Recherche Secure Code Warrior : Les secteurs d'infrastructures critiques progressent dans la préparation des développeurs au « Secure-by-Design »

Une nouvelle analyse réalisée en collaboration avec le Paladin Global Institute souligne le besoin crucial de monter en compétences les développeurs pour mesurer correctement les progrès du « Secure-by-Design » 

‍

BOSTON – 15 octobre 2024 - Aujourd'hui, Secure Code Warrior, leader mondial de la sécurité axée sur les développeurs, a publié de nouvelles conclusions sur la montée en compétences des développeurs et son impact sur les initiatives « Secure-by-Design » (SBD) des entreprises. Depuis avril 2024, plus de 200 entreprises, dont Secure Code Warrior, ont signé l'engagement « Secure-by-Design ». Cette nouvelle analyse montre que les organisations des secteurs d'infrastructures critiques, tels que les services financiers, la défense, la santé et l'informatique, progressent dans la préparation de leurs développeurs à faire avancer leurs initiatives SBD. Secure Code Warrior a constaté que les équipes de développement de ces secteurs possèdent une posture de sécurité moyenne - mesurée par le SCW Trust Score, un indice mondial qui quantifie les compétences en sécurité des équipes de développement - supérieure à celle des autres secteurs.

Les responsables de la sécurité des systèmes d'information (RSSI) trouvent de plus en plus difficile de prouver le véritable retour sur investissement (ROI) aux premiers stades de leurs initiatives SBD. Ces dernières années, l'absence de référence pour évaluer la progression des organisations par rapport aux normes du secteur a constitué un défi majeur. La clé du succès des initiatives « Secure-by-Design » ne réside pas seulement dans l'acquisition par les développeurs des compétences nécessaires pour garantir un code sécurisé, mais aussi dans la capacité à assurer aux régulateurs industriels et gouvernementaux que ces compétences sont bien en place.

« Plus que jamais, nous avons la responsabilité nationale de veiller à ce que des programmes de montée en compétences SBD soient en place », a déclaré Chris Inglis, conseiller stratégique principal chez Paladin Capital Group et ancien directeur national de la cybersécurité. « La réduction des risques est au cœur de cette dernière analyse, et Secure Code Warrior est en première ligne pour améliorer l'apprentissage de la sécurité par les développeurs, prévenir les cyberattaques et renforcer les infrastructures critiques de notre nation. »

Principales conclusions : L'analyse de Secure Code Warrior sur la montée en compétences des développeurs dans les secteurs d'infrastructures critiques s'appuie sur plus de 20 millions de points de données, provenant de 600 entreprises clientes et de plus de 250 000 développeurs actifs dans le monde. L'analyse a révélé que :

• Le nombre total de développeurs actuellement impliqués dans des initiatives de montée en compétences SBD centrées sur le développeur représente moins de 4 % de l'ensemble des développeurs à l'échelle mondiale.
• Certains secteurs d'infrastructures critiques, comme celui des services financiers, possèdent la meilleure posture de sécurité, mesurée par le SCW Trust Score, par rapport à la moyenne des infrastructures non critiques. Par exemple, le score de confiance moyen des services financiers était de 336.
• Il est toutefois surprenant de constater que, malgré les exigences de conformité et de réglementation, le secteur des services financiers présente une posture de sécurité similaire à celle de plusieurs autres secteurs critiques.
• Les initiatives de montée en compétences « Secure-by-Design », qu'elles soient à grande ou petite échelle, peuvent réussir, et les recherches montrent que les initiatives à plus petite échelle peuvent monter en puissance rapidement et être plus agiles. Cependant, pour que ces initiatives réussissent et offrent un retour sur investissement (ROI) mesurable plus rapidement, les recherches montrent qu'un mandat doit être mis en place.
• Lorsque les initiatives de montée en compétences sont solidement établies, les risques introduits par les développeurs dans les applications sont considérablement réduits. L'analyse a révélé que les développeurs au sein de grandes initiatives de montée en compétences (plus de 7 000 développeurs dans une même entreprise) peuvent réduire les vulnérabilités de 47 à 53 % de manière prévisible.

Le « Secure-by-Design » gagne du terrain dans le monde entier, à mesure que les pays intègrent des directives similaires dans leurs stratégies de cybersécurité plus larges. Cependant, fournir des paramètres de sécurité par défaut aux développeurs et favoriser une main-d'œuvre de développeurs logiciels qui comprend la sécurité sera difficile à réaliser sans les bons points de données pour établir une référence des compétences des développeurs. Un programme de montée en compétences agile peut trouver un écho auprès des développeurs lorsqu'il s'appuie sur des bases établies, avec des sessions pratiques qui traitent des problèmes réels auxquels les développeurs sont confrontés.

« À une époque de cybermenaces mondiales sans précédent, ces nouvelles conclusions démontrent la nécessité d'améliorer les initiatives SBD dans l'ensemble de notre infrastructure numérique afin de réduire les vulnérabilités critiques », a déclaré Kemba Walden, présidente du Paladin Global Institute et ancienne directrice nationale par intérim de la cybersécurité. « Cette recherche lance un appel à l'action clair pour former le personnel et créer des points de référence afin d'atteindre des objectifs de cybersécurité critiques. »

« Les bases et les points de référence peuvent grandement optimiser la posture de sécurité d'une organisation en faisant du codage sécurisé une partie essentielle de son ADN », a déclaré Matias Madou, cofondateur et CTO de Secure Code Warrior. « Pour savoir si une initiative SBD progresse réellement, vous avez besoin de preuves quantitatives montrant que les efforts de montée en compétences des développeurs sont efficaces et qu'ils intègrent les meilleures pratiques de sécurité dans leurs habitudes de travail. Vous devez avoir la certitude absolue que les développeurs ont réellement obtenu leur permis de coder. »

De nombreux responsables de la sécurité soulignent constamment la difficulté de mettre à l'échelle la plupart des éléments d'un programme de sécurité d'entreprise, en particulier ceux impliquant une montée en compétences et une évaluation continues du personnel. Il s'agit d'une préoccupation légitime, mais à la suite de plusieurs réformes législatives et directives mondiales exigeant que les développeurs possèdent des compétences en sécurité vérifiées, elle doit être surmontée. De nombreuses organisations dans le monde passent à l'action et ont mis en œuvre des initiatives de montée en compétences à grande échelle qui ont un impact significatif.

Pour en savoir plus sur la dernière analyse de Secure Code Warrior et le SCW Trust Score, cliquez ici.

‍

À propos de Secure Code Warrior :

Secure Code Warrior est une plateforme de codage sécurisé qui définit les normes assurant la sécurité de notre monde numérique. Nous y parvenons en proposant la plateforme d'apprentissage agile leader mondial, qui offre la solution de codage sécurisé la plus efficace pour permettre aux développeurs d'apprendre, d'appliquer et de retenir les principes de sécurité logicielle. Plus de 600 entreprises font confiance à Secure Code Warrior pour mettre en œuvre des programmes d'apprentissage agile en sécurité et garantir que les applications qu'elles déploient sont exemptes de vulnérabilités.

Pour plus d'informations sur Secure Code Warrior, visitez www.securecodewarrior.com.