Quelle est la place de l'élément humain dans l'avenir du codage sécurisé ?

Face à la multiplication des cybermenaces, les organisations doivent chaque jour trouver un équilibre entre sécurité, praticité et rapidité, s'exposant ainsi à des risques accrus. De nouvelles approches du codage sécurisé sont nécessaires. C'est pourquoi Secure Code Warrior a collaboré avec Evans Data Corp. pour mener une étude approfondie sur l'attitude des développeurs vis-à-vis du codage sécurisé, des pratiques de code sécurisé et des opérations de sécurité (téléchargez le livre blanc ici).

Ce rapport révèle que si la mentalité réactive « à l'ancienne » prédomine encore, on observe une prise de conscience croissante de la nécessité de solutions plus proactives, faisant des développeurs eux-mêmes la première ligne de défense.

Toute réflexion sur l'adoption de pratiques de codage sécurisé doit commencer par une compréhension des humains impliqués dans leur mise en œuvre, de leurs perceptions et de leur capacité à les appliquer. Cela mène à la pièce maîtresse du puzzle : comment leur donner les moyens de coder de manière plus sécurisée dès le départ et de livrer un code de qualité plus rapidement, en toute confiance ?

Codage sécurisé : où en sommes-nous et que doit-on changer ? Téléchargez l'infographie « L'élément humain » dès maintenant.

Perspectives actuelles : réactivité vs proactivité

Lorsque l'on a interrogé les développeurs et les responsables du développement sur les activités qu'ils associent au codage sécurisé, les trois réponses principales ont été :

• L'utilisation d'outils d'analyse sur les applications déployées.
• La revue manuelle du code pour détecter les vulnérabilités.
• La pratique active et continue consistant à écrire des logiciels protégés contre les vulnérabilités.

Comme nous pouvons le constater, deux des trois réponses principales se concentrent encore sur des approches réactives : la première dépend des outils (scanners) et la seconde du développeur (l'humain) effectuant des vérifications manuelles.

Parallèlement, deux des trois activités citées reposent sur l'élément humain. Cela souligne la perception croissante de la sécurité comme un enjeu humain. Mais parmi toutes les activités nommées, la plus révélatrice est la n° 3, qui identifie le facteur humain dans l'écriture de logiciels protégés contre les vulnérabilités dès la conception. Cela met en évidence un virage vers le « shift left » : une approche proactive et préventive qui intègre la sécurité dans le logiciel dès le début du cycle de vie du développement (SDLC).

Quelle place pour la sécurité dans le cycle de vie du développement (SDLC) ?

Lorsque l'on demande aux développeurs et aux responsables du développement où ils situent l'intégration des pratiques de code sécurisé dans le SDLC, les avis divergent. 55 % des managers estiment que le codage sécurisé est intégré à l'ensemble du processus de développement, contre seulement 43 % des développeurs. Cette différence reflète peut-être les rôles distincts de ces deux groupes au sein du SDLC. La direction est généralement moins impliquée dans le travail concret de codage et a tendance à avoir une vision plus globale, tandis que les développeurs sont davantage focalisés sur les aspects techniques et opérationnels.

Mais d'un point de vue global de sécurité et de qualité du code, il est alarmant de constater que seuls 13 % des développeurs et 10 % des managers estiment que les pratiques de code sécurisé devraient être intégrées dès les phases de conception, au tout début du SDLC. Il s'agit d'une opportunité majeure inexploitée. Selon une étude d'IBM, corriger des vulnérabilités dans un code après sa publication coûte trente fois plus cher que si elles avaient été détectées et corrigées au début.1 C'est une incitation puissante à adopter une nouvelle défense proactive et centrée sur l'humain, qui équipe les développeurs pour coder de manière plus sécurisée dès le départ. La sécurité logicielle ne peut être résolue par la seule dépendance aux outils ; elle doit prendre en compte l'élément humain.

L'élément humain est-il prêt ?

97 % des développeurs interrogés estiment avoir reçu une formation suffisante en codage sécurisé, et 95 % conviennent que cette formation a été précieuse pour leur carrière. Mais avant d'accepter ces affirmations telles quelles, nous devons nous demander : pourquoi les vulnérabilités de code sont-elles encore si fréquentes ? Les prétentions des développeurs en matière d'expertise en code sécurisé ne sont-elles qu'une question d'ego ? Les preuves vont certainement dans ce sens. Dans un aveu plus modeste, plus de 88 % des développeurs interrogés admettent que le codage sécurisé est difficile à apprendre, et 91 % des responsables du développement reconnaissent que les pratiques de codage sécurisé sont complexes à mettre en œuvre. Lorsqu'on leur demande d'identifier leurs principales préoccupations personnelles concernant l'implémentation de code sécurisé, 28 % des développeurs trouvent le processus d'apprentissage difficile, tandis que 24 % le trouvent ennuyeux. Cela souligne le fait que la formation des développeurs doit être améliorée.

De quoi l'élément humain a-t-il besoin ?

Pour surmonter le facteur « difficulté », une formation efficace au codage sécurisé nécessite un processus d'accompagnement qui aide le développeur à renforcer ses compétences étape par étape. Pour une pertinence maximale et une applicabilité immédiate, cette formation doit se dérouler dans le langage et le framework spécifiques qu'ils utilisent au quotidien.

Pour surmonter le facteur « ennui », la formation au code sécurisé doit être dispensée de manière pratique, une méthode bien plus engageante pour les développeurs que les modèles obsolètes de cours magistraux ou de vidéos à regarder. Cela devrait inclure des simulations en direct permettant aux développeurs de relever des défis de sécurité parfois risqués dans un environnement sécurisé. L'objectif doit être d'apprendre aux développeurs à trouver et à corriger les vulnérabilités dans le code au fur et à mesure de leur travail, et d'intégrer le codage sécurisé dans leur flux quotidien. Un autre facteur clé est l'utilisation d'outils de linting et de coaching intégrés à l'IDE, qui aident les développeurs à apprendre et à monter en compétences en continu tout en codant, prévenant et éliminant ainsi les vulnérabilités au fil de l'eau.

Si vous souhaitez découvrir comment offrir à vos développeurs ce nouveau niveau d'outils et de formation centrés sur l'utilisateur, réservez une démo dès maintenant.

Vous pouvez également télécharger votre exemplaire du livre blanc Passer de la réaction à la prévention : le nouveau visage de la sécurité des applications.

‍