Frappez les premiers, frappez fort : pourquoi les formations au codage sécurisé sur mesure ne font aucun cadeau aux cybermenaces

Il existe une vérité qui dérange, souvent occultée par les gouvernements, les grandes entreprises et même certains leaders du secteur : en tant que société, nous sommes engagés dans une lutte constante contre les cybermenaces, et nous sommes en train de perdre la bataille. Comment le savoir ? Ces statistiques dressent un constat alarmant :

• Le coût mondial de la cybercriminalité est estimé à 6 000 milliards de dollars d'ici 2021
• Une cyberattaque survient toutes les 39 secondes
• 24 % des violations de données sont causées par une erreur humaine
• Un chiffre alarmant : 77 % des organisations ne disposent pas de plan de réponse aux incidents de cybersécurité à l'échelle de l'entreprise, appliqué de manière cohérente entre les départements.

Nous manquons cruellement de spécialistes en cybersécurité ; il est peu probable que la pénurie de compétences soit comblée, et aucune armée secrète d'experts en sécurité applicative ne viendra nous sauver. Nous le savons depuis des années, et nous devons changer notre approche. Dans notre cas, la meilleure attaque est une excellente défense, et nous pouvons prendre l'initiative grâce à un plan solide.

Tout cela peut sembler déprimant, mais la situation n'est pas aussi sombre qu'on veut bien nous le faire croire. Nous avons un atout dans notre manche, et le climat actuel de la cybersécurité nous offre une opportunité en or. Nul besoin de chercher plus loin que vos équipes de développement internes pour trouver les personnes capables de sauver l'organisation, mais votre programme de sécurité doit accompagner leur montée en compétences pour qu'ils deviennent des ingénieurs conscients des enjeux de sécurité, prêts à partager la responsabilité d'un code sécurisé.

Une formation classique ne suffira pas — nous l'avons assez répété — mais même une formation pertinente, engageante, qui développe des connaissances contextuelles et aide les développeurs à apprécier la sécurité, pourrait être bien plus efficace si elle était davantage adaptée aux besoins de l'entreprise, aux menaces auxquelles elle fait face et aux exigences de conformité qui garantissent la protection de nos données.

C'est là que notre toute nouvelle fonctionnalité, Courses, entre en jeu. Au fait, si vous avez compris la référence dans le titre, vous êtes officiellement vieux (ou vous appréciez simplement les classiques).

Apprentissage spécifique à l'organisation : renforcer la défense, consolider les compétences des développeurs

Nous avons toutes sortes d'opinions sur les raisons pour lesquelles certains types de formation pour développeurs sont meilleurs que d'autres (par exemple, ne les ennuyez pas à mourir avec des heures de vidéos magistrales, sèches et génériques, en espérant voir naître une passion pour le développement sécurisé). Mais même avec un apprentissage compétitif conçu pour séduire l'esprit des développeurs, le contenu peut parfois être trop général par rapport aux besoins spécifiques d'une organisation.

Un parcours de formation sur mesure, regroupant précisément les modules dont vos développeurs ont besoin pour démontrer leurs compétences, aura un impact significatif et leur permettra d'être opérationnels immédiatement en matière de bonnes pratiques de sécurité au quotidien. Adaptez les programmes aux équipes frontend, aux ingénieurs cloud et bien d'autres, avec la possibilité de cibler les vulnérabilités les plus critiques, dans les langages et frameworks qui les concernent. Les développeurs développeront leurs compétences grâce à un contexte, des points de contact et une expérience continus, tandis que l'entreprise bénéficiera d'une sensibilisation précise aux risques les plus importants.

Personnalisez un parcours pour la conformité

Des réglementations plus strictes en matière de cybersécurité sont imposées partout dans le monde, et la conformité de la sécurité logicielle est une excellente base pour bâtir une culture de sécurité positive et efficace. Cela ne devrait pas être ennuyeux ; un bon programme de sécurité doit susciter fierté et sens des responsabilités chez les développeurs, plutôt que des soupirs et de la lassitude.

