Adoptez le « shift left » (et assurez votre conformité) grâce à des compétences en codage sécurisé reproductibles

La quasi-totalité des équipes de développement ont aujourd'hui recours à une forme ou une autre de formation à la conformité, qu'il s'agisse d'un processus de certification initial visant à garantir le respect des cadres sectoriels ou des réglementations gouvernementales, ou d'une exigence annuelle. C'est une étape importante, car si une organisation ne peut pas satisfaire aux exigences de conformité de base, ses employés ne peuvent pas réellement accomplir leurs missions.

Les règles de conformité existent pour une raison : toute personne travaillant dans le domaine concerné doit avoir une compréhension fondamentale des processus, procédures et lois applicables.

Bien que la formation à la conformité soit importante, le respect des exigences minimales obligatoires ne garantit pas une véritable sécurité des applications. C'est particulièrement vrai pour les développeurs qui tentent d'intégrer des compétences en codage sécurisé dans leur flux de travail quotidien. Presque tous les développeurs suivent une forme de formation à la conformité, et pourtant, lorsqu'ils sont interrogés, 67 % admettent qu'ils laissent souvent des vulnérabilités dans leur code.

Pourquoi ?

Pour la deuxième année consécutive, Secure Code Warrior a réalisé l'enquête « The state of developer-driven security survey, 2022 » en partenariat avec Evans Data Corp en décembre 2021. Nous avons interrogé 1 200 développeurs dans le monde entier afin de comprendre leurs compétences, leurs perceptions et leurs comportements en matière de pratiques de codage sécurisé, ainsi que leur impact et leur pertinence perçue dans le cycle de vie du développement logiciel (SDLC).

Quant à savoir pourquoi la formation à la conformité ne permet pas d'améliorer la sécurité logicielle, c'est une question que nous soulevons depuis longtemps. L'enquête récente ne fait que mettre en lumière ce problème.

D'un côté, on demande aux développeurs d'assumer de nouveaux rôles en intégrant la cybersécurité tout au long du processus de développement logiciel, y compris dès l'écriture initiale du code des applications et des programmes. Mais écrire du code sécurisé, ou même simplement apprendre tout ce qui concerne les problèmes de cybersécurité et les vulnérabilités qui pourraient l'affecter, n'est pas une tâche facile. Dans l'enquête, 63 % des développeurs ont déclaré que l'écriture de code sécurisé était une tâche difficile.

La difficulté d'écrire du code sécurisé ne devrait pas surprendre. Il y a une raison pour laquelle tant d'emplois bien rémunérés en cybersécurité restent vacants, avec plus de 3,5 millions de postes à pourvoir dans le monde au dernier recensement. Si c'était facile, tout le monde se lancerait dans ce domaine. Apprendre à combattre les menaces et à éliminer les vulnérabilités dans le code est complexe, et le paysage des menaces évolue constamment. Les formations à la conformité statiques ou les cours ponctuels ne peuvent pas suivre le rythme ni fournir le type d'éducation dont les développeurs ont besoin. Cela permet peut-être de cocher une case en matière de conformité, mais ne peut pas garantir la sécurité réelle des applications pour votre organisation, ni permettre aux développeurs d'écrire du code sécurisé ou de trouver et corriger les vulnérabilités.

La formation à la conformité et la formation à la sécurité sont importantes, mais différentes

Les organisations doivent commencer à réaliser et à reconnaître ce que la formation à la conformité peut faire, et ce qu'elle ne peut pas faire. N'abandonnez pas la formation à la conformité, surtout si elle est imposée par la loi. D'autant plus que (même avec les méthodes de formation actuelles) 92 % des personnes interrogées ont déclaré avoir besoin d'au moins une formation sur les questions de conformité ou les cadres de sécurité, 50 % soulignant le besoin d'une formation approfondie en la matière.

Les cadres de conformité pour lesquels ils souhaitaient le plus se former incluent ceux spécifiques à divers secteurs, bien que plusieurs cadres généraux de cybersécurité figurent également sur la liste. Il s'agit notamment du CIS Security Framework, de PCI DSS, de l'OWASP Top 10, de MISRA C, de l'ISO/IEC, de la loi HIPAA (Health Insurance Portability and Accountability Act), entre autres.

Alors oui, formez-vous à ces cadres, mais comprenez que cocher une case lors d'une formation à la conformité ne revient pas à poser les bases de la création continue de code sécurisé.

Considérez plutôt la formation à la conformité comme une opportunité continue d'élargir les compétences de vos développeurs en matière de codage sécurisé, une formation qui peut être répétée en dehors du cycle de conformité, afin qu'ils puissent créer et publier des logiciels sécurisés au quotidien. Faites passer la priorité de la simple conformité à l'autonomisation des équipes de développement grâce à un apprentissage continu. En investissant du temps et des ressources dans la montée en compétences des développeurs, ces exercices ou examens de conformité annuels deviendront une formalité pour votre personnel, tout en améliorant la productivité globale.

Comment pouvez-vous passer à une sécurité pilotée par les développeurs ?

Les développeurs ont affirmé en grande majorité que la formation était précieuse, mais ont critiqué le type de formation qu'ils ont reçu concernant le codage sécurisé au fil des ans. Ils souhaitent voir davantage l'accent mis sur une formation pratique utilisant des exemples concrets pertinents pour leur travail (30 %). Une plus grande interactivité est également jugée essentielle par 26 % des répondants, surtout s'ils peuvent réellement s'exercer à écrire du code sécurisé dans le cadre de ces exercices.

Le souhait de recevoir une formation plus guidée, axée sur les vulnérabilités spécifiques qu'ils sont le plus susceptibles de rencontrer dans leur industrie ou secteur, est jugé important par 23 % des développeurs interrogés, tandis que 22 % souhaitent voir davantage d'exemples de vulnérabilités réelles dans leurs cours de formation.

Il est clair que le simple fait de proposer une formation statique et non interactive (ce qui est généralement le cas pour la formation à la conformité) a peu de valeur en termes de compétences de sécurité reproductibles pour les développeurs. Les organisations devraient plutôt se concentrer sur des méthodes telles que la formation « juste à temps », où les développeurs apprennent la sécurité au fur et à mesure de leur travail. Vous pourriez même envisager de mettre en œuvre un programme d'apprentissage par paliers.

Avec une approche par paliers, les sujets plus vastes sont généralement décomposés en expériences ou concepts d'apprentissage distincts. À mesure que les développeurs progressent, des concepts plus avancés viennent s'ajouter à ceux déjà maîtrisés, tout comme un échafaudage est construit au fur et à mesure qu'un bâtiment s'élève. Il s'agit d'une méthode éprouvée pour enseigner un sujet difficile et en constante évolution comme la cybersécurité, en le décomposant d'abord en éléments plus petits et moins complexes, puis en ajoutant de la complexité sur cette base.

Quelle que soit la manière dont vous décidez d'aborder votre programme de compétences en sécurité pour les développeurs, il sera essentiel de le séparer des exercices de conformité. La formation à la conformité et la formation à la sécurité sont toutes deux importantes, et nécessitent des approches différentes pour réussir.

Pour aller plus loin

Livre blanc : Les défis (et opportunités) pour améliorer la sécurité logicielle.

Livre blanc : L'approche préventive du développeur en matière de sécurité logicielle.

Rapport : L'état de la sécurité pilotée par les développeurs.