Viser l'excellence : l'ascension des normes de code sécurisé chez Paysafe

Paysafe transforme les transactions financières en expériences fondées sur la confiance. L'entreprise sait que pour offrir une plateforme sécurisée et fluide traitant plus de 152 milliards de dollars de volume de transactions annualisé, il ne suffit pas de respecter les normes de conformité de base. Depuis quatre ans, Paysafe adopte une approche holistique de la gestion des risques liés aux développeurs grâce à son partenariat avec Secure Code Warrior, son programme de sécurité des applications ayant un impact positif sur les besoins globaux de l'entreprise, notamment :

‍
Le défi : élever les normes de code sécurisé chez Paysafe

En tant que fournisseur multinational de paiements en ligne, Paysafe a toujours considéré le codage sécurisé comme une priorité stratégique allant au-delà de la simple conformité PCI DSS. Bien que des formations en présentiel et des évaluations des compétences aient fait partie de leurs premières initiatives, l'objectif de Paysafe a toujours été d'élargir continuellement la portée et l'échelle de leur programme de codage sécurisé, afin de garantir une approche exemplaire de la sécurité des applications et de s'assurer que les ingénieurs écrivent du code sécurisé dès le départ.

« Pour nous, il ne s'est jamais agi de simplement cocher une case pour prouver que nous avons dispensé une formation. Notre objectif est de tenir nos équipes informées des évolutions constantes. Nous cherchons toujours à nous améliorer et à en faire plus. Nous voulons que les équipes d'ingénierie et de sécurité collaborent. Les équipes qui peuvent se former elles-mêmes sont mieux informées et conçoivent un meilleur code », déclare Boyan Hristov, People Development Partner chez Paysafe.

La vision de Paysafe était d'adopter une approche « shift left » en matière de sécurité, en formant des ingénieurs conscients des enjeux de sécurité qui intègrent des pratiques de codage sécurisé à chaque étape du cycle de vie du développement logiciel. Pour soutenir cela, ils avaient besoin d'un programme évolutif, engageant et continu qui fournirait non seulement des preuves d'audit pour la conformité PCI, mais favoriserait également un changement culturel profond et durable. Cela comprenait des expériences d'apprentissage ludiques, des tournois réguliers et une formation continue pour impliquer les développeurs et les inciter à rester à la pointe des tendances de sécurité du secteur.

La solution : une approche de pointe avec Secure Code Warrior

Paysafe a adopté la plateforme de gestion des risques liés aux développeurs de Secure Code Warrior pour aider à mettre à l'échelle les pratiques de codage sécurisé, impliquer les ingénieurs et intégrer la sécurité plus tôt dans le cycle de vie du développement. Leur programme « Security Champions » s'est développé au fil du temps, Secure Code Warrior jouant un rôle essentiel dans l'atteinte des objectifs de prévention des cyber-risques.

Paysafe a permis aux développeurs d'interagir naturellement avec la plateforme, en encourageant des activités ludiques comme des tournois avec des prix attractifs pour susciter leur intérêt et leur enthousiasme. Lors du lancement initial du programme, certaines évaluations ont été rendues obligatoires pour répondre aux exigences de conformité PCI, tandis que d'autres contenus et activités étaient proposés en option.

À mesure que le programme gagnait en popularité, la direction a apporté un soutien supplémentaire, alignant davantage les objectifs des équipes de développement et de sécurité informatique. Cela a permis à l'équipe de Paysafe de faire passer le programme au niveau supérieur et d'introduire des programmes de certification plus formels avec des indicateurs de performance (KPI) et des incitations à la réussite.

La phase suivante du programme s'est concentrée sur les sujets du Top 10 de l'OWASP, avec des étapes de certification permettant aux développeurs de progresser à travers différents niveaux de réussite. Aujourd'hui, le programme a atteint un nouveau niveau d'échelle et de maturité, élevant les normes de base pour tous les développeurs, des employés à temps plein aux travailleurs temporaires.

