Le score de confiance révèle la valeur des initiatives de montée en compétences axées sur la sécurité dès la conception.

Un moyen sûr d'améliorer la posture de sécurité de votre organisation consiste à renforcer les compétences des développeurs en matière de bonnes pratiques de codage sécurisé, au sein d'un cadre incluant des bases de référence et des indicateurs conçus pour offrir aux développeurs les parcours d'apprentissage spécifiques dont ils ont besoin. Le codage sécurisé n'est cependant pas une solution ponctuelle : il doit devenir un mode de vie, inscrit dans l'ADN de l'organisation. Les développeurs ne doivent pas seulement « passer à gauche » ou commencer à gauche, ils doivent y rester.

Il ne suffit pas de proposer une formation. Les organisations doivent confirmer que les développeurs ont parfaitement assimilé leur formation et qu'ils appliquent les bonnes pratiques dès le début du cycle de vie du développement logiciel (SDLC) dans le cadre de leurs routines quotidiennes. Vous devez suivre les performances des développeurs et mesurer leurs progrès par rapport aux normes internes et aux références du secteur, afin d'évaluer efficacement le retour sur investissement de la formation.

Le Trust Score de Secure Code Warrior offre une visibilité sur les performances individuelles des développeurs et agrège les données pour fournir une évaluation de la performance globale de votre organisation. Il démontre l'efficacité des programmes de montée en compétences tout en identifiant les domaines nécessitant des améliorations. De plus, il aide à garantir la conformité avec l'éventail des exigences réglementaires, qu'elles proviennent du Règlement général sur la protection des données (RGPD), de la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS), du California Consumer Privacy Act (CCPA) ou d'autres.

Nos recherches ont démontré que la formation au code sécurisé est efficace. Le Trust Score, qui s'appuie sur un algorithme exploitant plus de 20 millions de points de données issus du travail de plus de 250 000 apprenants au sein de plus de 600 organisations, révèle son efficacité dans la réduction des vulnérabilités et indique comment rendre cette initiative encore plus performante.

La formation améliore la sécurité, à condition que les développeurs l'intègrent

Pendant des années, l'application des bonnes pratiques de sécurité dès le début du SDLC semblait être un vœu pieux dans l'industrie logicielle : une ambition pour le futur, mais pas une priorité immédiate. Cependant, la vitesse croissante du développement logiciel, couplée au rythme effréné des cybermenaces sophistiquées et destructrices — souvent basées sur le ciblage des vulnérabilités logicielles — a rendu le codage sécurisé indispensable. La Cybersecurity and Infrastructure Security Agency (CISA) place le code sécurisé au cœur de ses priorités avec son initiative Secure-by-Design, qui devient un mouvement international.

Nos recherches ont prouvé ce point : la corrélation entre une approche « Secure-by-Design » et la réduction des vulnérabilités logicielles est évidente. Nous avons analysé les données de réduction des vulnérabilités de 26 % de la clientèle de SCW et avons constaté que la formation des développeurs entraînait une réduction des vulnérabilités logicielles allant de 22 % à 84 %. Cette fourchette résulte de variables telles que la taille des entreprises concernées (les petites entreprises avec relativement peu de développeurs ont produit une gamme de résultats plus spectaculaire) et le fait qu'un groupe d'apprentissage se concentre sur un problème spécifique, auquel cas ils ont éliminé un pourcentage plus élevé de failles.

Les résultats obtenus auprès des grandes entreprises ont été plutôt constants. Les entreprises comptant 7 000 développeurs ou plus peuvent s'attendre à voir leurs vulnérabilités réduites de 47 % à 53 % grâce à la montée en compétences des développeurs en matière de sécurité. Par exemple, une entreprise statistiquement moyenne de plus de 10 000 développeurs — qui n'est ni la plus performante sur la plateforme ni celle ayant les meilleurs résultats — a constaté une réduction de 53 % des vulnérabilités.

Bien entendu, la formation la plus efficace ne repose pas sur une approche généraliste unique. Elle doit être adaptée aux environnements de travail des développeurs et aux types de développement qu'ils effectuent.

