Passer d'une approche réactive à une approche proactive grâce au codage sécurisé axé sur l'humain

Les 10 mêmes vulnérabilités logicielles ont causé plus de failles de sécurité au cours des 20 dernières années que n'importe quelles autres. Pourtant, de nombreuses entreprises optent encore pour une remédiation après incident, gérant tant bien que mal les conséquences humaines et commerciales. Une nouvelle étude pointe désormais vers une approche axée sur l'humain.

‍Ce qui suit présente les conclusions d'une étude menée par Secure Code Warrior et Evans Data Corp, intitulée « Shifting from reaction to prevention: The changing face of application security » (2021), qui explore les attitudes des développeurs vis-à-vis du codage sécurisé, des pratiques de code sécurisé et des opérations de sécurité. Téléchargez le livre blanc ici.

‍‍Dans cette étude à paraître, les développeurs et les responsables du développement ont été interrogés sur les activités qu'ils associent au codage sécurisé. Les trois réponses principales sont :

• L'utilisation d'outils d'analyse sur les applications déployées.
• La révision manuelle du code pour détecter les vulnérabilités.
• La pratique active et continue d'écrire un logiciel protégé contre les vulnérabilités.
  ‍

Qu'est-ce que cela nous dit ? Deux des trois réponses principales se concentrent toujours sur des approches réactives : la première dépend d'outils (scanners) et la seconde du développeur (l'humain) effectuant des vérifications manuelles – dans les deux cas après que le code a été écrit. Les vulnérabilités détectées par ces méthodes doivent être renvoyées à l'équipe de développement pour correction, avec des répercussions sur les délais et les coûts des projets.

Parallèlement, deux des trois activités citées reposent sur l'élément humain, ce qui souligne la perception croissante de la sécurité comme un enjeu humain. Mais parmi toutes les activités nommées, la plus révélatrice est la n° 3, qui identifie le facteur humain dans l'écriture même d'un logiciel protégé contre les vulnérabilités. Cela met en lumière un passage vers une approche proactive qui intègre la sécurité dès le début du cycle de vie du développement logiciel.

Réactif peut rimer avec COÛTEUX

Selon une étude d'IBM*, il est trente fois plus coûteux de corriger des vulnérabilités dans un code après sa publication que de les détecter et de les résoudre au début. C'est une incitation forte à adopter une approche de sécurité proactive et plus humaine, qui permet aux développeurs de coder de manière sécurisée dès le départ.

C'est ce que l'on pourrait appeler une défense axée sur l'humain. Mais pour que les développeurs se soucient de la sécurité, celle-ci doit faire partie intégrante de leur réflexion et de leur travail quotidien. Cela appelle de nouvelles méthodes de formation, hyper-pertinentes pour le quotidien des développeurs et conçues pour susciter l'envie d'apprendre, ce qui n'est pas le cas des modèles actuels.

Pour créer une culture de sécurité proactive, il faut une nouvelle formation qui :

• rend le codage sécurisé positif et stimulant pour les développeurs tout en renforçant leurs compétences
• encourage les développeurs à adopter une mentalité axée sur la sécurité au quotidien
• intègre le codage sécurisé au flux de travail quotidien
  

Lorsque ces éléments sont réunis, les vulnérabilités sont évitées dès le départ, permettant aux équipes de livrer un code de qualité plus rapidement et en toute confiance. La bonne nouvelle est qu'il existe déjà une plateforme d'apprentissage qui « anticipe » le processus de développement logiciel, en dotant les développeurs des compétences et outils nécessaires pour créer un code de qualité dès le début.
‍‍

‍

‍

‍

*IBM Software Group; Minimizing Code Defects to Improve Software Quality and Lower Development Costs
https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html