Perspectives d'experts façonnant le développement sécurisé

On peut dire que les deux dernières années ont été marquées par une transformation des normes de cybersécurité. Bien que cela ne soit pas obligatoire, toutes les organisations devraient avoir pour objectif de suivre cet exemple et d'examiner les pratiques de sécurité des fournisseurs comme si elles faisaient partie de leur propre programme de sécurité interne.

Business leaders need to make room for SBOMs as a priority, especially with so much change in the air for vendors and their ownership of security. However, while we’re at it, perhaps we need to look at how they can be improved going forward.

Dans la foulée de l'annonce de notre levée de fonds de série C, je suis ravi de franchir une nouvelle étape dans le parcours de notre entreprise. Synopsys, leader du secteur de la sécurité, enrichit sa suite de produits avec une nouveauté majeure : Synopsys Developer Security Training, propulsé par Secure Code Warrior.

Il semble surprenant que la plupart des développeurs qui travaillent sur du code qui alimente des infrastructures critiques, des automobiles, des technologies médicales, etc., le fassent sans avoir préalablement vérifié leurs prouesses en matière de sécurité. D'un autre côté, pourquoi les développeurs experts en sécurité, qui ont prouvé à plusieurs reprises qu'ils savaient comment créer des objets en toute sécurité, doivent-ils faire la queue avec tous les autres acteurs des pipelines de développement de plus en plus lents à cause de toutes les barrières de sécurité ?

Le coût lié à la résolution des vulnérabilités du code et de la dette technique est élevé et continue de freiner la productivité des équipes de développement logiciel. Découvrez comment la mise en place d'une plateforme d'apprentissage agile dédiée au code sécurisé permet de mieux former les développeurs aux techniques de programmation sécurisée. Vous pourrez ainsi corriger les vulnérabilités plus rapidement et plus tôt dans le cycle de vie du développement (SDLC), tout en les prévenant en amont pour réaliser des économies substantielles. Cet article présente une réflexion sur l'impact financier et le retour sur investissement d'une plateforme d'apprentissage agile.

Nous avons annoncé la clôture de notre levée de fonds de série C, après avoir réuni 50 millions de dollars pour la prochaine étape de notre mission : aider davantage d'organisations pionnières à exploiter le potentiel de leurs équipes de développement pour contrer les vulnérabilités courantes.

The recently released National Cybersecurity Strategy signals the need for a seismic cultural shift for most companies, with the most glaring recommendation coming in the form of security accountability falling primarily on software vendors. This is a positive step, though it is sure to cause teething problems, especially as many organizations struggle to accurately assess their security maturity across the board, particularly among the development cohort.

Découvrez comment intégrer une plateforme d'apprentissage agile dédiée au code sécurisé dans les outils et workflows des développeurs, et commencez à instaurer une culture de la sécurité logicielle.

Plus tôt cette année, le PCI Security Standards Council a dévoilé la version 4.0 de sa norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS). Bien que les organisations n'aient pas l'obligation d'être pleinement conformes à la version 4.0 avant mars 2025, cette mise à jour est la plus transformatrice à ce jour. Elle imposera à la plupart des entreprises d'évaluer (et probablement de mettre à niveau) des processus de sécurité complexes ainsi que certains éléments de leur infrastructure technologique. À cela s'ajoute la mise en place de formations à la sécurité basées sur les rôles et d'un enseignement régulier du développement sécurisé pour les développeurs.

Découvrez comment une plateforme d'apprentissage agile dédiée au code sécurisé permet aux développeurs de monter en compétences, de réduire les risques et de diminuer la dette technique sur le long terme en intégrant la sécurité dès le début du cycle de vie du développement logiciel.

En aidant à définir les responsabilités de nos applications et logiciels au sein d'une hiérarchie stricte, et en appliquant ces politiques avec le moins de privilèges possible, nous pouvons nous assurer que nos applications et logiciels survivent et prospèrent malgré le paysage de menaces auquel ils sont confrontés.

La stratégie nationale de cybersécurité de la CISA représente notre meilleure opportunité d'élever les normes logicielles à tous les niveaux et, enfin, d'inaugurer une nouvelle ère de développeurs qualifiés en sécurité.

