Pourquoi nous ne devons jamais négliger le facteur humain en cybersécurité

Nous avons été très heureux de voir la première tribune de notre président-directeur général, Pieter Danhieux, publiée par le Forbes Technology Council. Il y explique comment la montée en compétences des développeurs en matière de code sécurisé est essentielle pour prévenir les cyberattaques et les fuites de données. Mieux encore, il révèle comment ces développeurs sensibilisés à la sécurité peuvent contribuer à livrer un code de meilleure qualité et plus sûr, plus rapidement que ne le pensent de nombreux départements informatiques. La nécessité d'une telle approche est indéniable. Une étude récente a révélé qu'une cyberattaque survient désormais toutes les 39 secondes, et nous avons tous constaté les perturbations causées par une seule attaque par ransomware réussie sur le Colonial Pipeline, qui, dans l'ensemble, n'a pas été aussi destructrice que le piratage de SolarWinds.

‍

De nombreuses vulnérabilités courantes persistent parce que personne n'a pris la peine de montrer aux développeurs comment remplacer les mauvaises pratiques de codage par une méthode plus sûre pour accomplir les mêmes fonctions. De plus, corriger un logiciel tardivement dans son développement coûte extrêmement cher en heures de travail et en retards de déploiement. Réparer le code après son déploiement, surtout après qu'un attaquant a exploité une vulnérabilité inconnue, peut parfois coûter des millions de dollars. Sans parler des dommages causés à la réputation de l'entreprise après une faille majeure.

Les développeurs formés à la sécurité deviennent naturellement de meilleurs codeurs. Certes, les RSSI ne doivent pas abandonner leurs outils de sécurité, mais en menant une approche préventive et inclusive dès le sommet, ils peuvent tirer parti de la plus grande ressource de leur entreprise : le facteur humain, surtout lorsqu'il s'agit de coder de manière sécurisée dès le début du cycle de vie du développement logiciel.

Pour y parvenir, voici les trois stratégies de haut niveau à garder à l'esprit.

1. Soyez proactif, pas réactif

Les entreprises tombent souvent dans le piège de la réaction, par exemple en répondant aux actions de la concurrence au lieu de développer une vision unique. Beaucoup adoptent cette attitude face aux vulnérabilités du code, ne prenant la cybersécurité au sérieux qu'après une faille. Malheureusement, le mal est alors fait : amendes, coûts de récupération, perte de clients et restauration de l'image de marque pèsent lourdement sur les résultats. Une autre forme de réaction consiste à s'appuyer sur des analyses de code automatiques ou manuelles pour trouver des vulnérabilités existantes, plutôt que de se concentrer sur la création d'un code sécurisé dès le départ. Hélas, l'analyse de code n'est pas une solution parfaite : plus il y a de vulnérabilités dans le code, plus le risque qu'elles passent entre les mailles du filet est élevé.

Seule une approche proactive, en aidant les développeurs à créer un code sécurisé dès le début, permet d'établir un cycle de vie de développement logiciel qui réduit considérablement le risque de vulnérabilités exposées aux utilisateurs.

2. Montez en compétences, ne surchargez pas

Une fois que vous avez décidé de fournir aux développeurs les connaissances nécessaires pour créer un code sécurisé, choisissez votre approche avec sagesse. Les ateliers de formation internes qui interrompent le travail frustrent autant les développeurs que les managers. Les formations externes en soirée ou le week-end sont encore moins populaires. La meilleure approche consiste à développer les compétences progressivement, en fournissant des informations pertinentes étape par étape pendant le processus de codage – en somme, monter en compétences sans distraire les développeurs ni ralentir le développement.

3. Incitez, ne présumez pas

Les développeurs ne doivent pas percevoir la montée en compétences en sécurité comme une punition ou une corvée. Les managers doivent inspirer leurs équipes en communiquant sur le rôle crucial du code sécurisé dans la réussite de l'entreprise. Il est également important de souligner que les développeurs maîtrisant la sécurité ont plus de valeur et bénéficieront de meilleures opportunités de carrière.

Le décret présidentiel de l'administration Biden a renforcé l'accent sur la cybersécurité et la nécessité d'inclure des critères pour évaluer les pratiques des développeurs et des fournisseurs, tout en identifiant des méthodes innovantes pour démontrer la conformité. Mais si les outils sont essentiels, ils ne suffisent pas. Aucun outil ne pourra jamais empêcher totalement un individu d'ignorer, de mal comprendre ou de contourner les systèmes en place. Pour maximiser leur sécurité, les RSSI doivent miser sur le facteur humain et encourager les développeurs à devenir des acteurs engagés de la sécurité.