Comment Thales a mis en œuvre la sécurité pilotée par les développeurs

Contexte

Le groupe Thales est une multinationale française qui conçoit, développe et fabrique des systèmes électriques, ainsi que des dispositifs et équipements pour les secteurs de l'aérospatiale, de la défense, du transport et de la sécurité. Viswanath S. Chirravuri est directeur technique de la sécurité logicielle chez Thales. Viswanath, ou Vis, a débuté sa carrière dans la sécurité en tant que programmeur. Il est aujourd'hui un responsable de la sécurité chevronné chez Thales, avec plus de 18 ans d'expérience dans le secteur et plus de 30 certifications, dont CISSP, PMP et GSE. Il a formé plus de 3 000 professionnels du logiciel dans plus de 18 pays. De plus, Vis a remporté plus de 10 « challenge coins » SANS lors de tournois internationaux de cybersécurité (comme Netwars) et est membre actif du conseil consultatif GIAC. Nous avons discuté avec Vis pour savoir comment il a harmonisé les personnes, les processus et la technologie pour développer un programme d'apprentissage du code sécurisé réussi chez Thales.

Situation

À son arrivée chez Thales, Vis a conseillé aux unités commerciales d'examiner la source des vulnérabilités découvertes lors des tests d'intrusion comme solution possible pour réduire la dette technique. L'équipe de sécurité des applications travaillait avec 7 fournisseurs différents pour renforcer sa posture de sécurité, allant des outils IAST/DAST aux outils de test d'intrusion. Vis souhaitait comprendre les tendances du marché et gérer les menaces de manière évolutive afin de développer des stratégies d'atténuation grâce à une intégration forte entre processus et technologie. Cela signifiait passer d'une approche purement basée sur les outils à une stratégie intégrant une forte composante d'apprentissage. Il a remarqué que beaucoup de développeurs n'avaient ni formation ni compétences en sécurité. Son approche initiale consistait à proposer des formations en présentiel sur des sujets comme le Top 10 de l'OWASP, mais il a vite réalisé que cela ne serait pas viable compte tenu des déplacements nécessaires et de la nécessité d'atteindre des milliers de développeurs à travers le monde. Vis a noté que :

« Il y aura toujours un déséquilibre dans le ratio entre la sécurité et le développement. Même avec un ratio de 1:1, je ne pourrais pas les maintenir engagés en permanence. Pour tenir nos développeurs informés des nouveaux vecteurs d'attaque, des meilleures pratiques, des nouveaux langages et des vulnérabilités récemment découvertes, nous devions promouvoir l'auto-apprentissage et leur permettre d'avancer à leur propre rythme. S'ils ont besoin d'aide, je peux les accompagner, mais j'ai réalisé que je ne pouvais pas être celui qui leur apprend à corriger chaque vulnérabilité trouvée. »

Au départ, les responsables du développement ont exprimé des réticences quant au temps que les développeurs devraient consacrer à l'apprentissage du code sécurisé, conscients que beaucoup partaient de zéro. Vis devait gérer la perception selon laquelle cet engagement pourrait perturber les cycles de publication des logiciels ou ralentir les sprints critiques. Il devait trouver un moyen de motiver l'organisation à investir du temps dans un apprentissage agile du code sécurisé. Vis a adopté une approche centrée sur l'humain pour traiter les vulnérabilités à la source : « Les gens disent souvent que la sécurité fait perdre du temps au développement. Pour moi, si vous développez quelque chose qui n'est pas sécurisé, c'était une perte de temps dès le départ. Vous devriez toujours développer des logiciels sécurisés pour vous éviter d'avoir à corriger des vulnérabilités qui auraient pu être facilement évitées. Nous devrions tous avoir l'objectif commun de livrer du code fiable. »