Le 20 mars 2023, Spring Security Advisories a publié un article de blog faisant référence à une vulnérabilité découverte en interne, la CVE-2023-20860. Aucune information détaillée n'a été divulguée, si ce n'est qu'il s'agissait d'un problème de contrôle d'accès lié à l'utilisation de `mvcMatchers`. Les développeurs de Spring ont corrigé le problème et une mise à jour de version est recommandée. La sécurité étant notre priorité absolue chez Secure Code Warrior, nous avons décidé d'analyser plus en profondeur cette vulnérabilité liée à `mvcRequestMatchers` afin d'en identifier la cause profonde.

Questions-réponses de CyberNews avec Pieter Danhieux, PDG et cofondateur de Secure Code Warrior.

L'un des principaux manques dans le cycle de vie du développement logiciel est le temps accordé aux développeurs pour apprendre à sécuriser leur code dès le départ. Les développeurs perdent un temps précieux en retouches et en corrections, ce qui engendre des millions de dollars de coûts d'opportunité. Découvrez comment le codage sécurisé et rapide peut aider à combler ces lacunes et à accélérer la productivité.

Nouveautés chez Secure Code Warrior : découvrez de nouvelles façons de gérer vos formations et d'explorer du contenu supplémentaire.

L'avènement de la coqueluche numérique du moment, le métavers, ajoute une vaste surface d'attaque inédite, tant pour les vulnérabilités au niveau du code que pour l'ingénierie sociale. Et nous ne sommes tout simplement pas prêts à mener bataille sur ce nouveau terrain de jeu qui prospère sur des illusions.

Le coût de la correction d'un code non sécurisé et de la dette technique qui en découle est l'un des obstacles majeurs auxquels le secteur technologique est confronté aujourd'hui. Découvrez comment la mise en place d'un programme de formation au code sécurisé et évolutif permet de réduire la dette technique en corrigeant les mauvaises pratiques de programmation et en détectant les vulnérabilités dès le début du cycle de développement logiciel.

La définition même du codage sécurisé fait l'objet de débats. Une étude récente menée en collaboration avec Evans Data le confirme noir sur blanc. L'enquête « The State of Developer-Driven Security 2022 » explore les points de vue et l'expérience de 1 200 développeurs en activité, mettant en lumière leurs attitudes et les défis auxquels ils sont confrontés en matière de sécurité.

Learn how Coding Labs is like a personal trainer for developers- utilizing interactive, hands-on modules and intuitive feedback within a convenient in-browser IDE to help developers go from learning to doing faster than ever before.

Cette semaine, nous célébrons officiellement les huit ans de Secure Code Warrior. D'un côté, cela représente 350 fois la durée de la mission Apollo 11, l'équivalent de 45 000 matchs de football, ou encore terminer Super Mario Odyssey 5 696 fois. D'un autre côté, ce n'est qu'un trentième de l'espérance de vie d'une tortue géante (250 ans, si vous vous posiez la question). Dans l'univers d'une startup en forte croissance, c'est un parcours riche en rebondissements, en leçons et en accomplissements, dont beaucoup étaient inimaginables lorsque nous avons rédigé notre premier business plan.

Chez Secure Code Warrior, nous innovons constamment pour aider les développeurs et les organisations à acquérir les compétences nécessaires pour relever les défis de sécurité en constante évolution d'aujourd'hui. Nous avons compilé les principales fonctionnalités et mises à jour de notre plateforme, ainsi que les ressources et les directives publiées cette année, afin d'aider votre organisation à sécuriser vos logiciels grâce à une sécurité pilotée par les développeurs au début du cycle de développement logiciel.

Tout le monde recherche un bon retour sur investissement lors de l'acquisition d'outils technologiques ou de programmes de formation, mais en matière de sécurité, il faut voir au-delà du simple calcul de rentabilité et adopter une vision à long terme. Découvrez comment investir dans une sécurité centrée sur les développeurs permet non seulement d'éviter les coûts liés aux failles de sécurité, aux pertes de productivité et à la dette technique, mais aussi de mettre en place une stratégie proactive et économique pour garder une longueur d'avance sur les menaces actuelles.

En réponse aux failles de sécurité majeures telles que l'attaque SolarWinds, qui a utilisé un processus de mise à jour logicielle pour infecter plus de 18 000 utilisateurs du célèbre logiciel de gestion Orion, y compris de nombreuses grandes entreprises et agences gouvernementales, on observe une pression croissante en faveur d'initiatives de sécurité plus efficaces menées par les développeurs. Les entreprises de toutes tailles commencent à s'interroger sur leur « chaîne d'approvisionnement logicielle » et exigent que les développeurs qui conçoivent leurs logiciels possèdent des compétences et une sensibilisation vérifiées en matière de sécurité.

