Le développement sécurisé doit être le système immunitaire de l'AppSec

En tant que professionnel de la sécurité des applications, votre rôle est de garantir la cybersécurité des applications de votre organisation. Cependant, vous n'êtes pas responsable de l'écriture du code sur lequel ces applications reposent ; ce sont les ingénieurs de l'équipe de développement qui s'en chargent. Comment vous assurer alors qu'ils développent ces systèmes en gardant la sécurité à l'esprit ?

Il est fort probable que vous fassiez déjà tout ou partie des choses suivantes :

• Passer en revue tout le code à la recherche de failles de sécurité et les signaler à l'équipe de développement pour correction.
• Imposer un processus strict de revue par les pairs tout au long de votre cycle de vie de développement sécurisé.
• Faire réaliser régulièrement des évaluations d'applications ou des tests d'intrusion par des équipes de sécurité internes ou externes.
• Mettre en place des outils d'analyse pour détecter les vulnérabilités.
  

Ce sont d'excellentes pratiques, mais elles sont coûteuses et s'apparentent à prendre des antibiotiques à chaque fois que vous tombez malade. Non seulement cela coûte cher, mais l'efficacité diminue et cela peut affaiblir votre système immunitaire avec le temps.

Comment faire pour garantir que le code livré par les développeurs est sécurisé dès le départ ?

Au-delà du codage sécurisé, réfléchissez d'abord à la manière dont les gens apprennent. La plupart d'entre nous apprennent par l'observation et par la pratique. Pourtant, la formation au code sécurisé est souvent perçue comme une simple formalité administrative, sans lien réel avec le travail quotidien des développeurs. Elle est conçue pour prouver que les développeurs ont suivi une formation, souvent pour se conformer aux normes du secteur, et non pour qu'ils retiennent réellement ces connaissances, et encore moins pour qu'ils y prennent du plaisir.

Une autre façon d'apprendre est d'apprendre de ses erreurs, tout comme le fait notre système immunitaire. Les lymphocytes T mémorisent les agents pathogènes rencontrés et éliminés par le passé afin de nous en protéger à l'avenir. C'est exactement le rôle que les développeurs devraient jouer dans votre SDLC sécurisé.

Il est irréaliste d'attendre d'eux qu'ils ne fassent aucune erreur, mais vous pouvez les préparer à reconnaître les modèles de codage qui pourraient entraîner des vulnérabilités de sécurité à l'avenir.

C'est aussi ce qui rend un processus de revue par les pairs robuste si puissant. Ce n'est pas parce qu'un développeur ne remarque pas une faille de sécurité qu'un autre ne la verra pas. Et mieux l'équipe de développement est formée dans son ensemble, plus les vulnérabilités seront détectées rapidement avant d'atteindre la production.

Les vulnérabilités logicielles sont comme des agents pathogènes

Les vulnérabilités logicielles sont comme des agents pathogènes : il faut s'en souvenir pour pouvoir les combattre. Avec les agents pathogènes, notre système immunitaire doit souvent être exposé plusieurs fois avant de savoir comment les combattre pour éviter une maladie grave ou pire.

Une cyberattaque réussie exploitant un logiciel vulnérable peut gravement paralyser, voire détruire une organisation. Mais si les développeurs sont confrontés aux vulnérabilités logicielles dans un environnement contrôlé, ils peuvent renforcer leur immunité face aux menaces en développant et en pratiquant régulièrement leurs connaissances et compétences en matière de codage sécurisé.

Exposez les développeurs aux failles de sécurité dans un environnement contrôlé

Nous ne pourrons jamais nous protéger totalement de la maladie, mais nous pouvons faire des choses pour renforcer notre système immunitaire et rester en bonne santé. L'exercice régulier, une alimentation saine et un sommeil suffisant sont des choix de vie associés à un système immunitaire fort. Mais tout cela demande des efforts et doit être continu. Faire du jogging une semaine ou arrêter l'alcool pendant un mois n'aura que peu d'impact sur votre santé globale. Il n'est pas non plus conseillé de courir un 10 km dès le premier jour. Il faut d'abord habituer son cœur et ses muscles à l'effort. Nous savons aussi qu'il faut tâtonner un peu avant de trouver le bon équilibre pour notre corps, ainsi que les aliments sains et les exercices que nous aimons.

