Le ROI de la sécurité pilotée par les développeurs

Le coût d'un code de mauvaise qualité

Les avancées technologiques permettent aux développeurs de livrer du code plus rapidement que jamais. Si cela stimule l'innovation, c'est un défi lorsqu'il s'agit de faire évoluer la qualité et la sécurité des logiciels. Justifier les coûts liés aux outils supplémentaires, aux programmes de formation et au perfectionnement des développeurs peut sembler être un « luxe » plutôt qu'une nécessité métier, tant que la vitesse de livraison du code est maintenue.

Livrer du code plus rapidement est devenu plus facile, mais malheureusement, livrer du code sécurisé ne l'est pas, ce qui expose les organisations à plus de menaces que jamais. Le coût de la cybercriminalité est colossal à l'échelle mondiale et augmente rapidement. En 2020, il s'élevait à environ 1 000 milliards de dollars. En moyenne, le coût d'une violation de données est de 4,35 millions de dollars, incluant la perte d'activité auprès des clients actuels et potentiels, ainsi que les ressources consacrées à la détection, à l'escalade et à la correction.

Malgré ces coûts astronomiques, plus de la moitié des organisations n'exigent pas de leurs développeurs qu'ils suivent une formation annuelle formelle sur le code sécurisé.

Les professionnels de la sécurité savent bien que la détection et la correction des vulnérabilités peuvent ressembler à un jeu de « tape-taupe ». Même si vous disposez déjà d'un programme de sécurité avec une stratégie de remédiation, il y a toujours matière à amélioration. La plupart des organisations constatent que lorsque leur plan de reprise après sinistre ou leurs capacités de sauvegarde sont mis à l'épreuve, leur approche de la sécurité n'est pas aussi robuste qu'elles le pensaient. Si le renforcement de la résilience de votre organisation face aux cyberattaques est l'une de vos priorités, intégrer les développeurs dès le début du processus (« shift left ») doit faire partie de vos plans pour améliorer votre posture de sécurité. Une équipe de développeurs compétents et autonomes, capables d'écrire du code sécurisé dès le départ et de localiser et corriger rapidement les vulnérabilités, est votre moyen le plus rentable d'atténuer les risques.

Une idée reçue concernant la formation des développeurs est qu'il s'agit simplement d'un coût pour l'entreprise, voire d'une police d'assurance. Selon Klaus Klinger, évangéliste de la sensibilisation DevSec chez Allianz : « Tout doit commencer dans l'esprit de la direction. Investir dans la formation des développeurs n'est pas un investissement perdu, mais un investissement dans la qualité, la productivité et la réputation de l'entreprise ».

Le ROI est souvent difficile à quantifier dans ce domaine, mais les organisations doivent avant tout réfléchir à la manière dont leur posture de sécurité les aide à réduire les risques, à rationaliser leur approche et à économiser du temps et de la productivité pour leurs équipes de développement.

Comment quantifier le ROI des coûts de cybersécurité ?

En matière de ROI, il est important de l'envisager sous deux angles : les économies réalisées grâce à l'atténuation des risques par rapport à l'impact de votre formation à la sécurité.

Prenons cet exemple très courant : une vulnérabilité ou une faille force un site e-commerce à rester hors ligne pendant plusieurs jours, le temps que ses équipes identifient le problème et le corrigent. Le coût de cette défaillance peut être quantifié par la perte de revenus pendant l'interruption, l'impact du vol d'identifiants, la perte de confiance des clients (entraînant une baisse des ventes à long terme) et la perte globale de productivité pendant la résolution du problème.

Tout cela revient à une analyse coûts/avantages. Les domaines clés à évaluer sont le niveau de maturité de sécurité de votre entreprise, vos niveaux d'acceptation des risques et les parties de votre code qui doivent être maintenues ou améliorées.

Les gens se concentrent souvent sur les mauvaises mesures pour déterminer le succès et la valeur. Peut-être devrions-nous moins nous préoccuper du retour sur l'investissement initial du programme et mesurer plutôt l'impact du programme lui-même.

Mesurer pour prouver l'impact

Pour établir un ROI, vous devez créer des objectifs mesurables. Cela commence par l'évaluation des connaissances de vos développeurs en matière de codage sécurisé et par la compréhension des domaines où ils doivent développer leurs compétences.