Tout le monde connaît l'importance d'une pile technologique robuste. Lorsqu'il s'agit de détecter et de corriger les vulnérabilités du code, l'objectif des intégrations de Secure Code Warrior est de réduire le temps moyen de remédiation tout en utilisant des solutions fiables et éprouvées. L'intégration de micro-apprentissages dans le flux de travail des développeurs est la clé d'un meilleur apprentissage et d'une remédiation plus rapide.

De nos jours, presque toutes les équipes de développement ont recours à une forme de formation à la conformité, que ce soit dans le cadre d'un processus de certification initial visant à garantir qu'une entreprise respecte les cadres sectoriels ou les réglementations gouvernementales, ou dans le cadre d'une exigence ou d'un examen annuel. C'est une étape essentielle, car si une organisation ne peut pas satisfaire aux exigences de conformité de base, ses employés ne sont pas en mesure d'exercer leurs fonctions de manière réaliste.

Les développeurs ne pourront pas réduire efficacement les vulnérabilités sans une compréhension fondamentale de leur fonctionnement, de leur dangerosité, des modèles qui les provoquent et des pratiques de conception ou de codage permettant de les corriger dans un contexte qui leur est familier. Une approche structurée permet d'acquérir progressivement les connaissances nécessaires pour coder de manière sécurisée, protéger une base de code et s'affirmer en tant que développeur sensibilisé à la sécurité.

L'importance des compétences en sécurité pour les développeurs est mise en avant dans le rapport 2022 Gartner Cool Vendors in Software Engineering. En savoir plus et consulter le rapport complet.

Les développeurs qui créent les logiciels, les applications et les programmes au cœur de l'activité numérique sont devenus l'élément vital de nombreuses organisations. La plupart des entreprises modernes ne pourraient pas fonctionner (de manière rentable) sans applications et programmes compétitifs, ni sans un accès permanent à leurs sites web et autres infrastructures.

Récemment, une équipe de chercheurs en sécurité a annoncé la découverte d'un bug vieux de quinze ans dans la fonctionnalité d'extraction de fichiers tar de Python. La vulnérabilité a été signalée pour la première fois en 2007 et répertoriée sous la référence CVE-2007-4559. Une note a été ajoutée à la documentation officielle de Python, mais le bug en lui-même n'a jamais été corrigé.

Nouveautés chez Secure Code Warrior : mettez la main à la pâte avec les Coding Labs, intégrez votre programme de formation au code sécurisé à un LMS, et bien plus encore.

Découvrez les risques liés aux identifiants codés en dur et à l'ingénierie sociale à travers notre analyse du récent incident de sécurité chez Uber. Nous expliquons pourquoi il est crucial pour les organisations d'adopter une approche « shift left » et de veiller à ce que leurs développeurs maîtrisent les meilleures pratiques de codage sécurisé.

Le développement logiciel n'est plus une activité isolée. Si l'on considère tous les risques liés aux logiciels — du cloud aux systèmes embarqués dans les appareils et les véhicules, en passant par nos infrastructures critiques et les API qui assurent leur interconnexion — la surface d'attaque est devenue illimitée et incontrôlable.

Le plan de mobilisation pour la sécurité des logiciels open source constitue une avancée positive pour une sécurité portée par les développeurs. Toutefois, nous devons tous faire le point et évaluer honnêtement si notre organisation est suffisamment mature — et si nos équipes de développement possèdent le niveau de sensibilisation et les compétences nécessaires — pour mettre en œuvre les stratégies de défense les plus récentes et les plus performantes.

La démarche de « shift left » exige une amélioration collective et continue des connaissances et des compétences en matière de sécurité au sein des équipes de développement

La sécurité des API est un défi, mais avec une formation adéquate, une planification rigoureuse et une attention particulière portée aux meilleures pratiques, même les vulnérabilités les plus insidieuses peuvent être atténuées.

Un flux de création de cours plus simple et plus performant, une option d'accès anticipé et du contenu de formation SAP ABAP.

Une formation au développement sécurisé pratique et efficace pour les développeurs ABAP.

La vulnérabilité « Psychic Signature » réside dans le chiffrement des signatures ECDSA, qui protège les systèmes pour des tâches critiques telles que l'authentification. Les pirates informatiques peuvent contourner n'importe quelle vérification de signature grâce à cette faille. Nous expliquerons ce dont il s'agit et comment y remédier dans cet article.

