Pieter Danhieux, PDG et cofondateur de Secure Code Warrior : « chacun doit comprendre et adopter le rôle qu'il joue dans la cybersécurité »

Cette interview a été initialement publiée sur CyberNews.

‍

Malgré la prolifération des outils et services de sécurité, les entreprises peinent toujours à suivre l'évolution constante du paysage des menaces.

Cela s'explique par un manque de sensibilisation et de formation à la sécurité chez les développeurs, ce qui peut conduire à la publication de code vulnérable, exploité par des acteurs malveillants. Bien que des mesures de sécurité telles que les logiciels antivirus ou des solutions performantes d'analyse de vulnérabilités puissent ajouter une couche de protection, notre invité explique aujourd'hui que tout commence par une équipe de développement axée sur la sécurité.

Pour discuter de la manière dont les développeurs peuvent être formés à identifier et à atténuer les menaces de sécurité, l'équipe de CyberNews a rencontré Pieter Danhieux, PDG et cofondateur de Secure Code Warrior, une entreprise proposant une plateforme d'apprentissage et une suite d'outils destinés aux développeurs pour les aider à gérer les vulnérabilités de sécurité.

Quel a été votre parcours ? Comment l'idée de Secure Code Warrior a-t-elle germé ?

En tant que jeune passionné de technologie, j'adorais démonter les appareils pour découvrir ce qu'ils cachaient et comment ils fonctionnaient. Au grand soulagement de ma famille et de nos appareils électroménagers, j'ai fini par appliquer cette même approche au matériel et aux logiciels, cherchant des moyens de les pirater et de les contourner. Une passion durable pour la sécurité est née. Pendant de nombreuses années, je me suis attaché à partager mes compétences en « piratage » avec des étudiants, des collègues et la communauté de la sécurité, en montrant comment trouver, utiliser et exploiter les erreurs logicielles. Plus tard, je me suis recentré sur la montée en compétences des défenseurs, en enseignant aux développeurs des modèles de codage sûrs et efficaces dans un cadre pédagogique, et en les aidant à comprendre les vulnérabilités courantes pour mieux les éviter. J'ai également travaillé dans le conseil, où j'ai aidé de grandes entreprises à améliorer leurs programmes de sécurité, notamment en ce qui concerne l'implication des développeurs. C'est à cette époque que j'ai rencontré ceux qui forment aujourd'hui mon équipe fondatrice chez Secure Code Warrior. Ensemble, nous avons compris les difficultés rencontrées tant par les équipes de sécurité que par les équipes de développement face aux vulnérabilités au niveau du code, ainsi que les lacunes des solutions de formation existantes. Nous avons alors concrétisé notre vision : une plateforme d'apprentissage évolutive à l'échelle de l'entreprise, tout en restant ludique et engageante pour les développeurs. En fin de compte, nous voulions créer une suite d'outils adaptés à l'environnement de travail des développeurs, moins perturbants, et favorisant une mentalité axée sur la sécurité. Nous avons également veillé à ce que la solution soit aussi flexible en termes de langages et aussi riche en contenu que possible.

Pouvez-vous nous présenter votre activité ? Quels sont les principaux défis que vous aidez à relever ?

En fin de compte, nous aidons les entreprises à accélérer leur développement logiciel en éliminant les frictions et les retards de sécurité souvent causés par l'utilisation de mauvaises pratiques de codage. Nous avons créé une plateforme d'apprentissage et une suite d'outils pour les développeurs qui les aident à naviguer parmi les vulnérabilités de sécurité courantes, dont beaucoup existent depuis des décennies et continuent d'exposer les entreprises aux cyberrisques. Si ces failles persistent, c'est parce que les développeurs manquent de formation et de compétences pour corriger ces problèmes au niveau du code, et qu'ils les introduisent souvent eux-mêmes en continuant d'utiliser des modèles et des techniques de codage inadaptés. Le codage sécurisé n'est pas enseigné dans le cursus universitaire, et la plupart des programmes de formation en entreprise sont inefficaces car ils ne proposent pas de contenu pertinent pour le travail quotidien, en plus d'être trop rares pour avoir un réel impact sur la qualité et la sécurité du code sur le long terme. Nos solutions visent à offrir un développement de compétences engageant et pertinent qui modifie les comportements de codage et aide les développeurs à placer la sécurité au premier plan dans le monde réel. Nous nous intégrons de plus en plus aux environnements familiers des développeurs, et notre approche axée sur l'apprentissage contextuel offre aux utilisateurs les meilleures chances de retenir les enseignements clés. Nous nous efforçons également de présenter la sécurité sous un jour positif et ludique, qui récompense la réussite et renforce l'esprit de communauté.

L'apprentissage du codage sécurisé pouvant sembler fastidieux pour certains, comment parvenez-vous à rendre votre formation à la fois efficace et divertissante ?

Notre plateforme d'apprentissage phare est conçue en plaçant l'engagement des développeurs au cœur de nos priorités. L'une des fonctionnalités les plus populaires est le mode Tournoi, où les participants peuvent tester les connaissances acquises lors de la formation face à leurs pairs. Des points sont attribués pour chaque bonne réponse et un classement en direct est mis à jour tout au long de la session. Nous avons organisé ces événements lors de conférences et de rencontres communautaires, et certains de nos clients ont même mis en place des thèmes incroyablement élaborés où tout le monde vient déguisé. C'est une excellente expérience de renforcement d'équipe et le moment idéal pour célébrer l'engagement envers la montée en compétences avec des pizzas, des prix et une pause dans la routine habituelle. De plus, notre contenu est disponible dans plus de soixante frameworks de programmation, utilisant des extraits de code réels qu'ils rencontreront dans leur travail quotidien. Il est bien plus facile de rester motivé lorsque le contenu est ultra-pertinent et aide à résoudre de vrais problèmes, plutôt que de regarder des vidéos ou de passer un examen de conformité annuel.