Action

Vis avait deux objectifs principaux : sécuriser leurs logiciels et sensibiliser les équipes de développement de Thales à la sécurité. Il était crucial de mettre en œuvre un programme permettant aux développeurs d'être autonomes et de se former à leur rythme. La stratégie de Vis consistait à bâtir une communauté de sécurité au fil du temps, en liant le codage sécurisé aux politiques de l'entreprise et en développant un mandat pour l'apprentissage du code sécurisé. En encourageant une culture communautaire reliant développeurs, testeurs, architectes et ingénieurs, il a constaté un effet multiplicateur de motivation. Des champions de la sécurité, passionnés par le sujet dans le cadre de leur travail quotidien, ont émergé et ont contribué à diffuser les pratiques de codage sécurisé dans toute l'organisation. Vis a évalué plus d'une douzaine de fournisseurs de formation en sécurité et est devenu client de SCW en 2019. Pour Thales, il était très avantageux d'avoir un fournisseur couvrant tous les langages et frameworks de leur environnement plutôt qu'une solution fragmentée. Vis s'est appuyé sur le vaste contenu de Secure Code Warrior pour créer des formations et un apprentissage autonome accessibles aux développeurs :

« Le Top 10 de l'OWASP ne se résume pas à dix points à connaître. La profondeur et la diversité des vulnérabilités couvertes par l'OWASP, combinées au nombre important de langages de programmation, peuvent être écrasantes. La vaste gamme de défis et la couverture dont nous disposons ont été un facteur clé dans le choix de SCW. Ils ajoutent constamment de nouveaux éléments. La profondeur, la diversité des sujets, le contenu à jour et l'accent mis sur les principes de conception de code sécurisé distinguent vraiment SCW. Avec eux, il ne s'agit pas d'une formation ponctuelle, mais de l'opportunité de construire un programme continu. »

Vis et son équipe ont structuré le déploiement du programme d'apprentissage du code sécurisé en quatre niveaux, avec des jalons différents pour chaque rôle d'ingénierie :

Il est important de noter que SCW est devenu la source de référence pour les correctifs de vulnérabilités. Au lieu de s'appuyer sur des recherches Google pouvant mener à des tâtonnements, Vis a publié les directives de l'équipe AppSec ainsi que celles de la bibliothèque de contenu de SCW, afin que les développeurs puissent se référer à une source fiable pour corriger les vulnérabilités. Selon Vis :

« Les développeurs ne devraient pas être libres de décider comment corriger une vulnérabilité, au risque d'en introduire une nouvelle. Nous avons intégré les vidéos SCW dans notre LMS via l'intégration SCORM de SCW pour nous assurer que les développeurs apprenaient à corriger les vulnérabilités de la bonne manière. Cela nous a également permis de reconnaître les développeurs qui livrent des logiciels sécurisés. Nous leur demandons d'atteindre un certain niveau de codage sécurisé, et nous pouvons le suivre grâce aux vulnérabilités qu'ils résolvent sans les réintroduire. Ainsi, leur travail acharné est reconnu et valorisé dans l'entreprise. »

Résultats

Vis et son équipe publient une newsletter mensuelle sur le code sécurisé pour mettre à l'honneur le meilleur apprenant de l'entreprise. Ils utilisent SCW pour examiner les scores d'évaluation, la participation aux tournois et les défis relevés afin de valoriser ces accomplissements. Cela motive les autres développeurs à apprendre également. Les indicateurs de performance qu'il a initialement fixés se concentraient sur la réduction du nombre total de vulnérabilités sur 2 ans. Après avoir mis en œuvre SCW, il a noté une tendance à la baisse. Ces vulnérabilités ne sont plus réintroduites au niveau du code source. Vis résume la situation ainsi :

« Les indicateurs de performance que nous présentons à notre direction reflètent ce choix éclairé. Nous sommes fiers de proposer une formation au code sécurisé qui inspire confiance à nos clients. Nous sommes reconnus pour notre programme complet et respectés par nos clients et nos pairs. Un tel programme apporte une réelle valeur ajoutée à votre entreprise. »

Points clés

Vis a reconnu que les personnes, les processus et la technologie jouent tous un rôle dans toute initiative de sécurité. En se concentrant sur la sécurité des logiciels, les connaissances des développeurs et la conformité, il est possible de mettre en place un programme d'apprentissage agile du code sécurisé qui réduit les vulnérabilités au fil du temps. Vis propose ces recommandations aux professionnels de son domaine souhaitant renforcer les compétences en sécurité de leurs équipes de développement.