NGINX a récemment révélé une vulnérabilité zero-day. Parallèlement, Microsoft a divulgué une autre faille critique : une vulnérabilité RCE dans le RPC de Windows. Dans cet article, découvrez qui est exposé à ces deux menaces et comment nous pouvons en atténuer les risques.

Par définition, les attaques « zero-day » ne laissent aucun répit aux développeurs pour identifier et corriger les vulnérabilités exploitables, car les pirates ont toujours une longueur d'avance. Une fois les dégâts causés, c'est la course contre la montre pour réparer le logiciel et limiter l'impact sur la réputation de l'entreprise. Les attaquants bénéficient d'un avantage permanent ; il est donc crucial de réduire cet écart autant que possible.

Pour la deuxième année consécutive, nous avons collaboré avec Evans Data Corp. pour mener une enquête approfondie auprès de la communauté mondiale des développeurs concernant leurs compétences, leurs perceptions et leurs comportements en matière de pratiques de codage sécurisé, ainsi que sur l'impact et la pertinence qu'ils attribuent à ces pratiques dans le cycle de vie du développement logiciel (SDLC). Les résultats se sont révélés surprenants à bien des égards.

Récemment, les bibliothèques Spring, parmi les plus populaires de la communauté Java, ont révélé deux vulnérabilités liées à l'exécution de code à distance (RCE). Nous avons analysé les détails connus concernant « Spring4Shell » et « Spring Cloud Function » pour vous aider à déterminer si vous êtes exposé et quelles mesures prendre le cas échéant.

Pour lutter efficacement contre les cybercriminels, nous devons garder une longueur d'avance en adoptant une approche préventive. Voici les domaines où ils pourraient intensifier leurs activités au cours de l'année à venir :

De nombreuses entreprises qui fixent des objectifs dans leur approche de la cybersécurité ont mis en place un programme officiel de champions de la sécurité, conférant des responsabilités clés en matière de sécurité, qu'il s'agisse de la liaison entre les équipes, du cheerleading général ou de la supervision des meilleures pratiques, aux personnes qui font preuve d'aptitude et de passion pour ce rôle.

Nos anniversaires sont une merveilleuse occasion de réfléchir au fruit de notre travail, de célébrer l'équipe et d'aborder l'année à venir avec confiance. Sept ans après nos débuts, je me demande : avons-nous réussi ? Est-ce une vraie entreprise ? Bien sûr, nous avons atteint une certaine maturité, mais j'espère sincèrement que nous ne perdrons jamais cette curiosité, cette passion et ce côté geek qui nous animent depuis le premier jour.

En tant qu'industrie, nous ne devrions jamais attendre des développeurs qu'ils deviennent des experts en sécurité, mais les organisations peuvent adopter de nouvelles normes pour les accompagner afin qu'ils puissent produire des logiciels de meilleure qualité.

En décembre 2021, une faille de sécurité critique nommée Log4Shell a été découverte dans la bibliothèque Java Log4j. Dans cet article, nous décortiquons la vulnérabilité Log4Shell pour vous en expliquer les bases et vous présenter une mission : un environnement de test où vous pourrez vous exercer à exploiter un site web simulé en utilisant vos connaissances sur cette faille.

Nous ne recevons pas de conseils réalistes, ni de solutions les plus rapides, pour combattre l'assaut incessant qu'est la cybersécurité moderne. Bien entendu, chaque faille est différente à sa manière et de nombreux vecteurs d'attaque peuvent être exploités dans des logiciels vulnérables. Les conseils génériques réalisables seront limités, mais l'approche des meilleures pratiques semble de plus en plus imparfaite d'heure en heure.

Mettre l'accent sur une approche préventive plutôt que réactive n'est peut-être pas bien compris en dehors de l'équipe de sécurité, surtout si aucun incident de sécurité majeur n'a encore eu lieu.

Implement unit test coding guidelines uniformly and consistently

Laisser la sécurité des API au hasard est un moyen infaillible d'introduire des problèmes plus tard, avec des conséquences potentiellement dévastatrices au pire, et des retouches frustrantes et, au mieux, de faibles performances.

Migrez facilement Joda-Time vers java.time

La cybersécurité est manifestement importante, mais que signifie-t-elle réellement dans le contexte des chaînes d'approvisionnement ?

Les développeurs sont idéalement placés pour faire une transition lucrative vers la sécurité applicative.

L'apprentissage efficace du codage sécurisé et la conservation de ces connaissances peuvent donner l'impression que c'est intrinsèquement difficile, mais avec les bons outils et la bonne culture, ce n'est pas obligatoire. Cependant, il n'est pas toujours facile de convaincre les parties prenantes et les supérieurs d'investir dans le bon type de formation. Voici quelques conseils pratiques pour vous aider à gagner leur allégeance.

