Réaligner votre organisation sur le codage sécurisé : obstacles, préoccupations et solutions concrètes

Dans notre monde hyperconnecté, presque toutes les organisations partagent un talon d'Achille commun. Une seule vulnérabilité, une simple faille exploitable dans leur code, peut entraîner le vol de données clients, nuire à leur réputation et causer des pertes financières importantes. L'alignement organisationnel autour du développement sécurisé n'a jamais été aussi impératif, mais il est plus facile à dire qu'à faire. C'est pourquoi, en 2020, Secure Code Warrior a mandaté Evans Data Corp. pour mener une étude primaire* sur les attitudes des développeurs et des gestionnaires vis-à-vis du développement sécurisé, des pratiques de code sécurisé et des opérations de sécurité.

Dans cet environnement où la cybersécurité est primordiale, les indicateurs de performance traditionnels pour la réussite des projets sont en cours de redéfinition, mais pas assez rapidement.

Lorsque nous avons interrogé les développeurs et les gestionnaires sur les priorités les plus critiques dans le processus de développement logiciel :

• 76 % ont cité la performance des applications
• 62 % ont choisi les fonctionnalités
• Et un peu plus de 50 % ont sélectionné le code sécurisé
  

Aujourd'hui, comme nous pouvons le constater, la sécurité n'est pas une priorité critique.

Mais en se tournant vers l'avenir, la situation change radicalement. Lorsqu'on les interroge sur les priorités futures les plus vitales pour mesurer la réussite d'un projet, 79 % des développeurs conviennent que le développement sécurisé deviendra plus critique. En fait, les développeurs considèrent la sécurité comme l'indicateur de performance dont l'importance augmentera le plus.

Cependant, même si la sensibilisation au développement sécurisé progresse, son adoption suscite des inquiétudes. Pour les développeurs comme pour les gestionnaires, la gestion des vulnérabilités et la responsabilité du code suffisent à leur faire perdre le sommeil. Notre étude* a montré que ces deux groupes partagent les mêmes préoccupations fondamentales, ce qui souligne le besoin d'une meilleure formation aux pratiques de développement sécurisé.

Préoccupations et obstacles liés aux pratiques de développement sécurisé

La préoccupation numéro un des développeurs est « l'inclusion de code reproduisant des vulnérabilités antérieures ». Comme les développeurs sont jugés sur la qualité de leur code, cela n'a rien d'étonnant. Aucun développeur ne souhaite être à l'origine d'un code non sécurisé, ou d'un code nécessitant des retouches et ralentissant son équipe.

La deuxième préoccupation majeure des développeurs est la gestion des erreurs introduites par leurs collègues. Le respect des délais et la responsabilité du code figurent également en bonne place, tout comme le fait que l'apprentissage du code sécurisé soit difficile, ce qui fait écho à l'insatisfaction des développeurs vis-à-vis des approches de formation actuelles.

Les gestionnaires, quant à eux, adoptent une vision plus descendante. Leur préoccupation principale est d'être tenus responsables d'un code défaillant ou reproduisant des vulnérabilités antérieures. Après tout, si leur équipe produit un code médiocre, c'est le gestionnaire qui en porte la responsabilité finale.

Le fait que le processus d'apprentissage soit difficile arrive en troisième position ; ce n'est pas le seul obstacle aux pratiques de développement sécurisé.

45 % ont identifié un manque de communication entre les parties prenantes et la direction comme un obstacle majeur. 42 % déplorent le manque de compétences en développement sécurisé chez les nouvelles recrues. Parallèlement, 40 % ont mentionné un manque de temps et de ressources consacrés à la formation.

Les approches actuelles de formation au code sécurisé ne sont pas efficaces, et les gestionnaires réalisent qu'une nouvelle approche est nécessaire.

Qui est responsable des pratiques de code sécurisé ?

