L'essor de DevSecOps et ce que signifie réellement « basculer vers la gauche » pour votre organisation.

Qu'est-ce que c'est pour une statistique qui donne à réfléchir ? 60 % des PME font faillite dans les six mois suivant la réussite d'une cyberattaque*. Les grandes entreprises font des hémorragies de millions (voire de milliards !) alors que la réputation de la marque s'efface. Alors que les organisations adoptent de plus en plus des pratiques de codage sécurisées, un « virage vers la gauche » est en train de se produire. Avec l'essor de DevSecOps, le code sécurisé est devenu une priorité dès le début du SDLC. Pour étudier les impacts réels de cette tendance, Secure Code Warrior et Evans Data Corp*** ont commandé une étude récente sur l'attitude des développeurs à l'égard du codage sécurisé, des pratiques de code sécurisé et des opérations de sécurité.

Shifting left : un changement à de nombreux niveaux

Les entreprises se rendant compte qu'il est 30 fois plus coûteux de corriger les vulnérabilités après coup, les mesures préventives sont devenues la nouvelle norme d'or*. Mais pour que ces mesures soient efficaces, toutes les personnes dans le SDLC doivent être sensibles à la sécurité, en particulier les développeurs.

‍Shift One : alors, qui est responsable maintenant ?

Avec la montée en puissance de DevSecOps, les organisations adoptent des pratiques de codage sécurisées. Par conséquent, l'un des premiers changements mis en évidence par nos recherches est le transfert de la responsabilité en matière de sécurité du code vers les niveaux opérationnels.

Lorsque nous avons demandé aux développeurs et aux responsables du développement : « Qui devrait avoir la responsabilité ultime de la sécurité du code ? » , 46 % ont indiqué que c'était le responsable du projet/de l'équipe, soit presque deux fois plus que ceux qui ont indiqué que la responsabilité devait rester entre les mains de l'équipe chargée de la sécurité des applications.

Cela indique clairement que la responsabilité en matière de sécurité a évolué au détriment des équipes traditionnelles chargées de la sécurité des applications au profit des chefs d'équipe de développement.

Deuxième phase — L'évolution des rôles des managers  

La pression en faveur de la mise en œuvre d'une formation au code sécurisé se fait sentir sur les managers de plusieurs manières.

41 % révèlent que l'impératif organisationnel pour formation au code sécurisé provient de la haute direction. Les exigences croissantes en matière de conformité réglementaire jouent également un rôle.

Les responsables jouent un rôle essentiel dans la transition entre le développement traditionnel et DevSecOps et sont en train de devenir des décideurs essentiels pour les décisions en matière de formation et d'achat d'outils.

‍Troisième étape : les développeurs passent à la vitesse supérieure

Cependant, nous constatons également que la pression en faveur du changement provient de la base ; 24 % des managers révèlent qu'ils mettent en œuvre des pratiques de codage sécurisées grâce aux suggestions et recommandations de leurs développeurs. Ce point met en évidence le rôle de plus en plus important des développeurs en tant que contributeurs aux programmes de sécurité de leurs entreprises. Le passage à DevSecOps, qui met désormais l'accent sur les pratiques de codage sécurisées préventives, place les développeurs dans le rôle de « première ligne de défense ».

Quatrième changement : amélioration de la dynamique d'équipe  

Bien que la mise en œuvre de pratiques de code sécurisées ait un impact significatif sur la qualité des logiciels, elle améliore également la façon dont les équipes travaillent. 60 % des développeurs interrogés pensent que l'utilisation de pratiques de code sécurisées a amélioré leur communication avec les autres développeurs, mais les gains ne s'arrêtent pas là.

La moitié des développeurs et des responsables interrogés ont convenu que les pratiques de codage sécurisées entraînaient une plus grande coopération entre les développeurs et leurs dirigeants. 46 % ont affirmé une plus grande collaboration entre les développeurs et les parties prenantes. Dans le même temps, 41 % ont souligné une plus grande coopération entre les dirigeants et les parties prenantes.

DevSecOps réunit les équipes, les dirigeants et les parties prenantes de nouvelles manières, améliorant ainsi la coopération entre les différents rôles et étapes du cycle de vie du développement logiciel.

62 % des responsables interrogés affirment que les pratiques de code sécurisées contribuent à accélérer la publication du code. Ce seul fait, combiné à tous ces autres changements, met en évidence les avantages évidents du passage à une approche DevOps. Mais, comme indiqué plus haut dans cet article, pour que ces mesures soient efficaces, toutes les personnes dans le SDLC doit être sensible à la sécurité. Ces informations ont des implications cruciales pour la manière dont les organisations forment leurs développeurs. Les équipes doivent se renseigner sur les vulnérabilités récemment identifiées et apprendre dans le langage spécifique : les frameworks dans lesquels elles codent. En bref, ils doivent comprendre comment localiser, identifier et corriger les vulnérabilités connues dans le code dans le contexte dans lequel ils travaillent au quotidien. Un tel entraînement permet à vos équipes de passer de votre première ligne de risque à votre première ligne de défense.

En tant que champion du changement en matière de codage sécurisé, Secure Code Warrior adopte une approche dirigée par l'homme pour aider votre organisation à « basculer vers la gauche » et à faire passer votre approche globale de la sécurité de réactive à proactive.

Si vous souhaitez en savoir plus sur la formation pratique, hautement engageante et éprouvée en matière de code sécurisé, qui répond aux besoins des responsables, des développeurs et de l'organisation pour assurer un avenir DevSecOps, réservez une démo dès maintenant.

‍

*60 % des petites entreprises ferment leurs portes dans les 6 mois suivant leur piratage.
‍https://cybersecurityventures.com/60-percent-of-small-companies-close-within-6-months-of-being-hacked/

**IBM Software Group ; minimiser les défauts de code pour améliorer la qualité des logiciels et réduire les coûts de développement.
‍https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html

***Passer de la réaction à la prévention : le nouveau visage de la sécurité des applications en 2021. Secure Code Warrior et Evans Data Corp.
https://scw.buzz/3169uzS