Qu'est-ce qui empêche les équipes de développement de dormir lorsqu'il s'agit de coder en toute sécurité ?

Le code non sécurisé coûte des millions aux entreprises. Qu'est-ce qui freine l'adoption de pratiques de codage sécurisé ?

Dans un monde qui dépend du logiciel pour presque tout, garantir la sécurité du code est crucial. La réputation des marques et leur viabilité financière en dépendent. Cela dit, le codage sécurisé soulève de nombreuses préoccupations et se heurte à de multiples obstacles à son adoption pleine et entière. Plus que jamais, une nouvelle façon de travailler est nécessaire. C'est pourquoi, en 2020, Secure Code Warrior a mandaté Evans Data Corp. pour mener une étude primaire* sur les attitudes des développeurs et de leurs managers vis-à-vis du codage sécurisé, des pratiques de code sécurisé et des opérations de sécurité (téléchargez le livre blanc ici).

‍À l'heure actuelle, les organisations peinent à mettre en œuvre des pratiques de code sécurisé. Les développeurs comme les managers trouvent particulièrement préoccupant de devoir gérer les vulnérabilités et d'être tenus responsables du code.

Il existe clairement un besoin de meilleure formation et d'un programme qui soutienne les pratiques de code sécurisé. Ce besoin devient évident lorsque nous interrogeons les développeurs et leurs managers sur leurs préoccupations concernant le codage sécurisé. Notre étude* a montré que ces deux groupes partagent les mêmes inquiétudes fondamentales. Cependant, en raison de leurs rôles différents, ils divergent sur les points qu'ils jugent les plus urgents.

La préoccupation numéro un des développeurs est « l'inclusion de code reproduisant des vulnérabilités antérieures ». Comme les développeurs sont jugés sur la qualité de leur code, cela n'a rien d'étonnant. Aucun développeur ne souhaite être à l'origine d'un code non sécurisé, ou d'un code nécessitant des retouches et ralentissant son équipe.

La deuxième préoccupation majeure des développeurs est la gestion des erreurs introduites par leurs collègues. Le respect des délais et la responsabilité liée au code figurent également en tête de liste, tout comme la difficulté d'apprendre à coder de manière sécurisée, ce qui souligne une fois de plus la nécessité d'une nouvelle approche de la formation au code sécurisé.

Les managers, quant à eux, adoptent une vision plus globale.

En tant que managers et chefs d'équipe, leur préoccupation numéro un est la responsabilité du code. Si une équipe produit du code médiocre, c'est le manager qui en porte la responsabilité.

Le code qui reproduit des vulnérabilités antérieures arrive en deuxième position. La difficulté du processus d'apprentissage arrive en troisième. Comme les approches actuelles de formation au code sécurisé ne sont pas efficaces, les managers réalisent qu'une nouvelle approche est nécessaire. ‍

Obstacles à l'adoption de pratiques de codage sécurisé

Lorsque nous avons interrogé les managers sur les obstacles à l'adoption de pratiques de codage sécurisé dans leurs organisations, deux points sont ressortis clairement : la communication et la formation.

45 % ont identifié un manque de communication entre les parties prenantes et la direction comme un frein majeur. 42 % déplorent le manque de compétences en codage sécurisé chez les nouvelles recrues. Parallèlement, 40 % ont pointé du doigt l'insuffisance de temps et de ressources consacrés à la formation.

Il existe des obstacles liés aux processus et aux ressources humaines pour adopter avec succès des pratiques de code sécurisé au sein des organisations.

Mais il est possible de progresser malgré ces problèmes complexes. Le manque de compétences en codage sécurisé chez les nouvelles recrues ainsi que l'insuffisance de formation et de ressources sont des points plus faciles à résoudre.

Les développeurs sont en première ligne lorsqu'il s'agit de stopper les vulnérabilités. Mais reçoivent-ils le soutien, les outils et la formation nécessaires pour assumer leur part de responsabilité en matière de sécurité ?

Au vu de leurs préoccupations, la réponse courte est « non ».

La vérité est qu'une formation adaptée ne devrait pas ressembler à un cours magistral.

En tant que champions du changement dans le codage sécurisé, Secure Code Warrior adopte une approche centrée sur l'humain qui engage activement les développeurs à apprendre et à renforcer leurs compétences en codage sécurisé. Notre plateforme d'apprentissage éprouvée fournit aux équipes de développement et de sécurité un apprentissage contextuel et hyper-pertinent, intégré à leur flux de travail habituel. Elle leur permet non seulement de détecter les vulnérabilités, mais surtout de les empêcher de se produire dès le départ.

Ce type de formation pratique est une véritable montée en compétences, une étape de carrière bénéfique pour les développeurs soucieux d'éliminer les vulnérabilités et de collaborer avec leur équipe pour produire un code de meilleure qualité.

Si vous souhaitez en savoir plus et découvrir l'impact potentiel sur la capacité de vos équipes à intégrer la sécurité dès le début du développement pour livrer plus rapidement sans compromis, réservez une démo dès maintenant.

‍*Passer de la réaction à la prévention : le nouveau visage de la sécurité des applications. Secure Code Warrior et Evans Data Corp. 2020