Pourquoi l'apprentissage étayé forme des développeurs experts en sécurité

Après seulement quelques minutes passées à parcourir l'actualité technologique, il devient vite évident à quel point le paysage des menaces est dangereux. Chaque jour semble apporter son lot de rapports sur une faille majeure, une nouvelle vulnérabilité ou une menace imminente d'exploitation active par des cyberattaquants et des criminels. Et presque toutes les statistiques et tous les rapports du secteur montrent un nombre de cybermenaces de plus en plus dangereux, la plupart des experts prédisant que cette tendance se poursuivra pendant des années.    

Face à ces nouvelles menaces se trouve une première ligne de travailleurs de la cybersécurité épuisée et en sous-effectif. Malgré des salaires élevés et un caractère quasi indispensable pour toute entreprise ou organisation, le personnel de sécurité manque cruellement. Dans une enquête récente menée par le Center for Strategic and International Studies, 82 % des décideurs informatiques ont déclaré que leur organisation souffrait d'une pénurie de compétences en cybersécurité, et 71 % ont affirmé que cette pénurie avait causé des dommages directs et mesurables à leur organisation. Rien qu'aux États-Unis, le rapport note qu'il y avait plus de 520 000 postes de cybersécurité non pourvus dans un domaine qui n'emploie qu'environ 940 000 personnes.

À l'échelle mondiale, il existe actuellement environ 3,5 millions d'emplois en cybersécurité non pourvus, ce qui signifie que même les organisations prêtes à payer des sommes considérables pour embaucher et retenir des professionnels de haut niveau peinent à trouver des candidats appropriés. En moyenne, il faut environ 21 % de temps en plus pour pourvoir un poste en cybersécurité que pour tout autre emploi, si tant est qu'ils puissent être pourvus.

L'autonomisation des développeurs a été trop longtemps ignorée

Nous avons noté dans de nombreux blogs précédents que les développeurs peuvent être mis à contribution pour combler certaines de ces lacunes critiques dans les défenses de cybersécurité. C'est simplement que, traditionnellement, les développeurs n'ont jamais été formés à la cybersécurité. Leurs performances professionnelles étaient presque entièrement basées sur la rapidité et les délais de déploiement. La sécurité était l'affaire des équipes AppSec en aval.

Malheureusement, il ne suffit pas de changer de braquet et de demander aux développeurs de commencer soudainement à intégrer la sécurité dans leurs applications et programmes. Même s'ils sont prêts à effectuer ces changements, et les enquêtes ont montré que beaucoup le sont, ils ont encore besoin d'une formation pour y parvenir. Ils ont également besoin d'encouragements et de soutien de la part de la direction, mais bénéficier d'un apprentissage significatif est le premier, et souvent le plus grand, obstacle.

Il y a une raison pour laquelle des millions de postes en cybersécurité, bien rémunérés et hautement sécurisés, restent vacants dans le monde. Si c'était un travail facile, tout le monde se lancerait dans ce domaine. Apprendre à combattre les menaces et à éliminer les vulnérabilités dans le code est difficile, et le paysage des menaces change constamment. Essayer d'enseigner la cybersécurité, même à des développeurs relativement férus de technologie, ne peut se faire efficacement avec une formation statique qui devient vite obsolète, n'est pas mémorable et aura un impact positif minimal, surtout si ces exigences s'ajoutent à leurs emplois du temps déjà surchargés.

Construire un échafaudage pour atteindre des sommets

Enseigner les compétences en cybersécurité par des méthodes traditionnelles revient à essayer de construire un gratte-ciel sans jamais quitter le sol. Ce n'est pas possible car les étudiants n'ont pas les bases nécessaires pour maîtriser les nombreux concepts de haut niveau d'un domaine complexe comme la cybersécurité. Pour compenser, le concept d'apprentissage étayé peut être utilisé.

Lorsqu'on utilise une approche étayée, ou « par couches », pour le développement des compétences, les sujets plus vastes sont généralement décomposés en expériences ou concepts d'apprentissage distincts. Cela garantit que les étudiants sont capables de maîtriser chaque concept à l'aide d'exercices et d'instructions appropriés, en fournissant tout le soutien nécessaire pour chaque composant. Des concepts plus récents et plus avancés sont ajoutés par-dessus ceux déjà maîtrisés, tout comme un échafaudage physique est construit à mesure qu'un bâtiment s'élève. De cette façon, les étudiants sont capables d'atteindre des niveaux de compréhension et d'acquisition de compétences supérieurs à ce qu'ils pourraient maîtriser sans aide.

Et tout comme pour un échafaudage physique, ce soutien est progressivement retiré lorsqu'il n'est plus nécessaire, en confiant davantage de responsabilités aux étudiants à mesure qu'ils deviennent plus compétents.

L'apprentissage étayé est principalement utilisé pour réduire les émotions négatives et les perceptions de soi que les étudiants peuvent ressentir lorsqu'ils se sentent frustrés, intimidés ou découragés en tentant une tâche difficile sans aide. Mais il peut aussi s'avérer très précieux pour aborder un concept extrêmement difficile comme la cybersécurité moderne. Loin d'être une façon de traiter les développeurs comme des enfants, c'est immensément utile lorsque leur expérience avec l'équipe de sécurité peut avoir le même effet frustrant et décourageant, surtout lorsque leur travail acharné leur est renvoyé avec des corrections de bugs et une nouvelle dose de critiques.

Lorsque les développeurs disposent d'outils pour comprendre les fondamentaux du codage sécurisé (généralement en commençant par l'OWASP Top 10), ils peuvent constater par eux-mêmes comment les bugs de sécurité surviennent, pourquoi ils sont dangereux et comment les corriger avant qu'ils n'atteignent la production. À partir de là, ils peuvent élargir leurs connaissances en s'attaquant à des vulnérabilités plus complexes et en acquérant une expérience pratique dans l'application de bonnes corrections. Les couches s'accumulent, petit à petit, et lorsqu'il s'agit de problèmes de sécurité avancés comme une architecture logicielle non sécurisée ou la modélisation des menaces, ces sauts ne semblent plus si intimidants et peuvent être abordés avec précision.

En tant qu'industrie, nous ne devrions jamais attendre des développeurs qu'ils deviennent des experts en sécurité, mais les organisations peuvent adopter de nouvelles normes pour les autonomiser afin qu'ils produisent des logiciels de meilleure qualité. En prime pour les organisations dont les ingénieurs montent en compétences, chaque étape, ou chaque niveau d'étayage, se traduira directement par une meilleure cybersécurité au fur et à mesure de leur apprentissage. Il n'est pas nécessaire d'attendre la fin d'un cours pour voir les résultats.

Apprendre la cybersécurité est difficile, et la maîtriser est presque impossible sans le bon type d'aide et d'instruction. Adopter un programme de sécurité avec un apprentissage étayé peut aider à tirer le meilleur parti de chacun, avec des avantages devenant évidents presque immédiatement. Les améliorations commenceront presque instantanément et ne cesseront de s'améliorer avec le temps.

Commencez à former des développeurs experts en sécurité avec nous ; découvrez :

Cours
Missions
Formation développeur

... et plus encore !