La décennie des défenseurs : Secure Code Warrior a dix ans

Dans ma jeunesse, je jouais beaucoup à DOOM, et au début, je devais certainement jongler avec les différents niveaux de difficulté pour terminer mes premières parties. Ils allaient de « Je suis trop jeune pour mourir » (Facile) à « Cauchemar » (Très difficile). Il y a des jours où j'aimerais pouvoir simplement réinitialiser et changer le niveau de difficulté de la gestion d'une entreprise technologique, surtout au début, quand tant d'éléments sont fragiles, précaires et sujets à l'échec.

Les statistiques sont bien connues et donnent à réfléchir : les startups s'effondrent à un taux d'environ 90 %, une situation qui perdure depuis de nombreuses années. En y regardant de plus près, la répartition générale montre que 21 % des startups échouent la première année, 30 % en deux ans, 50 % au bout de cinq ans et 70 % au cours de leur première décennie.

Je suis fier que mes cofondateurs Matias Madou, Fatemah Beydoun, Colin Wong, Nathan Desmet et Jaap Karan Singh soient arrivés au « Niveau 10 », soutenus par nos investisseurs, Goldman Sachs, Cisco Investment, Paladin Capital, Forgepoint, Airtree et Tidal, ainsi que par les membres indépendants de mon conseil d'administration, Jim Pflaging et Nanhi Singh.

L'équipe fondatrice est restée soudée, guidant le navire à travers chaque leçon, triomphe et revers pendant une décennie entière. Nous montons en puissance et sommes prêts à aborder notre prochain chapitre, SCW 2.0, en tant que leaders de la gestion des risques liés aux développeurs.

2024 : L'année où nous avons lancé des outils d'analyse de données inédits dans le secteur.

Démontrer le retour sur investissement de la montée en compétences est extrêmement difficile, mais en 2024, SCW a réussi ce que tout le secteur réclamait : « Pouvez-vous prouver que nos logiciels sont plus sécurisés grâce à la formation de nos développeurs ? ». Nous avons collecté des données sur les vulnérabilités et la résolution des problèmes auprès de certains de nos plus grands clients menant des programmes bien établis, et nous pouvons fièrement prouver - avec la validation de nos clients - que la réduction médiane des vulnérabilités était de 53 % pour le code créé par des développeurs formés à la sécurité par rapport à celui créé par d'autres. Nous avons également prouvé que ces développeurs peuvent corriger les problèmes de sécurité 2 à 3 fois plus vite, économisant du temps et réduisant l'exposition aux risques.

La première innovation a été SCW Trust Score, la seule capacité d'analyse comparative qui quantifie l'impact des programmes de codage sécurisé en entreprise. Pour la première fois, les responsables de la sécurité peuvent obtenir des informations granulaires et basées sur des données concernant les compétences en codage sécurisé de leur équipe de développement, et les comparer aux normes du secteur. C'est la visibilité impeccable que beaucoup attendaient pour apporter des ajustements critiques à leurs programmes, et offrir aux développeurs des parcours d'apprentissage pour renforcer leurs compétences en sécurité à vie. Nous avons même publié un document de recherche avec l'ancien directeur national de la cybersécurité des États-Unis, Chris Inglis, et Kemba Walden, présidente du Paladin Global Institute et ancienne directrice nationale par intérim de la cybersécurité des États-Unis.

Plus tard, nous avons lancé SCW Trust Agent, une offre complémentaire qui assure une visibilité sur l'ensemble du référentiel de code d'une organisation, en analysant chaque commit par rapport aux compétences de codage sécurisé du développeur. SCW Trust Agent s'appuie sur SCW Trust Score pour démontrer l'efficacité avec laquelle le programme de sécurité de l'entreprise est appliqué dans chaque commit.

Ces outils aident les responsables de la sécurité en entreprise à atteindre des objectifs tels que les directives Secure-by-Design de la CISA, grâce à la vérification des compétences en sécurité des développeurs, aux commits sécurisés et, en fin de compte, à l'éradication des catégories de vulnérabilités, éléments nécessaires aux principes de conception sécurisée éprouvés.

Bonjour, partenaire ! Notre réseau de partenaires continue de croître, tout comme notre base de clients.

L'un des aspects les plus réconfortants du secteur de la cybersécurité est de comprendre que nous formons, par essence, une grande communauté passionnée et un peu geek, et que nous sommes, pour la plupart, tout à fait disposés à unir nos forces pour poursuivre non seulement une réussite mutuelle, mais aussi un monde numérique plus sûr pour tous.

Nous avons le privilège de compter diverses entreprises de sécurité et de technologie parmi nos partenaires commerciaux, notre programme de partenariat jouant un rôle déterminant dans notre croissance. Vers la fin de 2024, nous avons annoncé notre deuxième partenariat OEM avec un leader mondial de la gestion de l'information, OpenText. Ce développement, associé à nos partenaires OEM phares, Black Duck, nous offre une opportunité incroyable de fournir des solutions holistiques à grande échelle qui répondent aux besoins contemporains des entreprises et de leurs programmes de sécurité.

De plus, nous comptons désormais plus de 650 entreprises clientes. Depuis nos débuts modestes il y a dix ans, où je me souviens avoir offert un déjeuner bon marché à notre équipe de 4 personnes pour célébrer notre premier gros client, nous avons certainement acquis une solide base de clients qui n'ont pas peur d'aborder la sécurité préventive avec les développeurs comme agents de changement.

L'IA, le perturbateur ultime et l'avenir de la sécurité pilotée par les développeurs.

L'intelligence artificielle, les LLM et les outils de codage par IA sont sur toutes les lèvres des professionnels de l'informatique depuis plus de deux ans, et nous nous trouvons, en tant que société, à un moment charnière de notre histoire technologique. La vaste gamme d'outils d'IA dans presque toutes les catégories promet d'énormes gains de productivité, et dans le développement de logiciels, une récente enquête GitHub a révélé que la plupart des ingénieurs ont commencé à adopter des assistants de codage basés sur l'IA.

Ces outils font désormais partie du paysage du développement logiciel, bien que seulement 38 % des organisations approuvent leur utilisation. Leur usage est inévitable, et plutôt que de créer une situation d'« IA fantôme », les responsables de la sécurité devraient se concentrer sur l'accompagnement des développeurs vers un codage sûr et responsable. Les développeurs sensibilisés à la sécurité peuvent utiliser ces outils avec l'esprit critique et l'expertise nécessaires pour bénéficier réellement de la productivité accrue, sans ajouter aux risques persistants entretenus par les développeurs ayant peu de compétences en sécurité.

2025 sera l'année où vous verrez continuer les avancées dans le codage par IA. Pourtant, nous pourrions bien avoir quelques atouts dans notre manche pour aider les entreprises à appliquer efficacement la gestion des risques liés aux développeurs dans ce domaine, et bien d'autres. Restez à l'écoute pour voir où notre voyage nous mènera.