Formation en cybersécurité : statique vs dynamique, entre conformité impulsive et problèmes futurs

La « conformité en cybersécurité » semble être une tendance depuis des années, avec une multitude d'articles, d'initiatives et de comités discutant de la meilleure façon pour le monde de s'attaquer à cette bête énorme et aux menaces multiples qu'est la cybercriminalité.

Le problème est que nous ne semblons pas avoir fait tant de progrès que cela. À l'échelle mondiale, le coût des violations de données n'a cessé d'augmenter, progressant de 12 % en cinq ans pour atteindre environ 3,92 millions de dollars USD par violation en 2019. Alors que notre utilisation d'Internet a explosé en seulement deux décennies, de nombreuses entreprises se sont retrouvées sans protection alors qu'elles se connectaient rapidement, s'installaient et devaient gérer les conséquences de logiciels non sécurisés, de ressources AppSec limitées et, dans certains cas, d'un abus de la confiance des clients.

Aujourd'hui, nous sommes indéniablement plus matures. Nous comprenons et discutons longuement de l'ampleur de la menace, les entreprises sont parfaitement conscientes de l'impact qu'une cyberattaque peut avoir sur le sentiment des clients, leur réputation et leurs résultats financiers, et de nombreux secteurs cherchent activement à améliorer la sécurité des logiciels par la formation à la conformité, le recrutement de profils qualifiés et, de plus en plus, par des initiatives DevSecOps. Malgré ces avancées majeures, nous ne gagnons pas la bataille, loin de là. Rien qu'en 2019, au moins quatre milliards d'enregistrements ont été volés lors de violations de données.

L'un des ingrédients manquants a été une diffusion quelque peu lente (au niveau gouvernemental) des normes de cybersécurité, des attentes et des conséquences d'une violation. L'avènement du RGPD a vu quelques têtes tomber, du moins en Europe, mais de nombreux organismes gouvernementaux ne font que rattraper leur retard, et le besoin soudain de se conformer rapidement à des initiatives de conformité récemment apparues pourrait avoir des effets indésirables à l'avenir.

La précipitation est mauvaise conseillère (surtout pour la mauvaise formation)

Des directives solides sous la forme du NIST, de nouvelles réglementations pour l'État de New York et la création du UK Cyber Security Council ont été des victoires monumentales pour ceux qui mènent le bon combat pour assurer la sécurité de nos données. Ils reconnaissent les problèmes liés au développement logiciel actuel et prennent des mesures pour guider les organisations sur les normes qu'elles doivent désormais respecter pour être considérées comme éthiques et conformes, en termes de meilleures pratiques de sécurité.

Malheureusement, à ce stade, certains des éléments les plus importants restent trop sujets à interprétation. Par exemple, l'un des mandats de la législation du UK Cyber Security Council est :

« Créer une liste définie de certifications et un cadre facile à comprendre sur la façon dont elles sont liées entre elles et les compétences qu'elles confèrent, en s'appuyant sur les travaux déjà entrepris concernant les parcours professionnels ».

Si leurs initiatives vont indéniablement s'améliorer et se développer avec le temps, les organisations qui cèdent à la panique et se précipitent dès maintenant vers des formations risquent de se retrouver mal préparées pour l'avenir.

Les exigences en matière de cybersécurité d'une organisation évoluent rapidement, et il est peu probable que des solutions de formation statiques endiguent le flux de logiciels non sécurisés au rythme requis. Le paysage change plus vite qu'une formation traditionnelle ne peut être mise à jour, ce qui peut conduire certaines entreprises à tomber dans le piège de la conformité « pour la forme » ; les développeurs, les sous-traitants et les autres professionnels de la sécurité ne reçoivent pas une formation adéquate, et nous redevenons des cibles faciles.

Les formations statiques et les outils statiques souffrent des mêmes problèmes

Les outils d'analyse statique font partie intégrante du cycle de vie du développement logiciel (SDLC), agissant comme des bêtes de somme pour les spécialistes AppSec, rares et surchargés, que l'on trouve dans la plupart des grandes organisations. Ils font du bon travail, mais il y a un défaut : aucun outil « unique » ne peut détecter chaque vulnérabilité en prenant en charge l'immense gamme de frameworks de programmation existants. C'est également un processus lent, et il suffit qu'un seul bug de sécurité passe à travers les mailles du filet pour laisser une porte ouverte à un attaquant.

