La question cruciale que tout développeur devrait poser à ses futurs employeurs

Il y a une question que tout développeur, qu'il soit débutant ou chevronné, doit se poser. Et la réponse a son importance. Elle est devenue encore plus cruciale dans un monde agile, car elle aura un impact direct sur votre réussite en tant qu'ingénieur logiciel et sur la valeur que vous représenterez pour votre futur employeur.

C'est la question à un million de dollars. En réalité, c'est la question à plusieurs dizaines de millions de dollars !

Êtes-vous déterminé à m'aider à coder de manière sécurisée ?

Le coût moyen d'une violation de données s'élève désormais à 3,6 millions de dollars. Les risques que votre entreprise soit victime d'une intrusion cette année sont d'une sur quatre. Face à ces faits, je partage la frustration de beaucoup de voir que les développeurs ne sortent pas de l'université avec des compétences en codage sécurisé et la sécurité ancrée dans leur ADN.

Pourquoi ? L'ingénierie logicielle est encore une profession relativement jeune. L'accent a été mis sur l'apprentissage de la rédaction rapide de code, pour le rendre élégant et fonctionnel, mais avec une attention très limitée portée à sa sécurisation. Le rythme effréné des changements dans les méthodologies, les technologies, les langages et les opportunités ne fait qu'aggraver ces lacunes majeures en matière de compétences.

Nous ne changerons pas le système universitaire du jour au lendemain ; les développeurs comme les entreprises doivent donc s'attendre à ce que les compétences en codage sécurisé s'acquièrent sur le terrain. Dans certains métiers, on peut apprendre de ses erreurs, mais pour d'autres, ce n'est pas une option. Il en va de même pour la cybersécurité.

Les faits montrent que nous n'avons pas non plus brillé en matière de formation à la sécurité pour les développeurs en entreprise. La plupart des failles de sécurité majeures dans le monde sont dues à des erreurs de codage qui permettent aux pirates d'obtenir des privilèges sur les réseaux informatiques, leur donnant ainsi accès à des données précieuses. Le rapport d'enquête sur les violations de données (DBIR) 2017 de Verizon indique que 30 % de toutes les violations sont directement causées par des faiblesses dans la sécurité des applications web, une conclusion constante dans les rapports DBIR depuis 2013.

L'enquête mondiale 2017 sur les compétences DevSecOps publiée en août 2017 a confirmé ce que nous savions déjà : bien que 65 % des professionnels du DevOps considèrent qu'il est très important d'avoir des connaissances en DevSecOps pour travailler dans l'informatique, 70 % estiment ne pas recevoir la formation nécessaire dans le cadre de leur cursus scolaire pour réussir dans le monde actuel du DevSecOps.

Près de 40 % des responsables du recrutement interrogés ont déclaré que les profils les plus difficiles à trouver sont les développeurs polyvalents de haut niveau possédant des connaissances suffisantes en tests de sécurité. 70 % des répondants ont affirmé que la formation en sécurité reçue n'était pas adaptée à leurs fonctions actuelles. En fait, moins de 4 % ont déclaré avoir eu la moindre opportunité de se former.

J'en ai été témoin lorsque j'ai passé près d'une décennie à travailler avec plusieurs équipes de hackers éthiques professionnels. Avec une régularité tragique, nous avons pénétré dans de grandes entreprises, des start-ups et des services gouvernementaux, pour toujours y découvrir les mêmes faiblesses.

C'est pourquoi les développeurs doivent s'exprimer lors de leur embauche. Si votre futur employeur ne prend pas au sérieux votre formation à la sécurité, réfléchissez au type d'entreprise que vous vous apprêtez à rejoindre.

La deuxième question à poser concerne la méthode de formation. Sera-t-elle pratique et interactive ? Les formations sur les vulnérabilités basées sur des diapositives, des vidéos, des animations cliquables ou des discussions abstraites ne vous aideront probablement pas directement dans votre travail de codage. Veilleront-ils à ce que vous soyez constamment tenu au courant des dernières vulnérabilités ? Existe-t-il une guilde ou une communauté de sécurité où vous pouvez apprendre ? Y a-t-il des experts en sécurité vers qui vous tourner en cas de besoin ?

L'engagement envers vos compétences en codage sécurisé nécessite un apprentissage continu par le biais de défis pratiques sur des frameworks spécifiques, vous confrontant à différentes vulnérabilités dans des scénarios variés. On ne peut tout simplement pas apprendre les injections SQL avec un seul exemple. Vous devez être exposé à de multiples exemples de types divers pour apprendre à reconnaître ces modèles de codage dangereux.

L'un de nos clients a exigé que ses développeurs réalisent un défi (5 minutes) chaque jour pendant deux mois. Ils ont testé leurs compétences avant et après la période de formation et ont observé une augmentation de 60 % des capacités de codage sécurisé sur un groupe de centaines de développeurs. Cela signifie moins de ressources consacrées à la recherche et à la correction des failles de sécurité plus tard dans le cycle de vie, et des économies importantes à long terme. Cela signifie que les pirates ne pourront pas utiliser votre code pour compromettre les données de votre entreprise.

Il y avait 11 millions de développeurs professionnels dans le monde en 2014, selon les recherches d'IDC. En 2015, Burning Glass a constaté qu'il existait jusqu'à 7 millions d'emplois nécessitant des compétences en codage et que les emplois en programmation augmentaient en moyenne 12 % plus vite que le marché.

Les emplois dans le logiciel ne manquent pas. Alors, prenez position et choisissez des employeurs qui s'engagent à assurer leur sécurité, la vôtre et celle de leurs clients. Par extension, choisissez des entreprises qui investissent en vous.

Il y a une question que tout développeur, qu'il soit débutant ou chevronné, doit se poser. Et la réponse a son importance. Elle est devenue encore plus cruciale dans un monde agile, car elle aura un impact direct sur votre réussite en tant qu'ingénieur logiciel et sur la valeur que vous représenterez pour votre futur employeur.

C'est la question à un million de dollars. En fait, c'est même la question à plusieurs dizaines de millions !

Êtes-vous déterminé à m'aider à coder de manière sécurisée ?