Les avantages de l'évaluation des compétences en sécurité pour les développeurs

Face à la multiplication et à la sophistication croissante des cybermenaces, la cybersécurité se concentre désormais sur l'importance du code sécurisé. La Stratégie nationale de cybersécurité de la Maison Blanche et l'initiative Secure-by-Design de la Cybersecurity and Infrastructure Security Agency (CISA), ainsi que diverses législations internationales, placent la responsabilité de la sécurité directement entre les mains des éditeurs de logiciels. Adopter une approche « shift left » — ou plus précisément, commencer dès le début — pour garantir la sécurité au plus tôt dans le cycle de vie du développement logiciel (SDLC), autrefois considéré comme une option, est désormais indispensable pour protéger les données et les systèmes et éviter les conséquences réglementaires en cas de faille.

La clé pour garantir des pratiques de codage sécurisées réside dans la formation des développeurs. Les ingénieurs logiciels reçoivent généralement peu ou pas de formation en cybersécurité. Dans l'environnement DevOps actuel, leur mission consiste à produire des applications, des mises à jour et des services le plus rapidement possible — souvent avec l'aide de modèles d'IA générative rapides — et à laisser les équipes de sécurité gérer les problèmes ultérieurement. C'est une méthode inefficace pour traiter la multitude de failles générées par ce volume de code, ce qui entraîne souvent la mise en circulation de logiciels vulnérables.

Les développeurs doivent apprendre à écrire du code sécurisé dès le départ et être capables de détecter le code non sécurisé généré par l'IA ou présent dans les logiciels open source et tiers qu'ils utilisent. Pour de nombreuses équipes et organisations, il s'agit d'un territoire inconnu. Comment savoir si les développeurs reçoivent la formation nécessaire ? Et cette formation est-elle appliquée régulièrement ?

Certaines entreprises investissant dans la formation des développeurs ont trouvé bénéfique d'établir un socle de compétences de base et de mesurer les progrès par rapport à des critères clairement définis. Pour soutenir cet effort, Secure Code Warrior a lancé un référentiel conçu pour mesurer avec précision les progrès des développeurs en matière de formation à la sécurité. Le SCW Trust Score permet aux organisations de mesurer l'application concrète de la formation sur le terrain et de favoriser la collaboration entre les équipes de sécurité, de développement et d'ingénierie.

C'est un moyen de prouver que la formation au code sécurisé porte ses fruits tout en identifiant les domaines à améliorer.

L'argument en faveur de la conception sécurisée

Les éditeurs de logiciels ont tout intérêt à intégrer la sécurité dès le début du SDLC. La demande croissante en applications et la vitesse apportée par l'IA au processus de développement se sont avérées utiles pour les développeurs, qui ont rapidement adopté l'IA générative, mais cela entraîne inévitablement la mise en circulation de logiciels défectueux dans le pipeline. Plus on génère de code, plus on crée de failles — et des recherches récentes ont révélé que près des trois quarts des applications (quelle que soit leur méthode de création) contiennent au moins une faille de sécurité, dont près de 20 % sont considérées comme critiques.

Corriger les vulnérabilités tardivement dans le SDLC devient extrêmement coûteux et chronophage. Le National Institute of Standards and Technology (NIST) a constaté que la correction des défauts lors des tests prend 15 fois plus de temps que la sécurisation du logiciel au début du SDLC, et que cette durée peut être multipliée par 30 à 100 lors de la phase de déploiement ou de maintenance.

Tout cela souligne l'importance d'appliquer la sécurité dès le début du cycle de développement, ce qui s'avère être non seulement le moyen le plus efficace de réduire les risques, mais aussi le plus rentable. Les développeurs — en travaillant avec les équipes de sécurité plutôt qu'en tant qu'entités séparées — sont les mieux placés pour intégrer la sécurité dès le début du SDLC. Les développeurs formés aux meilleures pratiques de sécurité ont prouvé leur efficacité dans la réduction des vulnérabilités. Le problème est qu'ils sont encore trop peu nombreux à avoir reçu cette formation.

L'intérêt des référentiels

La démarche de base pour les entreprises consiste à établir un socle de compétences en sécurité, à dispenser une formation et à vérifier — tant pour l'organisation que pour les régulateurs — que les développeurs ont acquis les compétences nécessaires. Cela s'est avéré difficile pour de nombreuses organisations dans tous les secteurs économiques, mais ce n'est pas une fatalité.

L'un des défis identifiés par les responsables de la sécurité est la difficulté de déployer un programme de formation à l'échelle de toute l'entreprise. Cependant, les recherches de SCW montrent que les organisations, en particulier celles disposant d'un grand nombre de développeurs, peuvent mettre en œuvre avec succès une approche de conception sécurisée. Les résultats des petites organisations tendent à montrer une grande disparité dans l'application des principes Secure-by-Design. Néanmoins, elles peuvent également bénéficier d'une approche incluant des Trust Scores et constateront probablement des améliorations plus rapidement.

Le Trust Score utilise des indicateurs de référence pour mesurer les progrès des apprenants individuels, agrège leurs scores pour évaluer la performance globale de l'équipe et compare les progrès de l'organisation aux références et meilleures pratiques du secteur. Il ne se contente pas de suivre la formation, il montre également comment les développeurs appliquent leurs nouvelles compétences au quotidien. Il met aussi en évidence les domaines à améliorer, permettant à l'organisation d'optimiser ses programmes de formation et de montée en compétences.

Dans les secteurs d'infrastructures critiques de la CISA pour lesquels des données étaient disponibles, la plupart des organisations se situent au même niveau dans la mise en œuvre des principes de conception sécurisée. Les Trust Scores pour des secteurs allant des services financiers et de la base industrielle de défense à la santé, l'informatique et la fabrication critique se situent dans la même fourchette — un peu plus de 300 sur une échelle de 1 000 points. Aucun secteur ne surpasse les autres, malgré l'idée reçue selon laquelle les services financiers, en tant que secteur le plus réglementé, seraient largement en tête.

Les secteurs d'infrastructures critiques non inclus dans le classement Trust Score — tels que les opérations chimiques, énergétiques et nucléaires — ne créent généralement pas leurs propres logiciels, s'appuyant plutôt sur d'autres secteurs, notamment l'informatique. Cependant, l'importance du maintien de systèmes sécurisés au sein de ces secteurs (personne ne souhaite voir une centrale nucléaire compromise) montre à quel point il est essentiel de sécuriser les logiciels qu'ils utilisent dès le départ.

Conclusion

La pression réglementaire accrue et les réalités du paysage des cybermenaces ont rendu l'approche Secure-by-Design impérative pour les organisations souhaitant protéger leurs données, leurs systèmes, leurs opérations commerciales et leur réputation. En grande partie, la création de logiciels sécurisés repose sur les développeurs, mais ils ont besoin d'aide sous la forme d'un programme complet de montée en compétences et de formation qui leur apporte les connaissances nécessaires et démontre leur application concrète.

Un programme incluant des indicateurs de performance, appuyé par un outil tel que Trust Score, offre une vision claire des progrès essentiels d'une équipe de développement. C'est une approche nouvelle et indispensable pour permettre aux développeurs comme aux entreprises d'améliorer continuellement leurs compétences en développement sécurisé, tout en répondant aux nouvelles exigences de conception sécurisée (Secure-by-Design).

‍