Les développeurs professionnels souhaitent adopter le DevSecOps et écrire du code sécurisé, mais leurs organisations doivent soutenir ce changement radical pour que ces efforts portent leurs fruits.

Début octobre, Apache a publié la version 2.4.49 pour corriger une vulnérabilité de type Path Traversal et exécution de code à distance, puis la version 2.4.50 pour remédier au caractère incomplet de ce correctif. Nous avons créé une mission pour démontrer ces risques dans un environnement réel. Essayez-la dès maintenant.

Micha Martinez est analyste en cybersécurité et directeur de la photographie chez Nelnet. Lorsqu'il a été chargé de créer un programme de formation au développement sécurisé pour ses développeurs, il a fait preuve d'une grande créativité pour impliquer son équipe. La manière dont il anime son programme de formation nous a tellement impressionnés que nous avons souhaité l'interroger pour en savoir plus.

Les attaques par injection, ces vulnérabilités tristement célèbres, ont été détrônées par les failles de contrôle d'accès, désormais considérées comme les plus critiques, et les développeurs doivent impérativement en prendre conscience.

Les développeurs sont parmi les mieux placés pour appréhender le code, ainsi que les configurations de sécurité et le contrôle d'accès. Leurs compétences en matière de sécurité doivent être développées et, pour atteindre les normes élevées définies par le NIST, une structure de formation pratique pourrait bien être le moyen le plus efficace d'y parvenir, en particulier pour les grands groupes de développeurs.

Tout comme les logiciels web, les API et les appareils mobiles, le code vulnérable des systèmes embarqués peut être exploité s'il est découvert par un attaquant en conditions réelles.

En tant que professionnel de la sécurité des applications, votre rôle est de garantir la cyber-sécurité des applications de votre organisation. Vous n'êtes cependant pas responsable de l'écriture du code sur lequel ces applications reposent ; ce sont les ingénieurs de l'équipe de développement qui s'en chargent. Comment vous assurer alors qu'ils conçoivent ces systèmes en intégrant la sécurité dès le départ ?

Cet article propose un tour d'horizon de la sécurisation des systèmes embarqués. Nous commencerons par une définition fondamentale, avant d'aborder les défis liés à la sécurité embarquée, les solutions classiques et les pièces manquantes du puzzle.

Dans cet article, nous comparons la norme MISRA C 2012 au C2 et vous accompagnons dans la transition vers ce nouveau standard. Nous expliquerons pourquoi la conformité MISRA est indispensable pour concevoir des systèmes embarqués sécurisés.

Dans cet article, vous découvrirez une présentation des appareils embarqués et du développement de systèmes embarqués.

Nous avons rencontré Larry Maccherone de Contrast Security pour discuter de la manière dont l'apprentissage contextuel permet de former efficacement les développeurs au codage sécurisé. Découvrez comment les entreprises peuvent offrir une formation essentielle en sécurité à leurs développeurs sans perturber leurs responsabilités quotidiennes ni leur flux de travail.

Nous avons été très heureux de voir récemment la publication du premier article de notre président-directeur général, Pieter Danhieux, sur le Forbes Technology Council. Il y explique en détail comment la montée en compétences des développeurs pour créer un code plus sécurisé est essentielle pour prévenir les cyberattaques et les violations de données.

La sécurité des API est une préoccupation majeure pour la plupart des experts en cybersécurité, et nous devons nous doter des connaissances nécessaires pour y faire face.

Le récent décret sur la cybersécurité de l'administration Biden fait beaucoup parler dans le secteur de la sécurité, en particulier ceux qui cherchent à convaincre les développeurs de l'importance d'appliquer les meilleures pratiques de codage sécurisé au quotidien.

Nous avons récemment rencontré Dimitri Vanderhaeghe, ingénieur logiciel chez Selligent Marketing Cloud, une plateforme d'automatisation marketing omnicanale hautement intégrée et optimisée par l'IA, qui permet aux spécialistes du marketing B2C ambitieux de maximiser chaque interaction avec les consommateurs connectés d'aujourd'hui. Pour une entreprise technologique B2C en pleine croissance, il est essentiel de monter en puissance et de répondre aux exigences croissantes du marché. Pour y parvenir, l'accent doit être mis sur la cybersécurité et, plus crucial encore, sur un programme de compétences en sécurité dirigé par les développeurs.