Il en va de même pour le développement logiciel sécurisé. L'apprentissage se fait avec le temps et la pratique, et les développeurs ont besoin de cette formation continue pour booster régulièrement leurs compétences en codage sécurisé. Sans oublier que le développement logiciel évolue et s'adapte constamment, ce qui signifie que les vulnérabilités font de même. C'est pourquoi une simple formation ponctuelle ne suffit pas. Les développeurs ont besoin d'une montée en compétences régulière pour être suffisamment familiers avec les menaces potentielles et être correctement équipés pour s'en défendre.

Visez l'immunité collective au sein de l'équipe de développement

Une seule personne ne peut pas prévenir tous les problèmes de sécurité. C'est bien d'avoir des champions de la sécurité dans l'équipe, mais pour une protection optimale, plus il y a de personnes formées aux vulnérabilités et à leur prévention, plus votre organisation a de chances de les éviter. Encore une fois, ce n'est pas très différent de la façon dont le système immunitaire possède différents types de lymphocytes T pour différentes fonctions. Chaque développeur fait partie d'une équipe qui garantit la sécurité. S'ils sont responsabilisés, encouragés à bien faire et qu'ils y prennent du plaisir, vous pourrez créer une immunité collective contre les cybermenaces au sein de votre équipe de développement.

Faites de la sécurité une priorité grâce à une exposition répétée

Notre cerveau apprend de la même manière que notre système immunitaire fonctionne. Le psychologue allemand Hermann Ebbinghaus fut un pionnier dans le domaine de la mémoire et de l'apprentissage. Il a déduit que l'apprentissage doit se faire dans la durée, au fil de sessions multiples. À l'école, on ne nous demande jamais de retenir de nouvelles connaissances dès la première présentation. L'information nous est d'abord exposée, puis nous la pratiquons avec un encadrement, et enfin en autonomie. Et même après avoir appris suffisamment pour réussir un examen, l'information a tendance à s'effacer si nous ne l'utilisons pas régulièrement. Combien d'entre nous peuvent prétendre se souvenir de leur cours d'anglais du lycée ?

Comment peut-on alors croire qu'une seule journée passée à regarder des diapositives et à écouter quelqu'un parler de sécurité suffira à rendre les développeurs présents plus vigilants dans leur code ?

Les modèles de vulnérabilités récurrentes prouvent que cela ne fonctionne tout simplement pas.

Comment atteindre une immunité en matière de développement sécurisé ?

La réponse réside dans notre nature. Notre corps et notre esprit fonctionnent de la même manière et offrent des solutions élégantes aux problèmes, à condition de travailler avec eux et non contre eux.

Pour garantir la sécurité de vos applications, vous devez commencer par former vos développeurs à l'écriture de code sécurisé. Sinon, l'équipe AppSec passera tout son temps à examiner le code pour y déceler des failles et à signaler les mêmes vulnérabilités récurrentes aux développeurs, qui les corrigeront rapidement sans rien apprendre. Et tout sera à refaire pour la version suivante.

Alors, récapitulons.

En collaborant avec vos responsables de développement, vous ne vous contenterez pas de mettre en œuvre un cycle de vie de développement sécurisé (SDLC) et de cocher la case de conformité pour la formation à la sécurité : vous aurez un impact réel sur le processus de développement. Cerise sur le gâteau, l'équipe AppSec ne perdra plus de temps à signaler des vulnérabilités récurrentes, et les développeurs passeront moins de temps à les corriger. Ils pourront ainsi se consacrer davantage à la création et à l'amélioration des logiciels exceptionnels qui rendent notre monde meilleur.

Prêt à faire monter votre équipe en compétences ? N'hésitez pas à réserver une démo avec nous.