L'essor du DevSecOps : ce que le « shift left » signifie réellement pour votre organisation.

Voici une statistique qui donne à réfléchir : 60 % des PME mettent la clé sous la porte dans les six mois suivant une cyberattaque réussie*. Les grandes entreprises perdent des millions (voire des milliards !) tandis que leur réputation s'effondre. À mesure que les organisations adoptent des pratiques de codage sécurisé, un « shift left » s'opère. Avec l'essor du DevSecOps, le code sécurisé devient une priorité dès le début du cycle de vie du développement logiciel. Pour étudier les impacts réels de cette tendance, Secure Code Warrior, en collaboration avec Evans Data Corp***, a commandé une étude récente sur l'attitude des développeurs vis-à-vis du codage sécurisé, des pratiques de code sécurisé et des opérations de sécurité.

Le « Shift Left » : une transition à plusieurs niveaux

Alors que les entreprises réalisent qu'il coûte 30 fois plus cher de corriger les vulnérabilités a posteriori, les mesures préventives sont devenues la nouvelle norme*. Mais pour que ces mesures soient efficaces, chacun au sein du cycle de vie du développement logiciel doit être sensibilisé à la sécurité, en particulier les développeurs.

‍Premier changement : qui est responsable désormais ?

Avec l'essor du DevSecOps, les organisations adoptent des pratiques de codage sécurisé. Par conséquent, l'un des premiers changements mis en évidence par nos recherches est le transfert de la responsabilité de la sécurité du code vers les niveaux opérationnels.

Lorsque nous avons demandé aux développeurs et aux responsables du développement : « Qui devrait être le principal responsable de la sécurité du code ? », 46 % ont répondu le chef de projet ou d'équipe, soit près de deux fois plus que ceux qui estiment que cette responsabilité devrait incomber à l'équipe de sécurité des applications.

C'est une indication claire d'un transfert de la responsabilité en matière de sécurité, des équipes traditionnelles de sécurité des applications vers les chefs d'équipe de développement.

Deuxième changement : l'évolution du rôle des managers

La pression pour mettre en œuvre une formation au code sécurisé pèse sur les managers de plusieurs côtés.

41 % révèlent que l'impératif organisationnel en matière de formation au code sécurisé provient de la direction. Les exigences croissantes en matière de conformité réglementaire sont également un facteur déterminant.

Les managers jouent un rôle essentiel dans l'accompagnement de la transition du développement traditionnel vers le DevSecOps et deviennent des décideurs cruciaux pour les achats de formations et d'outils.

‍Troisième changement : les développeurs montent au créneau

Cependant, nous constatons également que la pression pour le changement vient de la base ; 24 % des managers révèlent qu'ils mettent en œuvre des pratiques de codage sécurisé suite aux suggestions et recommandations de leurs développeurs. Ce point souligne le rôle de plus en plus important des développeurs en tant que contributeurs aux programmes de sécurité de leur entreprise. Le passage au DevSecOps, avec son nouvel accent mis sur les pratiques de codage sécurisé préventives, place les développeurs dans le rôle de « première ligne de défense ».

Quatrième changement : une dynamique d'équipe améliorée

Si la mise en œuvre de pratiques de code sécurisé a un impact concret sur la qualité des logiciels, elle améliore également la façon dont les équipes travaillent. 60 % des développeurs interrogés estiment que l'adoption de pratiques de code sécurisé a amélioré leur communication avec les autres développeurs, mais les avantages ne s'arrêtent pas là.

La moitié des développeurs et des managers interrogés s'accordent à dire que les pratiques de codage sécurisé ont conduit à une meilleure coopération entre les développeurs et leurs responsables. 46 % ont fait état d'une collaboration accrue entre les développeurs et les parties prenantes. Parallèlement, 41 % ont souligné une meilleure coopération entre les responsables et les parties prenantes.

Le DevSecOps rapproche les équipes, les responsables et les parties prenantes de manière inédite, améliorant la coopération entre les différents rôles et les différentes étapes du cycle de vie du développement logiciel.

62 % des managers interrogés affirment que les pratiques de code sécurisé contribuent à accélérer la publication du code. Ce fait, combiné à toutes ces autres évolutions, souligne les avantages évidents d'une approche DevOps. Mais, comme indiqué plus haut dans cet article, pour que ces mesures soient efficaces, chacun au sein du cycle de vie du développement logiciel (SDLC) doit être sensibilisé à la sécurité. Cette prise de conscience a des implications majeures sur la manière dont les entreprises forment leurs développeurs. Les équipes doivent découvrir les vulnérabilités récemment identifiées et apprendre dans les langages et frameworks qu'elles utilisent au quotidien. En résumé, elles doivent savoir localiser, identifier et corriger les vulnérabilités connues dans leur contexte de travail habituel. Une telle formation transforme vos équipes : elles ne sont plus votre premier vecteur de risque, mais votre première ligne de défense.  

En tant que champion du changement dans le domaine du code sécurisé, Secure Code Warrior adopte une approche centrée sur l'humain pour aider votre organisation à « passer à la sécurité proactive » (shift left) et à faire évoluer votre stratégie de sécurité globale d'une posture réactive vers une posture proactive.

Si vous souhaitez en savoir plus sur une formation au code sécurisé pratique, stimulante et éprouvée, qui concilie les besoins des managers, des développeurs et de l'entreprise pour bâtir un avenir DevSecOps, réservez une démo dès maintenant.

‍

*60 % des petites entreprises ferment leurs portes dans les 6 mois suivant une cyberattaque.
‍https://cybersecurityventures.com/60-percent-of-small-companies-close-within-6-months-of-being-hacked/

**IBM Software Group ; Minimizing Code Defects to Improve Software Quality and Lower Development Costs.
‍https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html

***Passer de la réaction à la prévention : l'évolution de la sécurité des applications en 2021. Secure Code Warrior et Evans Data Corp.
https://scw.buzz/3169uzS