En guise de point de départ, il est judicieux de mettre tout le monde à niveau avec le Top 10 de l'OWASP, mais pour atteindre de nouveaux sommets en matière de conformité sectorielle, vous pouvez concevoir un parcours personnalisé autour des exigences de réglementations spécifiques. Par exemple, une organisation financière pourrait adapter un parcours aux exigences de conformité de ses logiciels, conformément aux directives PCI-DSS qui régissent les applications de paiement et de traitement des cartes bancaires. Les enjeux sont élevés lorsque vous êtes responsable du traitement et du stockage d'informations sensibles comme les numéros de carte de crédit. Une formation ultra-spécifique pour les développeurs permet d'éliminer le superflu, d'offrir le bon enseignement au bon moment et de faciliter grandement le suivi des compétences de l'équipe.

Voici comment General Electric (GE) utilise Courses au sein de ses équipes :

"Les parcours de formation sont une excellente solution pour nos ingénieurs. Grâce à cette nouvelle fonctionnalité — qui regroupe le parcours d'apprentissage, les vidéos et les points de contrôle dans un module personnalisable — nous avons la capacité de façonner le contenu en fonction de nos besoins à tout moment. Les capacités de conformité et la flexibilité offrent une opportunité encore meilleure d'assurer un processus plus rationalisé et adaptable. Cette capacité a aidé General Electric à adapter une formation pertinente à chaque ingénieur, plus rapidement et plus facilement que jamais."

Et n'oubliez pas, il s'agit peut-être d'une formation de conformité sur mesure, mais elle reste dispensée sous forme d'expérience d'apprentissage courte, contextuelle et engageante, bien plus attrayante pour les développeurs.

Une culture de sécurité positive fondée sur le respect et la pertinence

L'éducation est un processus qui dure toute la vie, mais dans le monde effréné du DevSecOps, il y a beaucoup de fronts à gérer. Le temps consacré à la formation doit être utilisé judicieusement, avec un parcours d'apprentissage viable qui continue d'engager et d'apporter de la valeur.

En concevant un parcours sur mesure ultra-pertinent, vous respectez le temps et le flux de travail des développeurs, tout en réduisant de manière mesurable les vulnérabilités et les risques de cybersécurité pour votre entreprise.

La relation entre les spécialistes AppSec et les ingénieurs est traditionnellement marquée par des tensions et des malentendus, mais l'apprentissage structuré via Courses permet aux deux parties de s'aligner sur les meilleures pratiques de sécurité. Les développeurs apprécieront certainement une approche axée sur les solutions de la part de l'équipe AppSec, qui allège leur charge de travail et les aide à produire un code de meilleure qualité.

Éliminez les failles, généralisez une hygiène de sécurité à l'échelle de l'entreprise

L'erreur est humaine, et nous en commettons tous. Dans le monde numérique, ces erreurs peuvent coûter extrêmement cher, et pourtant, elles sont incroyablement fréquentes. Le rapport 2019 sur les menaces à la sécurité Internet de Symantec a confirmé que plus de 70 millions d'enregistrements ont été dérobés en raison de compartiments S3 mal configurés. Les erreurs de configuration de sécurité sont une cause majeure de violations de données, l'erreur humaine étant responsable d'environ un quart d'entre elles.

Ces problèmes surviennent pour diverses raisons, mais le manque de sensibilisation et de formation à la sécurité est un facteur déterminant qui laisse aux attaquants des failles à exploiter. Pour une hygiène de sécurité évolutive et efficace, misez sur une formation personnalisée adaptée à votre entreprise. Ne faites aucun cadeau à vos adversaires et fermez toutes les portes qui pourraient leur permettre de vous causer les pires ennuis.

Nous constatons déjà des résultats impressionnants chez nos clients, notamment auprès de ce fournisseur SaaS de comptabilité cloud de premier plan :

"Le parcours d'apprentissage personnalisé de Courses a tout changé. La précision concernant les langages de programmation et les vulnérabilités offre plus de contrôle et de flexibilité pour créer l'expérience d'apprentissage idéale pour chaque développeur, en fonction de ses besoins et de ceux de l'entreprise. L'utilisation de Courses, combinée à la plateforme de codage sécurisé de Secure Code Warrior, a transformé l'engagement de nos développeurs : ils cherchent désormais activement à améliorer leurs compétences pour écrire un code plus sûr et de meilleure qualité."

Préparez-vous au DevSec. Découvrez la toute nouvelle fonctionnalité Courses de Secure Code Warrior ici.