Par nature, la pratique du développement sécurisé implique de prendre en compte la sécurité beaucoup plus tôt dans le cycle de vie du développement logiciel (SDLC). Cela signifie intégrer activement la sécurité dès l'écriture du logiciel, au lieu de le laisser pour plus tard. En d'autres termes, « décaler la sécurité vers la gauche » (shift left). Ce « shift left » est l'essence même du développement sécurisé. Et cela signifie qu'en fin de compte, chaque membre d'une organisation devrait être responsable du code sécurisé. Mais à l'heure actuelle, seuls 15 % des développeurs sont de cet avis.

Cependant, alors que la plupart des développeurs considèrent encore la sécurité comme le problème de quelqu'un d'autre, un petit groupe, bien qu'en pleine croissance, non seulement adopte activement le développement sécurisé, mais le défend au sein de son organisation. 29 % des développeurs interrogés confirment l'existence de tels référents sur leur lieu de travail. Le problème est que ces champions du code sécurisé sont encore trop peu nombreux.

Former davantage de champions de la sécurité

Les responsables du développement sont conscients de la nécessité d'identifier et de former de nouveaux champions de la sécurité, ainsi que d'améliorer les compétences en codage sécurisé des développeurs en général.

De nombreux managers accordent également une grande importance aux compétences en codage sécurisé lors du recrutement de nouveaux développeurs et valorisent l'expérience en la matière chez les membres actuels de leurs équipes.

83 % des managers interrogés déclarent demander à leurs développeurs d'apprendre ou d'adopter des pratiques de codage sécurisé. Environ trois quarts d'entre eux affirment proposer des mesures incitatives pour encourager les développeurs à suivre des formations dédiées. Ces incitations vont de la reconnaissance formelle à l'augmentation des responsabilités ou du salaire.

Il est clair que les responsables du développement jouent un rôle déterminant dans l'adoption de pratiques de codage sécurisé au sein de l'organisation, et qu'ils sont essentiels pour repérer les futurs champions de la sécurité.

Mais pour créer davantage de champions, qu'est-ce qui motive les développeurs à se former au codage sécurisé ? Nos recherches montrent qu'ils y voient un moyen d'accroître leur productivité et leur efficacité.

Pourquoi les développeurs ne réclament-ils pas davantage de formations ? Qu'est-ce qui les empêche de s'aligner sur ce besoin croissant de l'organisation ?

Solutions pour amorcer un réalignement

Les développeurs ne veulent pas écouter passivement des cours magistraux ; ils veulent mettre la main à la pâte et expérimenter par eux-mêmes. Ils souhaitent se concentrer sur des applications pratiques, ce qui fait cruellement défaut aux programmes de formation actuels. Interrogés sur les améliorations possibles, 30 % des répondants ont exprimé le souhait que la formation soit axée sur la pratique, notamment sur des scénarios de travail réels.

Les méthodes de formation actuelles ne répondent pas à ce besoin. Une nouvelle approche est nécessaire. En tant qu'acteur du changement, Secure Code Warrior adopte une approche centrée sur l'humain pour aider les organisations à se réaligner autour du codage sécurisé. Nos cours de cybersécurité proposent des parcours d'apprentissage guidés incluant des défis de codage ludiques et pratiques qui imitent les situations réelles rencontrées par les développeurs.

Cette formation est spécifique aux langages et frameworks, contrairement aux formations génériques qui sont souvent oubliées aussitôt apprises.

Pour réaligner la culture d'entreprise, les tournois permettent d'évaluer les compétences en sécurité des développeurs, d'établir une base de référence pour le développement futur et de repérer les champions potentiels au sein de votre équipe.

Si vous souhaitez en savoir plus sur une formation au codage sécurisé qui concilie les besoins des managers, des développeurs et de l'organisation pour un avenir plus sûr, réservez une démo dès maintenant.

*Passer de la réaction à la prévention : le nouveau visage de la sécurité des applications. Secure Code Warrior et Evans Data Corp. 2020