Une culture de la sécurité : comment Sage a bâti son programme de champions

Sage est une entreprise multinationale britannique spécialisée dans les logiciels de gestion, fournissant aux entreprises des solutions simples et intuitives pour la paie, les ressources humaines et la finance. En 2017, elle se classait comme la deuxième plus grande entreprise technologique du Royaume-Uni, le troisième fournisseur mondial de logiciels de planification des ressources d'entreprise (ERP) et le premier fournisseur auprès des petites entreprises, avec plus de 6 millions de clients dans le monde.

Situation

Avant de collaborer avec Secure Code Warrior, Sage avait commencé à esquisser les contours de son réseau de champions de la sécurité depuis environ 10 ans. Malgré un réseau solide de développeurs axés sur la sécurité, la formation restait sporadique et n'était pas structurée pour se concentrer sur la réduction des risques.

Sage a pris conscience de l'importance de consacrer du temps à tisser des liens et à intégrer la sécurité sur la durée grâce à une approche flexible. Le programme de Sage a lié ses objectifs à la réduction des risques et à l'impact concret de cette démarche. Lors du déploiement pilote dans certaines unités commerciales, l'accent a été mis sur la manière de mesurer la réduction des risques et de la communiquer à l'entreprise pour obtenir l'adhésion des développeurs et de la direction.

Action

Mads Howard, responsable de la sécurité centrée sur l'humain chez Sage, a travaillé avec les développeurs pour définir les profils des champions de la sécurité. Elle a rencontré les développeurs de chaque unité commerciale et a mené des entretiens pour comprendre leurs motivations, leurs préférences d'apprentissage et les limites qu'ils rencontrent dans leur travail. Avec son équipe, elle s'est attachée à établir des relations avec les développeurs et leurs chefs d'équipe, en insistant sur la nécessité de faire preuve de flexibilité.

Mads souligne l'importance d'une approche fondée sur le relationnel,

« Nous avons passé beaucoup de temps à nouer des relations avec les chefs d'équipe de développement, les responsables d'ingénierie et les chefs de produit, c'est-à-dire les personnes qui contrôlent le temps consacré à la formation pendant les cycles de sprint. »

Selon Mads, tout reposait également sur le déploiement à grande échelle de leur réseau de champions de la sécurité :

« Le réseau de champions de la sécurité a été considéré comme un levier clé de ce programme. Pour que les produits puissent progresser dans ce cadre, nous devions prendre très au sérieux le rôle de champion de la sécurité et leur fournir une formation solide en la matière. »

L'objectif des équipes de sécurité mondiale chez Sage était de mettre en place un programme de contrôle de la sécurité qui prenne en compte les besoins d'apprentissage des développeurs dans un environnement technologique complexe et de choisir un partenaire capable de travailler en complément de leurs outils de sécurité existants pour faciliter la gestion des vulnérabilités.

Il était essentiel que la formation soit perçue comme un aspect majeur d'un programme de contrôle de la sécurité mature. Ils se sont concentrés sur la mesure de la réduction des risques via :

• Amélioration du score de risque
• Âge des vulnérabilités, réduction du backlog de vulnérabilités
• Temps de résolution
• Ratio vulnérabilités fermées vs ouvertes
• Nombre de problèmes par ligne de code écrite par Sage (hors tiers)

Pour Mads,

« La prochaine étape pour Sage en tant qu'entreprise est de démontrer que la montée en compétences via un programme de codage sécurisé intégré aux flux de travail des développeurs permet une réduction mesurable des risques. »

Résultats

Mads a souligné l'importance du partenariat et des conseils fournis par Secure Code Warrior à elle et à son équipe :

« Je peux dire honnêtement que nous n'aurions pas pu aller aussi loin et construire un programme d'un tel niveau de maturité, couvrant différentes couches et équipes de développement sur des technologies variées, sans le soutien de Secure Code Warrior. »

Une fois que Mads et son équipe ont terminé leurs entretiens et obtenu l'adhésion des développeurs, elle a commencé à intégrer Secure Code Warrior dans un programme de culture de sécurité plus large.

Les résultats, selon Mads, sont les suivants :

« Sage compte désormais plus de 200 champions de la sécurité inscrits au programme. Si un champion consacre 3,5 heures par semaine (soit 10 % de son temps) au développement de ses compétences, il peut promouvoir un programme de codage sécurisé, encourager la formation continue et faire valoir la valeur ajoutée que cela lui apporte. »

Grâce à l'adhésion de la direction et à des objectifs mesurables de réduction des risques, Mads a pu évaluer le succès non seulement par le nombre d'utilisateurs sur la plateforme et le temps passé, mais aussi par le délai de correction des vulnérabilités, leur ancienneté, et en les comparant aux nouvelles fonctionnalités développées pour les clients, offrant ainsi une vision globale de la réduction des vulnérabilités. Pour une équipe, l'impact a été considérable, avec une réduction de 82 % du délai moyen de correction des vulnérabilités.

Cependant, ajoute Howard, le plus important résidait dans les aspects intangibles : l'engagement, l'implication et la volonté des équipes de participer au programme.

Points clés

L'expérience de Sage souligne la pertinence d'une formation à la sécurité bien planifiée et exécutée, ainsi que l'importance d'une approche flexible et intégrée ; une leçon précieuse pour toute organisation visant un programme de codage sécurisé robuste. Selon Mads, il est essentiel de se rappeler que collaborer avec les développeurs, plutôt que de travailler contre eux, est la clé pour mettre en œuvre un programme de contrôle de sécurité efficace et ancrer la sécurité dans la culture de l'entreprise.

• Créer une culture de la sécurité ne se fait pas du jour au lendemain. Il est crucial de consacrer du temps à tisser des liens, à intégrer la sécurité sur la durée et à y allouer les ressources nécessaires.
• Reliez chaque action à la réduction des risques et concentrez-vous sur l'impact concret d'un programme de codage sécurisé.
• Misez sur la mesure de cette réduction des risques pour en rendre compte à l'entreprise, afin que le programme soit perçu comme efficace et réussi, tant par les développeurs que par la direction.

Aux développeurs souhaitant devenir champions de la sécurité, elle et son équipe donnent ce conseil :

• Construisez un réseau de personnes intéressées par la sécurité et participez à des conférences et des discussions. Prenez le temps d'approfondir les sujets qui vous passionnent.
• Gardez à l'esprit que la culture d'une organisation ne change pas du jour au lendemain et qu'il faut du temps pour qu'elle se développe et arrive à maturité.

‍