Les entreprises doivent commencer par établir les compétences de base que les développeurs doivent posséder pour que l'écriture de code sécurisé devienne aussi naturelle que l'écriture de code tout court. Les programmes de montée en compétences doivent consister en une formation pratique et agile, basée sur des scénarios réels correspondant au type de travail effectué et aux langages utilisés. Ils doivent également être suffisamment flexibles pour intégrer les sessions de formation dans leurs emplois du temps.

Pour les développeurs, l'ensemble des compétences implique bien plus que la simple écriture de code. Ils doivent être capables de vérifier les logiciels créés par des assistants d'intelligence artificielle et des tiers, tels que les dépôts open source. Les développeurs font un usage intensif des modèles d'IA générative et ont généralement salué leurs avantages pour les aider à créer plus de code plus rapidement. Cependant, bien que 76 % des répondants à une enquête Snyk aient déclaré que le code généré par l'IA était plus sécurisé que celui produit par des humains, 56,4 % ont tout de même affirmé que l'IA introduit des erreurs, parfois ou fréquemment. La même enquête a révélé que 80 % des développeurs omettent d'appliquer les politiques de sécurité du code IA, ce qui suggère que les problèmes liés au code généré par l'IA ne sont pas traités.

Dans une approche « Secure-by-Design », les développeurs — travaillant avec les équipes de sécurité, plutôt que séparément — traiteront ces problèmes tôt dans le SDLC, en identifiant et en remédiant aux failles avant que le code ne passe en production.

Le Trust Score mesure les performances individuelles et celles de l'entreprise

Il est également essentiel que la formation soit continue. Les entreprises doivent adopter une culture axée sur la sécurité qui s'applique à tous les niveaux, des échelons les plus élevés jusqu'aux rangs opérationnels. Elle doit se concentrer sur l'amélioration continue et l'application des meilleures pratiques de sécurité tout au long du SDLC. La technologie et les cybercriminels ne cessent d'évoluer ; la cybersécurité doit en faire autant. Pour les organisations qui produisent des logiciels, les développeurs formés à la sécurité constituent le socle fondamental.

C'est pourquoi démontrer que la formation a été efficacement intégrée est tout aussi important que la formation elle-même. Le Trust Score offre non seulement une visibilité sur les performances des développeurs individuellement et de l'organisation dans son ensemble, mais il permet également aux entreprises d'analyser les données de performance pour se concentrer sur des langages, des équipes de développement ou des catégories de logiciels spécifiques. Les données issues des résultats de performance individuels et agrégés aident également à identifier les domaines où la formation doit être améliorée — par exemple, si elle n'a pas l'effet escompté sur les performances quotidiennes des développeurs.

Le Trust Score a permis aux organisations d'évaluer les performances des développeurs et de confirmer s'ils ont acquis — et utilisent — les compétences de sécurité nécessaires, garantissant ainsi qu'ils ont obtenu leur « permis de coder ». Il permet aux organisations d'accorder en toute confiance aux développeurs qualifiés l'accès à leurs données les plus sensibles et à leurs projets logiciels critiques, tout en refusant cet accès à ceux qui ne sont pas encore tout à fait prêts.

La preuve d'une culture de sécurité en pleine mutation

La cybersécurité n'est plus seulement une question de sécurité. C'est un enjeu métier qui touche à l'intégrité de l'actif le plus précieux de nombreuses organisations : leurs données. Une faille majeure impacte les opérations, la réputation et, potentiellement, la viabilité même d'une entreprise. Les autorités de régulation l'ont bien compris, imposant des réglementations de plus en plus strictes et n'hésitant plus à poursuivre les RSSI, voire d'autres membres de la direction, allant jusqu'à des poursuites pénales, comme dans les affaires Uber et SolarWinds.

Adopter une culture de sécurité à l'échelle de l'entreprise est devenu indispensable. La valeur d'une société reposant largement sur ses données, ses applications et ses services, le développement sécurisé est un pilier fondamental de cette culture. Une formation ciblée et une montée en compétences intégrées à cet état d'esprit, appuyées par des preuves concrètes de leur efficacité, permettent aux organisations de renforcer durablement leur posture de sécurité.

Les programmes de sécurité portés par les développeurs ont une réelle valeur. La preuve en est avec le Trust Score.