Un point de départ serait de mesurer l'engagement pour vous aider à prendre des décisions stratégiques sur la manière de construire des programmes de formation plus riches. Plus important encore : mesurez l'impact. Commencez par examiner le nombre de faiblesses détectées dans le cycle de vie du développement logiciel grâce à l'analyse de code, aux programmes de bug bounty ou aux tests de vulnérabilité classiques avant de lancer le programme dans chaque équipe. L'un des moyens les plus simples de savoir si votre programme de formation atteint les résultats escomptés est de mesurer la diminution globale des vulnérabilités introduites dans votre base de code.

‍

Questions clés pour évaluer le ROI :‍

1. Simplifions-nous notre approche ?

‍Multipliez-vous les outils pour résoudre un problème, ou vous attaquez-vous à sa cause profonde ? Ajouter sans cesse des outils à votre pile technologique revient à adopter une approche « gruyère » pour détecter et corriger les vulnérabilités. Cela augmente également les coûts opérationnels sans pour autant agir sur la source de nombreuses failles : le code. Bien que les outils d'analyse et de pentest doivent faire partie de votre arsenal, ils ne devraient pas constituer votre ultime ligne de défense.‍

2. Améliorons-nous l'efficacité et la productivité ?

Le temps consacré aux revues de code exhaustives et aux retouches demandées par l'équipe AppSec peut entraîner une perte de productivité majeure. Réduire les interventions d'urgence en responsabilisant les équipes de développement grâce à une formation au code sécurisé est un excellent indicateur pour évaluer l'impact positif de votre programme de sécurité.‍

3. Réduisons-nous les risques ?

Détecter et corriger une vulnérabilité peut s'apparenter à la résolution d'un puzzle complexe, nécessitant parfois des jours, des semaines, voire des mois pour aboutir à une solution robuste. En permettant aux développeurs de prendre en charge la remédiation à la source, l'équipe AppSec peut se concentrer sur la surveillance des risques et le renforcement de la posture de sécurité de l'organisation.

4. Accélérons-nous la cadence (tout en maintenant la qualité) ?

Livrer du code rapidement n'est pas toujours une bonne chose. Prendre des raccourcis et introduire des vulnérabilités peut engendrer de nombreux problèmes à l'avenir et accumuler de la dette technique. Le court-termisme n'est pas la solution. Il est possible d'atténuer les risques en sécurisant le code dès le départ, afin d'éviter que les problèmes ne s'aggravent par la suite.
‍

Indicateurs recommandés à suivre :

• Engagement : quel temps allouez-vous à la formation et comment les développeurs s'impliquent-ils ? Suivent-ils les cours, les évaluations et participent-ils aux tournois ?
• Compétences : quels sont vos points forts ? Quelles zones nécessitent des améliorations ?
• Réduction des vulnérabilités : avez-vous constaté une baisse mesurable des failles lors des revues de code ? Observez-vous moins de retouches demandées par l'AppSec ?
• Productivité : combien de temps faut-il pour corriger un problème ? Avez-vous noté une hausse de la productivité ou de la vélocité grâce à la réduction des vulnérabilités ?

Créer de la valeur en adoptant le « Shift Left »

Les failles et les vulnérabilités augmentent rapidement chaque année. Il est essentiel de construire une approche proactive et globale de la sécurité, en commençant par votre code. Cela vous aidera à :

• Réduire la complexité en investissant dans vos ressources les plus précieuses — vos collaborateurs — plutôt que de dépenser dans des outils qui ne résolvent qu'une partie du problème
• Améliorer l'efficacité globale en limitant les retouches ou les correctifs qui seraient normalement identifiés par l'AppSec après le déploiement du code
• Atténuer les risques et assurer la conformité, en évitant des amendes coûteuses, la perte de confiance des clients ou, pire, le coût d'une violation de données

Évitez le court-termisme et les solutions rapides. Ils ne mènent qu'à de la dette technique et à des coûts supplémentaires. Planifiez sur le long terme en misant sur la montée en compétences de vos développeurs pour qu'ils deviennent votre meilleure ligne de défense.

‍