Avec la formation statique, le problème est similaire. Si les développeurs reçoivent une formation à la sécurité sous la forme d'un cours rigide et ponctuel, il est très peu probable qu'elle suive le rythme des problèmes de sécurité les plus courants à ce moment-là. Elle sert de photographie à l'instant T, est rarement révisée suffisamment, n'est pas dispensée dans le langage et le framework préférés de l'étudiant, et n'est pas adaptée aux vulnérabilités auxquelles ils sont susceptibles d'être confrontés dans leur travail quotidien. Imaginez essayer de vous souvenir d'une information pertinente issue d'une vidéo regardée il y a des mois, tout en essayant de respecter des délais de livraison et de déployer du code... c'est peu probable.

Les méthodes d'éducation traditionnelles sont réévaluées dans de nombreux secteurs, mais en ce qui concerne la formation à la sécurité pour les développeurs, il suffit de regarder le volume considérable de violations de données que nous subissons encore (en particulier celles qui peuvent être attribuées à des vulnérabilités que nous savons éviter dans le codage depuis des décennies, comme l'injection SQL) pour réaliser que nous devons essayer une autre voie.

Nous avons besoin d'une formation qui dépasse les limites d'un cours unique et linéaire, capable de s'assouplir et de s'adapter aux besoins en constante évolution des meilleures pratiques de cybersécurité.

La formation dynamique : l'étalon-or

En proposant aux développeurs une solution de formation dynamique, capable de s'adapter rapidement aux besoins de l'entreprise, au niveau de compétence individuel et aux évolutions générales du secteur, vous leur offrez la meilleure base pour coder en toute sécurité, garder la sécurité à l'esprit et agir avec une mentalité axée sur la sécurité.

Une formation standardisée, jamais réactualisée et peu stimulante est une perte de temps totale. Malheureusement, cela vous pousse souvent à acheter par impulsion un programme inefficace pour satisfaire vos obligations de conformité. Il risque d'être obsolète avant même son déploiement ou d'être totalement déconnecté des réalités du terrain.

La formation dynamique est un outil vivant, constamment mis à jour, adapté aux besoins quotidiens, qui stimule l'esprit critique des utilisateurs et leur donne réellement les moyens d'acquérir des compétences et de résoudre des problèmes.

À quoi ressemble un programme de formation dynamique dans le domaine de la sécurité ?

Il se caractérise par les points suivants :

• Format court : Les développeurs acquièrent des compétences par petites étapes, bien plus faciles à mémoriser (et surtout à appliquer) que de longues présentations ou vidéos fastidieuses.
• Pertinent : À quoi sert une formation générique si les exemples sont en C# alors que le développeur code principalement en Java ? La formation doit être directement liée à son rôle, lui permettant d'identifier, de corriger (et idéalement d'éviter) les failles dès l'écriture du code.
• Actuel : Cela semble évident, mais c'est rarement le cas. Le paysage de la cybersécurité évolue sans cesse et l'augmentation du volume de code accroît les responsabilités. Pour que vos développeurs soient votre première ligne de défense, ils ont besoin d'une formation alignée sur les meilleures pratiques de sécurité actuelles.
• Stimulant : Ce n'est un secret pour personne : les développeurs perçoivent souvent la sécurité comme une corvée, surtout si elle entrave leur créativité. Une formation adaptée leur montrera le pouvoir qu'ils détiennent pour résoudre des problèmes de sécurité quotidiens qui pourraient devenir des risques majeurs, favorisant ainsi une culture de responsabilité.
• Ludique : La formation dynamique est rarement ennuyeuse ; elle est conçue pour être stimulante. Pensez à ce que les développeurs aiment : résoudre des problèmes, se mesurer à leurs pairs et, comme beaucoup d'entre nous, être reconnus et récompensés. Misez sur leurs points forts pour obtenir les meilleurs résultats.

C'est une période passionnante pour les ingénieurs logiciels ; ils jouent un rôle clé dans l'innovation numérique, contribuent à bâtir des entreprises exceptionnelles et conquièrent le monde avec leurs créations. Cependant, alors que les autorités et les grandes entreprises prennent conscience de leur rôle dans la définition des normes de sécurité logicielle, il est essentiel de soutenir les développeurs avec des solutions de formation dynamiques et efficaces qui encouragent le goût du code sécurisé, plutôt que de simples exercices bureaucratiques.