroyable de leur expérience, de leurs qualifications et de leur expertise, mais aussi leur chaleur humaine et leur désir sincère de partager leurs connaissances et de soutenir la communauté des développeurs. Ensemble, elles ont présenté des actions réalistes et réalisables pour garantir la sécurité des déploiements Azure, incluant des conseils pratiques sur la définition de politiques de sécurité et de mesures de moindre privilège.

Une rapide recherche Google vous dira tout ce qu'il faut savoir sur leur dévouement à soutenir les développeurs à la base, avec une multitude de ressources gratuites, d'opportunités de mentorat et d'interviews pour promouvoir le côté ludique et engageant de la sécurité logicielle. Elles sont des championnes inspirantes et essentielles de notre communauté ; si elles interviennent lors de la prochaine conférence sur la sécurité à laquelle vous assistez, vous auriez tort de manquer leur session.

Des clients sur le devant de la scène

C'était génial de voir autant de nos clients non seulement présents, mais aussi occuper la scène et partager leurs immenses connaissances en matière de sécurité avec le public.

Nous avons pu assister à l'intervention importante d'Andrew Bailey de Telstra, intitulée « Adding the "Sec" to DevOps ». Sa riche expérience en tant qu'ingénieur logiciel senior, désormais concentrée sur la sécurité des applications et le codage sécurisé, offrait une perspective excellente à mettre en avant. Il a donné des conseils complets pour intégrer la sécurité à chaque étape du cycle de vie du développement logiciel (y compris, bien sûr, dès le début en formant davantage de développeurs au codage sécurisé).

Ken Johnson fait partie de l'équipe de sécurité de GitHub, et j'ai été ravi de le voir rejoindre le panel d'experts à la fin de la conférence. Avec les autres panélistes, il a répondu avec plaisir aux questions pressantes du public, y compris celles qui ne reçoivent pas nécessairement l'attention qu'elles méritent dans les médias. En plus de plusieurs perspectives sur le secteur, il a amené le panel à discuter de l'importance du bien-être et de l'équilibre vie professionnelle/vie privée, un sujet crucial à l'ère de l'épuisement professionnel des développeurs.

Je tiens à remercier chaleureusement Julian Berton et toute l'équipe de l'OWASP Melbourne pour cette nouvelle conférence incroyable. À l'année prochaine (avec plus d'autocollants).