Les banques australiennes misent sur l'approche « Développeurs en première ligne » pour la sécurité des applications

Les banques australiennes sont à l'avant-garde mondiale pour instaurer une solide culture de la sécurité chez leurs développeurs logiciels, selon Pieter Danhieux, évangéliste de la sécurité logicielle et cofondateur de la start-up australienne Secure Code Warrior.

M. Danhieux a précisé que cinq des six plus grandes banques australiennes incitent désormais activement leurs développeurs à acquérir des compétences en codage sécurisé via la plateforme d'apprentissage ludique, en ligne et personnalisée de Secure Code Warrior, tout en utilisant des indicateurs et des rapports en temps réel pour évaluer les forces et les faiblesses de leurs équipes. Le premier contrat, d'une valeur d'un million de dollars australiens, a été signé avec une grande banque en août 2016, suivi de quatre autres depuis lors.

« Les banques traditionnelles subissent une forte pression de la part de concurrents non traditionnels pour accélérer leur mise sur le marché, améliorer la qualité et accroître leur flexibilité. Cela les a conduites à adopter des cadres de développement plus agiles, axés sur la création rapide de fonctionnalités au détriment de la sécurité », a déclaré M. Danhieux.

« Le coût moyen d'une violation de données s'élève désormais à 3,6 millions de dollars US, et la probabilité qu'une entreprise soit touchée est d'une sur quatre. La plupart des failles de sécurité majeures dans le monde sont dues à des erreurs de codage qui permettent aux pirates d'obtenir des privilèges accrus sur les réseaux informatiques, leur donnant accès à des données critiques », a-t-il ajouté.

M. Danhieux a cité des failles récentes, notamment celles de la Qatar National Bank, de VTech, de Mossack-Fonseca (Panama Papers) et de TalkTalk, où les pirates ont tiré parti de mauvaises pratiques de sécurité logicielle.

M. Danhieux, hacker éthique de longue date, instructeur principal au SANS Institute et professionnel de la cybersécurité de l'année 2016 selon l'AISA, soutient fermement les méthodologies de développement Agile qui intègrent la sécurité dès le départ, des pratiques employées par de nombreuses entreprises technologiques et un nombre croissant d'institutions financières.

« Le passage au développement Agile offre des avantages considérables en termes de rapidité pour les entreprises et les clients, mais il a créé de nouveaux défis majeurs pour prévenir les vulnérabilités. Chaque développeur doit désormais intégrer la sécurité dans son ADN, afin de maintenir la cadence tout en réduisant les failles de sécurité, souvent coûteuses à corriger. »

Secure Code Warrior a été fondée à Sydney et à Londres en 2015, lorsque M. Danhieux, son associé John Fitzgerald et trois autres professionnels australiens de la cybersécurité ont décidé d'aider les développeurs à faire de la sécurité une responsabilité fondamentale de leur métier.

« Les outils actuels de sécurité des applications se concentrent sur la fin du cycle de développement logiciel (SDLC), une approche qui privilégie la détection et la réaction : détecter les vulnérabilités dans le code écrit et réagir pour les corriger. Nous nous concentrons sur le tout début du cycle, faisant du développeur la première ligne de défense de son organisation pour empêcher les vulnérabilités d'apparaître », a expliqué M. Danhieux.

La start-up en pleine croissance possède désormais des bureaux à Sydney, Londres, en Belgique et à Boston, et compte parmi ses clients des leaders des services financiers, des télécommunications et de la technologie dans neuf pays. L'entreprise compte aujourd'hui 10 000 utilisateurs actifs, a doublé sa clientèle et triplé son chiffre d'affaires au cours des six derniers mois.

Craig Davies, PDG de l'Australian Cyber Security Growth Network (AustCyber), prédit que ce type de formation pratique et factuelle deviendra une activité fondamentale pour les organisations développant des applications.

« Les entreprises qui codent de manière sécurisée dès le départ réduiront non seulement considérablement leurs risques, mais élimineront également des coûts et des retards importants dans l'innovation de leurs produits », déclare M. Davies.

M. Danhieux a été impressionné par les banques australiennes qui, selon lui, ont reconnu la réalité du risque et ont rapidement réduit leur exposition. « Le rythme auquel de nouveaux clients adoptent Secure Code Warrior dans le monde montre clairement que les institutions financières partout reconnaissent l'importance d'intégrer l'excellence en sécurité dans chaque ligne de code, et que Secure Code Warrior est une solution simple pour relever ce défi rapidement et durablement. »

‍