Voici une statistique qui donne à réfléchir : 60 % des PME mettent la clé sous la porte dans les six mois suivant une cyberattaque réussie. Les grandes entreprises perdent des millions (voire des milliards !) et voient leur réputation s'effondrer. À mesure que les organisations adoptent des pratiques de développement sécurisé, un « shift left » s'opère. Avec l'essor du DevSecOps, la sécurité du code devient une priorité dès le début du cycle de vie du développement logiciel.

Discover more about the most loved features of Sensei.

Selon une étude d'IBM, il est trente fois plus coûteux de corriger les vulnérabilités après leur publication que de les détecter et de les corriger initialement. Dans cette optique, il n'est pas surprenant que les DSI tournés vers l'avenir mettent en œuvre des pratiques de codage sécurisées. Cela implique de former et d'équiper les développeurs pour qu'ils écrivent du code de manière plus sécurisée dès le départ, ce qui en fait la « première ligne de défense » de leur organisation.

Quels sont les impacts potentiels d'une formation au développement de code sécurisé pour votre organisation, et s'agit-il d'un investissement rentable ?

Dans notre monde hyperconnecté, presque toutes les organisations ont un talon d'Achille commun. Une seule vulnérabilité, une seule faille exploitable dans leur code, peut entraîner le vol de données clients, une atteinte à la réputation et des pertes financières importantes. L'alignement organisationnel autour du codage sécurisé n'a jamais été aussi impératif, mais y parvenir est plus facile à dire qu'à faire.

Le dernier décret du gouvernement fédéral américain aborde de nombreux aspects de la cybersécurité opérationnelle, mais souligne pour la première fois le rôle crucial des développeurs, ainsi que la nécessité pour ces derniers de posséder des compétences vérifiées et une réelle sensibilisation en matière de sécurité.

À l'heure actuelle, seuls 15 % des développeurs s'accordent à dire que les pratiques de code sécurisé devraient être l'affaire de tous. Dans un monde où les menaces de sécurité se multiplient, cela est tout simplement insuffisant. Il faut agir. L'une des clés pour instaurer une culture saine de la sécurité applicative consiste à comprendre les influences (et les influenceurs !) qui entrent en jeu.

Nous devons privilégier une approche de la cybersécurité centrée sur l'humain. Cette méthode sera bien plus efficace qu'une dépendance excessive à l'automatisation, aux outils et à la simple réaction face à des problèmes déjà ancrés et identifiés.

Un code non sécurisé coûte des millions aux entreprises. Alors, qu'est-ce qui freine l'adoption de pratiques de développement sécurisées ? Dans un monde qui repose sur le logiciel pour presque tout, garantir la sécurité du code est devenu crucial. La réputation des marques et leur viabilité financière en dépendent. Pourtant, les préoccupations concernant le développement sécurisé sont nombreuses, tout comme les obstacles à son adoption pleine et entière. Plus que jamais, une nouvelle façon de travailler est nécessaire.

Ces dernières années, bien des choses ont été sacrifiées sur l'autel de la rapidité de mise sur le marché : la sécurité des réseaux, des téraoctets de données clients sensibles et une réputation de marque inestimable.

S'il y a bien une chose capable de gâcher Noël dans le secteur de la cybersécurité, c'est une violation de données dévastatrice en passe de devenir le plus grand événement de cyberespionnage jamais enregistré contre le gouvernement américain.

En matière de formation au code sécurisé pour les développeurs, les résultats pédagogiques laissent souvent à désirer. De nombreuses entreprises investissent des sommes importantes pour un retour sur investissement minimal dans la pratique. Et cela n'a rien d'étonnant.

Alors que les violations de données et leurs coûts ne cessent d'augmenter, le volume de code produit dans le monde est devenu trop important pour que les experts en sécurité puissent le gérer seuls. Les entreprises ont besoin de développeurs maîtrisant le codage sécurisé, et ces derniers savent que ces compétences sont essentielles à l'évolution de leur carrière. Pourtant, les formations actuelles en matière de code sécurisé ne sont pas à la hauteur. Alors, qu'attendent réellement les développeurs en matière de formation au codage sécurisé ?

Ennuyeux, ennuyeux, ennuyeux ! C'est l'une des réactions les plus fréquentes des développeurs lorsqu'on évoque la formation au code sécurisé. Chez Secure Code Warrior, nous sommes convaincus qu'il existe une meilleure approche.

