Certains RSSI transforment la pénurie de compétences en sécurité en une opportunité.

Alors que je me rends à San Francisco cette semaine pour assister à la conférence RSA, je me prépare à de nombreuses discussions avec des RSSI. Cela peut vous surprendre, mais les échanges avec beaucoup d'entre eux ne sont pas très optimistes ces derniers temps.

Ils savent que les risques de sécurité augmentent, mais beaucoup ne voient pas d'opportunités d'amélioration, craignant au contraire que leur organisation ne soit plus exposée que jamais à une violation de données ou à une cyberattaque.

L'un des thèmes les plus récurrents lors de mes échanges avec les RSSI concerne la pénurie préoccupante de compétences en cybersécurité.

« Notre équipe de sécurité n'est pas assez nombreuse par rapport à la taille de notre équipe d'ingénierie ou de notre entreprise. »

« Nos experts en sécurité sont constamment débauchés par des entreprises étrangères qui proposent des salaires extraordinaires et la possibilité de travailler et de découvrir d'autres continents. »

« Nos experts en sécurité sont trop occupés à gérer les urgences pour pouvoir développer leurs compétences. »

Ce constat est étayé par plusieurs rapports, notamment une étude du Ponemon Institute de 2017, où le « manque de personnel interne compétent » arrivait en tête des préoccupations des RSSI pour 2018.

Cette pénurie critique de compétences en sécurité ne devrait pas disparaître de sitôt, surtout sur des marchés comme l'Australie, où les meilleurs talents partent souvent à l'étranger et où les lois sur l'immigration rendent de plus en plus difficile le recrutement d'experts étrangers.

L'un des aspects intéressants de la pénurie de compétences en Australie est que l'incapacité à recruter des experts qualifiés a conduit à une prise de conscience positive sur le développement des compétences nationales. Comme le disait Benjamin Franklin : « De l'adversité naît l'opportunité. » Les gouvernements, les établissements d'enseignement, les entreprises et les start-ups australiens travaillent sur des programmes visant à renforcer les compétences en sécurité au niveau local.

Un domaine où cette adversité a clairement ouvert des opportunités est le développement des compétences en codage sécurisé au sein des équipes internes et externalisées. Étant donné que la plupart des failles de sécurité majeures dans le monde sont dues à des erreurs de code et que le coût moyen d'une violation s'élève à 3,6 millions de dollars US, la sécurité logicielle représente une part importante du défi. L'un des postes de dépenses les plus importants (et croissants) des budgets de sécurité applicative concerne l'identification et la remédiation réactives, souvent pour les mêmes bugs qui se répètent année après année.

Donner aux développeurs les moyens d'écrire du code sécurisé dès le départ permet aux RSSI de reprendre le contrôle face aux défis de sécurité, tout en offrant des améliorations rapides, simples et mesurables pour les équipes de sécurité et de développement.  

Il ne s'agit pas de remplacer les experts en sécurité par des développeurs, mais d'impliquer ces derniers dans les enjeux de sécurité, d'intégrer la sécurité dans leur état d'esprit quotidien et de leur apprendre à coder de manière sécurisée, ludique et efficace. Ainsi, la précieuse expertise en sécurité pourra être consacrée à la résolution de bugs complexes, plutôt qu'à la gestion récurrente des mêmes vulnérabilités.

Pour certains RSSI, cela peut sembler trop beau pour être vrai ou trop difficile à mettre en œuvre, mais c'est tout le contraire. Chez Secure Code Warrior, nous voyons de plus en plus de RSSI saisir cette opportunité et transformer le quotidien des équipes de sécurité et de développement.

Les banques australiennes font partie des groupes de RSSI qui ont ouvert la voie à l'échelle mondiale pour développer une solide culture de la sécurité chez leurs développeurs. Elles ont adopté cette approche dès 2016-2017. Les six plus grandes banques du pays encouragent désormais activement leurs équipes à renforcer leurs compétences en codage sécurisé via notre plateforme d'apprentissage en ligne, ludique et personnalisée. Elles suivent également en temps réel des indicateurs pour évaluer les forces et les faiblesses de leurs développeurs.

Cette approche produit des résultats concrets : réduction des vulnérabilités courantes, meilleure sensibilisation des développeurs et amélioration des relations entre les équipes de sécurité et de développement. Investir dans la formation au codage sécurisé permet de réduire la pression sur les experts en sécurité tout en diminuant l'exposition aux risques logiciels.

Si vous êtes un RSSI (ou si vous en connaissez un) préoccupé par la situation de la sécurité dans votre organisation, je vous encourage à envisager une méthode simple pour obtenir des résultats tangibles. Donnez à vos développeurs les moyens d'apprendre à coder de manière sécurisée, pertinente et ludique. Vos équipes vous en seront reconnaissantes, et vous réduirez les coûts et les délais d'innovation. Je suis convaincu que cela ouvrira la voie à des échanges constructifs.

Donner aux développeurs les moyens d'écrire du code sécurisé dès le départ permet aux RSSI de reprendre le contrôle face aux défis de sécurité, tout en offrant des améliorations rapides, simples et mesurables pour les équipes de sécurité et de développement.