Vous voulez que vos développeurs intègrent la sécurité dans leur code ? Intégrez la formation directement dans leur environnement de travail.

Le cycle de vie du développement logiciel (SDLC) semble assez inoffensif ; c'est un processus, et nous, les acteurs du logiciel, nous réunissons pour opérer la magie et livrer tous ces produits numériques dont la société ne peut se passer.

Sauf que... si vous avez déjà participé à un projet de développement logiciel, vous savez qu'il s'agit généralement d'un parcours du combattant, avec de nombreuses quêtes à accomplir et des dragons à terrasser. C'est amusant un temps, mais l'épuisement professionnel est bien réel, et la demande en logiciels nous pousse tous à travailler à la vitesse de la lumière, surtout l'équipe de développement.

Imaginez maintenant qu'on leur ajoute une tâche obligatoire : la responsabilité de la sécurité dans les éléments du projet qu'ils manipulent. Dans le pire des cas, cela peut faire s'écrouler le château de cartes pour certains, mais le scénario le plus réaliste est qu'elle ne soit tout simplement pas considérée comme une priorité, au profit de problèmes jugés plus urgents à résoudre. Et comme la plupart des développeurs ne sont pas formés au codage sécurisé (surtout si leurs managers ne donnent pas non plus la priorité à la sécurité), il n'est pas étonnant de voir de fréquentes violations de données, des versions d'applications défectueuses et un turnover important chez les professionnels de la sécurité, poussés à bout par une avalanche de code bogué.

Les développeurs ont besoin d'un défenseur de la sécurité applicative (AppSec).

Au vu du scénario ci-dessus, on comprend pourquoi la sécurité est reléguée au second plan pendant le processus de codage et laissée aux soins de l'équipe de sécurité. Trop d'échéances concurrentes, pas assez de formation et aucune raison réelle de se soucier de la sécurité avec tout ce qu'il y a à gérer. Pourtant, la demande de code est telle que ce statu quo ne peut durer. C'est là que les développeurs d'élite peuvent se démarquer de leurs pairs, acquérir de nouvelles compétences et, surtout, produire un code plus sûr.

Cependant, il est important de rappeler que la gestion de la sécurité logicielle ne repose pas uniquement sur les épaules des développeurs ; cela reste le domaine de l'équipe AppSec (qui, en travaillant avec des développeurs sensibilisés à la sécurité, aura plus de marge de manœuvre au lieu de corriger sans cesse les mêmes bogues courants).Un processus DevSecOps fonctionnel exige que chaque membre de l'équipe dispose du soutien et des outils nécessaires pour partager la responsabilité de la sécurité, et lebon type de formationest primordial. Équilibrer la bonne suite d'outils et de formation nécessite l'expertise de professionnels de l'AppSec prêts à travailler en étroite collaboration avec les développeurs pour les inspirer et susciter un changement positif.

Une formation perturbatrice est plus agaçante qu'efficace, et tout ce qui rebute les développeurs ne fonctionnera pas. Une solution intégrée à l'IDE ou au gestionnaire de tickets, axée sur des connaissances digestes, est une alternative qui permet de leur fournir la bonne information au moment précis où ils en ont besoin.

Voici comment cela fonctionne en pratique :

Juste à temps, pas « au cas où ».

L'apprentissage contextuel et pratiqueest de loin le moyen le plus efficace de se former, avec des modules courts délivrés au moment le plus opportun. C'est ce qu'on appelle parfois la formation « Juste à temps » (JiT), et elle est très puissante pour les développeurs qui apprennent le codage sécurisé.

Inspirée desprincipes de production allégée de Toyota, la formation JiT est conçue pour être activée en fonction des besoins, dans le contexte et au moment où elle est la plus pertinente. Un développeur vient-il de créer quelque chose qui semble avoir des autorisations inappropriées ? Et si une petite porte dérobée permettait à un attaquant d'exécuter du code à distance ? Il sera bien plus facile de retenir la leçon si les développeurs peuvent accéder aux connaissances au moment précis où ils en ont besoin, plutôt que de fouiller dans la documentation sur Confluence ou de chercher sur Google un sujet abordé lors d'une formation.

Le « Juste à temps » est l'antithèse de l'apprentissage « au cas où » ; bien que cette dernière méthode soit la plus courante pour transmettre des connaissances, elle n'est tout simplement pas efficace. Nous devons faciliter l'adoption des meilleures pratiques de codage sécurisé par les développeurs et leur montrer l'intérêt de monter en compétences pour leur carrière, tout en restant concentrés sur les objectifs clés qu'ils poursuivent actuellement.

Arrêtez de faire courir les développeurs après la formation.

Nous savons déjà qu'une journée de travail est bien remplie. Quelle motivation les développeurs auraient-ils à se traîner dans une salle de classe ou à changer de contexte pour suivre une formation théorique statique en cinq étapes ?

Le consensus général est que ce que font la plupart des organisations n'est pas très efficace, si l'on en croit le nombre de vulnérabilités à l'origine des violations de données. Le rapport 2020 sur les enquêtes relatives aux violations de données de Verizon a précisé que43 % des violations de données pouvaient être attribuées à des vulnérabilités web. Les développeurs ne reçoivent pas de formation efficace, ni dans l'enseignement supérieur, ni dans le cadre de mesures de montée en compétences en entreprise. Si c'était le cas, des vulnérabilités courantes comme l'injection SQL et letraversée de répertoireclassique ne seraient pas exploitées pour obtenir des données sensibles, et la pénurie de compétences en cybersécurité ne serait pas hors de contrôle.

Alors, sachant que c'est le climat actuel dans lequel les développeurs sont formés et se familiarisent avec la sécurité, pourquoi sommes-nous surpris par les mauvais résultats ? Il pourrait être bénéfique, tant pour le développeur que pour l'organisation, de garantir une expérience de formation plus fluide, intégrée et moins perturbante, accessible là où ils travaillent réellement, comme dans Jira, GitHub et l'IDE. L'industrie doit simplement aller de l'avant et rendre la sensibilisation à la sécurité beaucoup plus facile, dans un environnement où elle n'est plus un luxe.

Prêt à sécuriser votre flux de travail de développement ?

Les développeurs sensibilisés à la sécurité sont reconnus pour leurs compétences et la protection qu'ils offrent aux organisations dès la phase de développement. La sécurité n'est plus une option, surtout avec le RGPD, la conformité PCI-DSS, la gouvernance NIST... et le risque de recours collectifs se chiffrant en millions de dollars, à l'instar d'Equifax.

Une approche intégrée pourrait être le catalyseur pour convaincre les développeurs grâce à un apprentissage moins perturbateur, tout en ouvrant la voie à des formations approfondies, à la création de champions de la sécurité et, plus largement, à cette responsabilité partagée nécessaire pour protéger les données mondiales.

Téléchargez dès maintenant les outils d'intégration pour Jira et GitHub et faites-nous part de vos impressions.