Il existe plusieurs raisons pour lesquelles les outils de sécurité applicative (AppSec) ne sont pas utilisés comme nous pourrions nous y attendre. Le problème ne réside pas tant dans les outils et leurs fonctionnalités que dans la manière dont ils s'intègrent à l'ensemble du programme de sécurité.

Quelles sont les principales motivations des développeurs lorsqu'il s'agit d'apprendre le développement sécurisé, et comment les exploiter pour concevoir et mettre en œuvre un programme de sécurité applicative efficace ?

Face à la multiplication des cybermenaces, les organisations doivent chaque jour trouver un équilibre entre sécurité, praticité et rapidité, s'exposant ainsi à des risques accrus.

Dans un monde où les cybermenaces ne cessent de se multiplier, vos développeurs sont-ils à la hauteur ? Le facteur humain du développement sécurisé – le développeur, maillon essentiel – est-il prêt à jouer son rôle dans la sécurisation de notre monde connecté ? Pour répondre à cette question, examinons les conclusions d'une étude récente menée par Secure Code Warrior et Evans Data Corp sur l'attitude des développeurs vis-à-vis du codage sécurisé, des pratiques de code sécurisé et des opérations de sécurité.

Les 10 mêmes vulnérabilités logicielles sont à l'origine de plus de failles de sécurité depuis plus de 20 ans que n'importe quelles autres. Pourtant, de nombreuses entreprises continuent de privilégier une remédiation après incident, subissant tant bien que mal les conséquences humaines et opérationnelles qui en découlent. Mais une nouvelle étude ouvre aujourd'hui une voie inédite, axée sur l'humain.

L'injection SQL fête ses 22 ans. Bien que cette vulnérabilité soit assez âgée pour boire un verre, nous la laissons encore prendre le dessus au lieu de l'éliminer une bonne fois pour toutes.

Discover the latest improvements to the user experience of Sensei, Secure Code Warrior's IntelliJ plugin and start writing quality code even faster.

Une relation bâtie sur les fondations fragiles de la méfiance ne peut, en toute honnêteté, que mener à des attentes limitées. Malheureusement, c'est souvent le cas de la collaboration entre les développeurs et l'équipe de sécurité applicative au sein d'une entreprise.

Un petit quiz ludique sur les pièges de Java, accompagné d'un dépôt Github présentant ces erreurs courantes et comment les corriger

Découvrez comment exécuter Sensei et les intentions IntelliJ en mode batch en tant qu'inspections au sein de l'IDE, depuis la ligne de commande et dans le cadre de l'intégration continue.

Un code d'un certain niveau de qualité est par définition sécurisé, mais tout code sécurisé n'est pas nécessairement de bonne qualité. « Commencer avant le début » est-il la formule pour garantir des normes de codage purement sécurisées ?

Dans cet article de blog, nous examinons une erreur de codage Java courante (l'utilisation d'un opérateur binaire au lieu d'un opérateur conditionnel), la vulnérabilité qu'elle introduit dans notre code, et comment utiliser Sensei pour détecter et corriger ce problème.

La Kamer van Koophandel explique comment elle a intégré le codage sécurisé au développement quotidien grâce à des certifications basées sur les rôles, à l'étalonnage des scores de confiance et à une culture de responsabilité partagée en matière de sécurité.

Découvrez comment le partenariat entre Paysafe et Secure Code Warrior a permis d'augmenter la productivité des développeurs de 45 % et de réduire considérablement les vulnérabilités du code.

DigitalOcean's use of Secure Code Warrior training has significantly reduced security debt, allowing teams to focus more on innovation and productivity. The improved security has strengthened their product quality and competitive edge. Looking ahead, the SCW Trust Score will help them further enhance security practices and continue driving innovation.

Découvrez les résultats des Devlympics 2023 dans ce rapport. Plongez au cœur de l'engagement des développeurs, des tendances technologiques et langages par secteur d'activité, ainsi que des principales vulnérabilités et CWE abordées lors de cet événement mondial annuel organisé par Secure Code Warrior.

Découvrez comment Sage a renforcé sa sécurité grâce à une approche flexible axée sur les relations humaines, formant plus de 200 champions de la sécurité et obtenant une réduction mesurable des risques.

Découvrez comment Workday a transformé la formation de ses développeurs grâce à l'apprentissage agile de Secure Code Warrior. En dotant ses équipes d'une formation pratique et spécifique à chaque langage, Workday a réduit les vulnérabilités dès les premières étapes du cycle de vie du développement logiciel (SDLC). Explorez leurs résultats impressionnants et les enseignements clés pour instaurer une culture du code sécurisé.