Quels sont, selon vous, les principaux défis auxquels les développeurs sont confrontés aujourd'hui ?

Je pense qu'il est important de souligner que les développeurs veulent bien faire, mais qu'ils n'ont pas été correctement préparés à la sécurité durant leur formation ou leur carrière. C'est la clé de bon nombre des problèmes qu'ils rencontrent en matière de sécurité. Ils ont également tendance à considérer la sécurité comme étant en dehors de leur champ de responsabilités, et dans la grande majorité des organisations, leurs indicateurs de performance (KPI) n'incluent rien lié aux résultats de codage sécurisé. Si nous voulons voir une réduction du volume de vulnérabilités au niveau du code, ce statu quo doit être brisé. Cependant, les développeurs ont besoin du soutien et des outils adéquats pour devenir les acteurs du changement que nous souhaitons voir. Le défi réside dans une habilitation efficace, en leur donnant le temps de se former et en investissant dès maintenant dans cette montée en compétences pour atteindre la sécurité à la vitesse souhaitée plus tard.

Comment les récents événements mondiaux ont-ils affecté votre domaine d'activité ?

Bien que chaque entreprise ait sans aucun doute ressenti certains effets du climat mondial actuel sur ses objectifs, ses prévisions et ses budgets, nous avons eu la chance de traverser la tempête jusqu'à présent. La cybersécurité est un élément non négociable pour la plupart des entreprises, et nous travaillons dur pour rester au cœur de cette conversation avec nos clients et prospects.

Quelles sont les meilleures pratiques que les organisations devraient suivre lors du développement de logiciels ou d'applications ?

Chaque organisation a ses spécificités, mais en général, les entreprises qui appliquent les meilleures pratiques de sécurité sont celles qui sont prêtes à sortir des sentiers battus et à essayer différentes approches. Elles n'oublient pas que l'humain est un levier puissant pour obtenir des résultats positifs en matière de sécurité. Pour la plupart, les développeurs ne sont pas une considération majeure dans un programme de sécurité. Pourtant, face à un déficit mondial de compétences en sécurité qui ne sera probablement pas comblé de sitôt, des développeurs formés à la sécurité peuvent aider à réduire les risques et à assurer la conformité dès la création du logiciel. Ils peuvent avoir un impact dès l'étape la plus précoce et la moins coûteuse du processus.

Au-delà des outils de codage sécurisé, quelles autres mesures ou pratiques peuvent, selon vous, non seulement améliorer mais aussi sécuriser les opérations commerciales ?

Chaque entreprise devrait mettre en place une formation à la sécurité basée sur les rôles. Il existe une multitude de menaces en dehors des failles au niveau du code que les acteurs malveillants cherchent à exploiter. Chaque personne au sein de l'organisation doit donc avoir une base régulière sur les principes de sécurité appliqués à son poste. En ce sens, du responsable de bureau à l'équipe comptable, chacun doit comprendre et adopter le rôle qu'il joue dans l'action et la sensibilisation à la cybersécurité.

Compte tenu du climat économique actuel, les RSSI subissent une forte pression pour maintenir la sécurité des entreprises au moindre coût. Quels conseils leur donneriez-vous ?

Les RSSI doivent faire preuve de créativité dans ce contexte, d'autant plus que la législation en matière de cybersécurité devient de plus en plus exigeante et, dans certains cas, conduit à ce que les RSSI soient tenus personnellement responsables en cas de violation. Ajoutez à cela les licenciements, et vous obtenez une situation où l'on attend de moins d'ingénieurs qu'ils assument davantage de responsabilités tout en produisant le même volume de logiciels. Les RSSI peuvent aider l'entreprise à réussir en levant l'un des obstacles majeurs qui les ralentissent : la sécurité.

De loin, l'étape la moins coûteuse pour traiter les vulnérabilités de sécurité au niveau du code et les erreurs de configuration est celle précédant la mise sur le marché du logiciel, ce qui place naturellement le développeur en position idéale pour réduire ce risque. Cependant, ils ont besoin d'un soutien adapté pour y parvenir. La sécurité à grande vitesse est possible s'ils fournissent aux équipes d'ingénierie des outils conçus pour les développeurs, en tenant compte de leur flux de travail et de leur pile technologique actuels. Ils ont besoin d'être habilités à atteindre une précision de sécurité à haute vélocité, ce qui se traite au mieux en leur montrant comment utiliser des modèles de codage sécurisé et corriger les problèmes plus rapidement.

Pour le coût d'une formation complète des développeurs, vous pouvez essentiellement travailler à éliminer les vulnérabilités à la source, économisant ainsi du temps et de l'argent plus tard dans le cycle de vie du développement logiciel (SDLC). Avec la fréquence des attaques à grande échelle et une responsabilité pour les RSSI plus élevée que jamais, nous devons cesser d'invoquer une pénurie de compétences en cybersécurité pour justifier notre retard. Donnez la priorité aux pratiques de sécurité défensives et valorisez le personnel qui est déjà sous vos yeux.

Que réserve l'avenir à Secure Code Warrior ?

Nous voulons continuer à innover, en plaçant le développeur au cœur des solutions que nous mettons sur le marché. Nous nous concentrons sur leur capacité à assurer la sécurité sans compromettre la vitesse de livraison des fonctionnalités, ni leur santé mentale alors qu'ils jonglent avec de multiples priorités.

Nous visons à aider les organisations à révolutionner leur programme de sécurité défensive, et nous voulons que les développeurs formés à la sécurité soient les héros de cette histoire. Restez à l'écoute.