Développeurs sensibilisés à la sécurité : l'AppSec a besoin de vous !

Bien que cela puisse sembler contre-intuitif pour quiconque travaille en dehors du développement logiciel, de nombreux professionnels de la sécurité applicative ont occupé ces postes critiques avec peu ou pas d'expérience en programmation. Ces experts font partie de l'équipe chargée de veiller à ce qu'aucune vulnérabilité ne s'infiltre dans les applications devenues vitales pour de nombreuses industries, et pourtant, peu d'entre eux peuvent réellement évaluer ou corriger le code eux-mêmes.

Plutôt que d'avoir un profil de développeur, beaucoup abordent leur rôle sous l'angle des vecteurs d'attaque, des menaces, des exploits et des risques métier ; ils ont une vision limitée du code. Bien que chaque expert AppSec possède des compétences différentes, le quotidien consiste souvent à travailler avec des outils d'analyse pour garantir la conformité des systèmes aux normes organisationnelles ou aux cadres industriels. Ils rédigent ensuite des rapports sur leurs découvertes et transmettent les informations sur les vecteurs d'attaque. Il incombe alors aux développeurs d'effectuer les correctifs nécessaires, aussi perturbants soient-ils pour le travail en cours.

Cette situation s'explique par la logique prédominante selon laquelle la protection des réseaux et des applications était une tâche si vaste qu'il semblait inutile d'attendre de chaque expert en cybersécurité qu'il maîtrise tous les rôles. Les compétences approfondies en codage étaient laissées aux développeurs, et peu de valeur était accordée à la capacité d'écrire ou de modifier du code plus loin dans le cycle de développement.

Cette mentalité évolue rapidement, offrant aux développeurs une opportunité unique de faire une transition lucrative vers l'AppSec. Tous ne voudront pas passer du « côté obscur », et beaucoup n'ont pas une opinion très positive des équipes AppSec. Mais pour ceux qui le souhaitent, le moment n'a jamais été aussi propice pour saisir cette opportunité de plus en plus tentante.

Le DevSecOps propulse presque tous les secteurs

L'un des facteurs majeurs valorisant les développeurs sensibilisés à la sécurité est l'adoption quasi universelle de pratiques de développement agiles comme le DevSecOps. Lorsque le développement, la sécurité et les opérations sont combinés, la cybersécurité devient une responsabilité partagée, intégrée au développement logiciel de bout en bout. Dans cet environnement, la capacité à coder est de plus en plus perçue comme un atout précieux, surtout pour les ingénieurs qui comprennent intrinsèquement la sécurité.

Un professionnel de l'AppSec qui comprend non seulement la cybersécurité à haut niveau, mais aussi le code qui fait fonctionner l'ensemble, est intrinsèquement plus précieux qu'une personne dont les connaissances sont purement théoriques. Être capable de découvrir et d'évaluer rapidement les vulnérabilités dans le code, puis de les atténuer, est au cœur du succès du DevSecOps.

Les développeurs travaillant en AppSec apportent un autre avantage majeur : leur origine technique facilite le dialogue avec les équipes de développement sur les questions de sécurité. Ils deviennent naturellement des coachs, aidant leurs pairs à mieux coder. Avec le temps, ils pourraient même dissiper la stigmatisation du « côté obscur » et aider à unifier les équipes de développement au sein de l'organisation.

La pénurie de compétences en cybersécurité s'aggrave

Shakespeare disait qu'à quelque chose malheur est bon. Cela signifie que même les situations les plus sombres profitent probablement à quelqu'un. La pénurie de compétences en cybersécurité en est un parfait exemple.

Le manque de personnel est ressenti partout. Dans une enquête récente menée par le Center for Strategic and International Studies, 82 % des décideurs informatiques ont déclaré que leur organisation souffrait d'une pénurie de compétences en cybersécurité, et 71 % ont affirmé que cela avait causé des dommages directs et mesurables. Pour mettre cette crise en perspective, le rapport souligne qu'aux États-Unis seulement, il y avait plus de 520 000 postes vacants en 2020 pour un secteur comptant environ 940 000 employés.

Cette pénurie est une mauvaise nouvelle pour les organisations cherchant à protéger leurs infrastructures, mais une excellente opportunité pour les développeurs souhaitant se lancer dans l'AppSec. Les postes sont disponibles partout. Et comme les postes en cybersécurité prennent en moyenne 21 % de temps en plus à pourvoir, les salaires augmentent globalement.

Faire le saut vers l'AppSec

Le moment n'a jamais été aussi idéal pour les développeurs de faire une transition lucrative vers le côté lumineux de la sécurité. Les développeurs sensibilisés à la sécurité ne sont plus vus comme une solution temporaire, mais comme des défenseurs à part entière. C'est particulièrement vrai pour les organisations ayant adopté le DevSecOps. La pénurie de talents signifie que des postes sont disponibles dans presque toutes les entreprises. Ceux qui possèdent les bonnes compétences peuvent choisir où ils veulent travailler.

Passer à l'AppSec n'est pas pour tout le monde, et la plupart des développeurs resteront concentrés sur la création de fonctionnalités. Mais pour ceux qui envisagent ce changement, investir dans une formation en sécurité pour compléter leurs compétences en codage peut ouvrir de nombreuses portes. Les meilleurs experts AppSec viennent de l'ingénierie, car ils comprennent la technologie et font preuve d'empathie envers leurs collègues. Le DevSecOps rend tout le monde responsable de la sécurité, alors pourquoi ne pas profiter de cette pénurie pour faire évoluer votre carrière ?