Kamer van Koophandel : La sécurité pilotée par les développeurs à grande échelle

Points clés

La Kamer van Koophandel (KVK) a élaboré un programme de sécurité moderne, centré sur les développeurs, qui fait figure de référence dans le secteur. En partenariat avec Secure Code Warrior, la KVK a intégré des pratiques de codage sécurisé dans les flux de travail quotidiens, mis en place un programme de certification structuré adopté par toute l'organisation et obtenu une réduction mesurable des risques, démontrant ainsi l'efficacité d'une approche proactive axée sur les développeurs. Voici les points clés :

« Nous disposions déjà de bases solides en matière de sécurité, mais nous voulions aller plus loin et faire en sorte que la sécurité devienne une seconde nature pour chaque développeur. C'est pourquoi nous avons choisi de collaborer avec Secure Code Warrior et de faire de la formation le pilier de notre stratégie, afin de donner à nos équipes les moyens de créer des logiciels sécurisés en toute confiance dès le départ. »

– Sebastiaan Rijnbout, Product Owner des services de développement

‍Le défi

Instaurer une culture de sécurité axée sur les développeurs

La KVK, la Chambre de commerce néerlandaise, joue un rôle essentiel dans le soutien aux entrepreneurs aux Pays-Bas. En tant qu'organisme officiel chargé de l'enregistrement des entreprises, des entités juridiques et des organisations exerçant des activités économiques, la KVK favorise la transparence et renforce l'intégrité de l'écosystème entrepreneurial. Au-delà de l'enregistrement, la KVK fournit des informations et des conseils précieux sur des sujets clés, allant de l'orientation juridique et réglementaire aux perspectives sur le financement, les évolutions actuelles et la cybersécurité. En proposant des données fiables et en collaborant avec les acteurs économiques nationaux et régionaux, la KVK contribue à créer un environnement sûr et bien informé pour permettre aux entrepreneurs de prospérer. Lorsque la KVK a entamé sa démarche pour renforcer la sécurité des applications, elle disposait déjà de mesures de base, notamment des tests d'intrusion. Bien que ces mesures aient fourni des informations utiles, la KVK a identifié une opportunité d'intégrer la sécurité plus tôt dans le cycle de développement et de permettre aux développeurs de prendre en main la réduction des risques.

En 2022, la KVK a choisi Secure Code Warrior et a lancé sa première initiative de formation au codage sécurisé avec une approche centrée sur les développeurs. Ce qui a commencé comme une initiative locale pour impliquer les développeurs a rapidement évolué vers un programme interfonctionnel soutenu par la direction et le bureau du CISO, transformant le développement sécurisé d'une simple aspiration en une norme organisationnelle.

La solution

Bâtir une culture, pas seulement un programme

Avec le soutien du CISO, l'équipe du cycle de vie du développement logiciel sécurisé de la KVK s'est associée à Secure Code Warrior pour définir une stratégie à l'échelle de l'organisation et mettre en place un programme de certification obligatoire basé sur les rôles, visant à :

La KVK a tiré parti de la flexibilité de la plateforme Secure Code Warrior pour créer un programme de certification adapté à ses besoins organisationnels spécifiques. En adaptant les programmes de formation à des rôles précis, les nouveaux arrivants commencent par une formation de sensibilisation au Top 10 de l'OWASP, tandis que les ingénieurs seniors s'attaquent à des exercices avancés basés sur des scénarios réels. Les développeurs « champions » encadrent leurs pairs, favorisent le partage des connaissances et aident à diffuser l'expertise en sécurité au sein des équipes. Le programme de la KVK inclut une recertification annuelle pour garantir la mise à jour des compétences, et sa mise en œuvre complète se poursuit à mesure que l'organisation étend sa couverture et s'adapte aux nouveaux risques, tels que les vulnérabilités liées à l'IA et les menaces émergentes.

« L'intégration de certifications dans notre processus de développement a été un tournant décisif », a déclaré Sebastiaan. « Cela a montré à chaque développeur que la sécurité est une priorité partagée et une composante naturelle de notre façon de concevoir des logiciels. Avec Secure Code Warrior, l'apprentissage n'est pas un événement ponctuel, c'est un processus continu, contextuel et parfaitement intégré à notre culture de développement quotidienne. »

Résultat : la formation est apparue pertinente, réalisable et directement liée au travail quotidien des développeurs. Début 2024, 90 % des développeurs de la KVK avaient obtenu la certification de niveau Fondation — une étape clé qui a validé à la fois la stratégie et le changement culturel vers une sécurité pilotée par les développeurs.

Les résultats

Un impact réel, des progrès mesurables

L'investissement de la KVK dans le développement sécurisé avec Secure Code Warrior a produit des résultats probants :

KVK s'appuie sur le SCW Trust Score®, un indicateur qui mesure l'engagement d'une organisation envers des pratiques de codage sécurisé sur la base de métriques de sécurité clés. En six mois, le Trust Score de KVK a considérablement augmenté, plaçant l'organisation parmi les 12 % les plus performantes au monde.

« Le SCW Trust Score nous offre une visibilité claire et basée sur des données sur nos risques et sur la manière de concentrer notre formation là où elle est la plus utile », a expliqué Sebastiaan. « Ce n'est pas seulement un indicateur, c'est une feuille de route qui nous aide à prouver nos progrès et à démontrer la valeur commerciale réelle du développement sécurisé. »

En partenariat avec Secure Code Warrior, KVK a établi une nouvelle norme en matière de sécurité pilotée par les développeurs. En alliant leadership fort, stratégie claire et résultats mesurables, ils ont transformé le développement sécurisé en une compétence métier fondamentale, répondant aux exigences de conformité et servant de modèle pour le secteur. Grâce aux rapports de SCW alignés sur les normes de certification ISO 27001/27002, KVK peut également valider l'efficacité de son programme lors des audits, démontrant que le développement sécurisé n'est pas seulement recommandé, il est requis.

KVK prévoit d'étendre son programme de certification au-delà de l'ingénierie pour inclure les testeurs QA, les équipes DevOps et les développeurs low-code, renforçant ainsi l'idée que la sécurité est une responsabilité partagée à l'échelle de l'organisation. Ils prévoient également d'introduire le contenu de SCW axé sur l'IA/LLM pour aider les développeurs à coder en toute sécurité avec des outils comme GitHub Copilot, et collaborent avec les services professionnels de SCW pour optimiser le déploiement de Trust Agent. Ces efforts illustrent ce qu'il est possible d'accomplir lorsque le codage sécurisé devient une responsabilité partagée, non seulement pour les développeurs, mais pour toute l'organisation.

« Notre partenariat avec Secure Code Warrior a été fluide et productif », a déclaré Sebastiaan. « Ils nous ont aidés à mettre en œuvre et à améliorer notre programme de formation, ce qui a permis une réduction mesurable des risques et une culture plus forte du développement sécurisé. »

Avec Secure Code Warrior, KVK a jeté des bases solides pour le développement sécurisé, et ce n'est qu'un début.