‍« Nous accordons une grande valeur au partenariat que nous avons construit avec SCW au cours des quatre dernières années. Ensemble, nous avons pu dispenser une formation ciblée sur la sécurité des applications et favoriser des relations plus solides entre nos équipes de sécurité et d'ingénierie, ancrées dans un engagement commun à développer du code sécurisé dès la première fois, et le plus tôt possible dans le cycle de vie du développement logiciel », déclare Alan Osborne, Chief Information Security Officer chez Paysafe.

Avec le soutien continu et l'alignement du CISO, du CTO et des dirigeants de l'ingénierie, Paysafe s'est associé à Secure Code Warrior pour faire évoluer continuellement son programme. Aujourd'hui, le programme est étroitement aligné sur les besoins de l'entreprise, fournit des résultats tangibles et reste pertinent et engageant pour les équipes internes.

Résultats : une nouvelle norme pour le code sécurisé dans toute l'organisation

Les initiatives de sécurité des applications de Paysafe se sont améliorées depuis le début de leur parcours il y a quatre ans. Grâce au partenariat avec Secure Code Warrior, Paysafe a démontré l'impact considérable qu'une approche holistique de la gestion des risques liés aux développeurs peut avoir sur l'ensemble de l'organisation.

L'analyse des données d'analyse SAST par Paysafe a montré que les applications développées par les équipes formées avec Secure Code Warrior présentaient une réduction notable des vulnérabilités détectées lors des analyses en phase de développement précoce. Le nombre de vulnérabilités trouvées lors de la première analyse a encore diminué dans les équipes où les développeurs étaient plus activement engagés avec la plateforme SCW.

L'équipe ayant le plus haut niveau d'activité et d'engagement sur Secure Code Warrior a constaté une réduction significative, d'une année sur l'autre, des vulnérabilités trouvées lors des phases de développement précoce, soulignant la valeur ajoutée d'une formation continue basée sur les compétences pour renforcer les habitudes de codage sécurisé. Créer du code sécurisé dès le départ a permis à leur équipe et aux autres équipes tout au long du cycle de vie du développement logiciel d'économiser un temps considérable. Des milliers d'heures de développement ont été économisées en éliminant le besoin d'identifier, d'enregistrer et de retravailler les vulnérabilités du code, en les prévenant dès le début du développement. Cela a abouti à une amélioration de 45 % de la productivité des développeurs, démontrant les avantages de la montée en compétences en codage sécurisé et améliorant le processus de développement quotidien. Un résultat gagnant-gagnant pour les équipes d'ingénierie et de sécurité des applications.

L'engagement de Paysafe en faveur d'un code sécurisé lui a permis de se démarquer et d'atteindre la quatrième place du classement SCW Trust Score^®  dans le secteur de la banque et des services financiers. Bien qu'il s'agisse d'une réussite dont ils sont fiers, l'engagement de Paysafe envers les initiatives de code sécurisé ne s'arrête pas là. Encouragé par les résultats obtenus grâce au partenariat avec Secure Code Warrior, Paysafe cherche à faire monter son programme en puissance. 

« Secure Code Warrior nous a aidés à accroître la productivité de nos développeurs, à accélérer la mise sur le marché de nos produits et améliorations, et à réduire considérablement les coûts et les risques sur le long terme », déclare Alan Osborne, directeur de la sécurité des systèmes d'information chez Paysafe. « Nous avons démontré que le codage sécurisé, soutenu par une formation renforcée des développeurs, n'est pas seulement un "atout", mais un investissement éprouvé qui génère un réel retour sur investissement tout en renforçant les compétences, l'expérience et les capacités de nos développeurs. »

À présent, Paysafe vise à opérationnaliser davantage ses normes de sécurité en intégrant des mesures supplémentaires de gouvernance et de gestion des risques à ses processus, avec SCW Trust Agent qui approfondit son partenariat de longue date avec Secure Code Warrior et démontre son engagement envers l'excellence en cybersécurité.