La sécurité n'est pas un gros mot : comment une approche positive transformera votre programme de sécurité

Publié initialement sur le blog de DevSecCon.

Ayant travaillé des deux côtés de la barrière, je connais trop bien les tensions qui peuvent surgir entre les équipes de développement et les spécialistes de la sécurité applicative lorsqu'il s'agit de respecter les bonnes pratiques.

C'est une situation difficile ; en fin de compte, la priorité absolue d'un développeur est de livrer des fonctionnalités. Celles-ci doivent être esthétiques, fonctionnelles et mettre en valeur la puissance de l'application. Avec les méthodes de développement agile aujourd'hui omniprésentes, ces fonctionnalités doivent être terminées dans des délais serrés... et la sécurité est rarement une priorité face à tant d'autres enjeux.

La sécurité est perçue comme le domaine des experts AppSec, qui ont la tâche ingrate d'analyser le code (ou pire : de le relire manuellement, ligne par ligne) et d'annoncer aux développeurs que leur travail est non sécurisé, voire totalement inutilisable. Ils sont vus comme des empêcheurs de tourner en rond qui critiquent le travail accompli, freinent l'innovation et compliquent la vie des développeurs. Pourtant, de nombreux problèmes de sécurité se règlent simplement : une seule ligne de code peut parfois corriger une faille en quelques minutes.

Mais voici le problème. Comme la « sécurité » est synonyme d'expérience négative, les développeurs ne s'y impliquent pas autant qu'ils le devraient. Ces correctifs rapides ne sont pas appliqués : après tout, les équipes AppSec rencontrent sans cesse les mêmes problèmes. Il doit être exaspérant pour eux de devoir encore signaler des failles d'injection SQL, plus de vingt ans après leur découverte (et la solution associée).

Ce que nous avons fait jusqu'à présent n'est pas aussi efficace que nous l'espérions. Nous devons nous efforcer de rétablir le dialogue entre les développeurs et les spécialistes AppSec, en visant une culture de sécurité positive où les développeurs disposent des outils et de la formation nécessaires pour avoir un réel impact.

Qui sait ? Ils pourraient même finir par se passionner pour le sujet, comme moi !

La sécurité positive est le moyen le plus rapide et le plus simple d'améliorer la sécurité des applications

et non, il ne s'agit pas de concepts abstraits. C'est un ingrédient absolument essentiel à la réussite du développement sécurisé.

Les développeurs détiennent la clé pour améliorer la sécurité dès le début de la production, en écrivant un code sécurisé dès le départ. En instaurant une culture de sécurité positive et en enthousiasmant les développeurs pour la sécurité applicative, les vulnérabilités courantes peuvent être éliminées avant même d'atteindre l'étape de l'analyse ou de la revue de code manuelle.

Il est trente fois plus coûteux de corriger des vulnérabilités dans un code déjà validé, alors trouver une formation qui exploite les forces des développeurs, maintient leur intérêt et fonctionne réellement est un pas de géant pour réduire les coûts futurs liés à l'identification et à la correction de ces vulnérabilités récurrentes.

Les initiatives positives axées sur les développeurs favorisent une culture de sécurité adaptée.

Lorsque tout le monde s'accorde sur les bonnes pratiques de sécurité, une culture de sécurité positive devient un résultat naturel et bénéfique.

Les initiatives positives et évolutives axées sur les développeurs favorisent une culture de sécurité adaptée. Solliciter l'esprit créatif et analytique des développeurs est essentiel pour les convaincre, tout en garantissant que les nouvelles recrues s'adaptent rapidement aux exigences de l'équipe. Contactez-nous pour découvrir l'évolution de la relation entre sécurité et développement, et obtenir des idées pour déployer un programme de sensibilisation efficace au sein de votre organisation.