Secure by Design : Meilleures pratiques et résultats de sécurité préventive

Deux ans se sont écoulés depuis que l'Agence pour la cybersécurité et la sécurité des infrastructures (CISA) du gouvernement des États-Unis a publié ses directives complètes Secure by Design, marquant un tournant décisif pour les éditeurs de logiciels. Pour la première fois, il y a eu un soutien visible et au plus haut niveau pour élever les normes de qualité et de sécurité des logiciels, avec une pression en faveur de la responsabilité du fournisseur — par opposition à l'utilisateur final — pour garantir que le code expédié est exempt de vulnérabilités.

Cependant, un consensus sur la mise en œuvre concrète de ces principes au niveau de l'entreprise s'est avéré insaisissable. Parmi les professionnels de la sécurité, il ne semble pas y avoir de consensus sur ce qui constitue le Secure by Design, et encore moins de voie standard suivie pour y parvenir. Secure Code Warrior a interrogé des professionnels de la sécurité en entreprise spécialisés dans la création de logiciels, en plongeant au cœur de leurs approches actuelles des principes Secure by Design, y compris la façon dont cela est mis en œuvre dans leur posture de sécurité actuelle et leur cycle de vie du développement logiciel (SDLC). Il est apparu évident qu'il n'y avait pas de norme largement acceptée pour la mise en œuvre des recommandations de la CISA, ni de points de référence actifs pour déterminer la réussite d'un déploiement. Cela doit être corrigé rapidement si nous, en tant qu'industrie, voulons récolter les fruits d'une responsabilité accrue en matière de sécurité et de qualité des logiciels. 

Dans ce document de recherche, les cofondateurs de Secure Code Warrior, Pieter Danhieux et le Dr Matias Madou, Ph.D., ainsi que des contributeurs experts, Chris Inglis, ancien directeur national de la cybernétique des États-Unis (aujourd'hui conseiller stratégique du Paladin Capital Group), et Devin Lynch, directeur principal du Paladin Global Institute, révèleront les principales conclusions de plus de vingt entretiens approfondis avec des responsables de la sécurité en entreprise, notamment des CISO, un vice-président de la sécurité des applications et des professionnels de la sécurité des logiciels, couvrant :

• Des informations sur les défis communs des programmes de sécurité rencontrés dans l'entreprise ;
• Le rôle des initiatives Secure by Design, y compris la façon dont elles sont activées et réparties entre les équipes ;
• Le rôle de l'IA dans le développement de logiciels et la modélisation des menaces modernes ;
• Les interprétations des meilleures pratiques, et le rôle que peuvent jouer les données de précision et l'analyse comparative dans l'alignement à l'échelle de l'industrie sur une stratégie Secure by Design viable. 

‍