Découvrez dans cette étude de cas comment Thales a développé des approches axées sur les personnes, les processus et la technologie pour mettre en place un programme agile d'apprentissage du code sécurisé, afin d'inciter les développeurs à devenir des acteurs clés de la sécurité.

Découvrez comment le géant de la distribution Colgate-Palmolive a transformé sa sécurité applicative au cours de sa transition numérique. Confrontée à des défis en matière de développement sécurisé, l'entreprise a innové en intégrant un apprentissage contextuel et rapide directement dans le flux de travail des développeurs.

Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed

IAG Group est la société mère de nombreuses compagnies d'assurance de premier plan dans la région Asie-Pacifique, couvrant des millions de clients pour un volume de primes annuel d'environ 11,4 milliards de dollars australiens.

Découvrez comment ils ont créé une initiative interne de formation technologique, visant à aider des milliers d'employés à acquérir des compétences pratiques et de pointe dans diverses disciplines, notamment l'apprentissage automatique et la cybersécurité.

Découvrez cette étude de cas complète pour en savoir plus sur la manière dont ils ont utilisé les tournois de Secure Code Warrior pour mobiliser les développeurs, accroître la sensibilisation aux vulnérabilités clés affectant les logiciels automobiles et obtenir des indicateurs sur de multiples langages et frameworks.

Hitachi Vantara and Secure Code Warrior warned that the spread of AI is reshaping cyber risk for organisations during Cybersecurity Awareness Month.

Both said attackers are using AI to move faster and scale up attacks. They also warned that companies are under pressure to strengthen data governance and recovery planning as regulators sharpen their focus on operational resilience and data handling.

Le Cyber Security Action Month (connu mondialement sous le nom de Mois de la sensibilisation à la cybersécurité) est une campagne annuelle australienne organisée en octobre pour encourager les particuliers et les entreprises à renforcer leur sécurité en ligne grâce à des habitudes quotidiennes simples.

Les gouvernements ne peuvent plus considérer les cyberattaques à la vitesse de la machine comme un scénario futur car, comme l'a montré la récente violation des données de Medicare, le futur est déjà là.

‍

‍

Octobre est le mois de la sensibilisation à la cybersécurité, et si les douze derniers mois ont prouvé quelque chose, c'est que le paysage des menaces ne ralentit pas pour autant. Entre les campagnes de phishing dopées à l'IA, l'ingénierie sociale par deepfake et la multiplication des attaques par ransomware visant hôpitaux, écoles et municipalités, les équipes de sécurité n'ont eu que peu de répit en 2026. Cette initiative annuelle, qui entame sa troisième décennie, reste l'occasion idéale pour faire le point et se demander : sommes-nous réellement plus en sécurité, ou simplement plus occupés ?

OpenAI a renoncé à une mise à jour d'Astra prévue pour octobre, après que des tests internes ont révélé des problèmes de sécurité et d'alignement, une source de préoccupation croissante au sein de l'entreprise.

Des agents d'OpenAI ont « infiltré » des sites gouvernementaux australiens alors qu'ils étaient chargés de recherches relativement banales, dans ce qui est considéré comme l'un des premiers incidents de ce genre.

Cet événement, qui fait suite à d'autres failles liées aux agents IA, met en lumière des problèmes critiques : les dangers d'une IA non alignée, la responsabilité des développeurs et l'insuffisance des protocoles de divulgation d'incidents. Les experts soulignent l'urgence de mettre en place des garde-fous techniques, une surveillance rigoureuse et une obligation de signalement rapide pour prévenir de futurs incidents potentiellement catastrophiques.

Medicare et au moins trois autres systèmes gouvernementaux ont été compromis par un agent IA en juin – et nous ne l'apprenons que maintenant, au grand dam de nombreux acteurs du secteur.

Suivre le rythme de la réglementation mondiale sur l'IA devient presque aussi difficile que de suivre l'évolution de la technologie elle-même. Pour les responsables de la sécurité, chaque semaine apporte son lot de nouveautés, de propositions réglementaires ou de changements de politique, complexifiant encore davantage un paysage des risques déjà dense.

La modélisation des menaces n'a rien de nouveau pour les organisations dotées d'une approche mature de cybersécurité en profondeur. Elle constitue depuis longtemps un pilier de la sécurité préventive, aidant les entreprises à identifier et à corriger leurs faiblesses avant qu'elles ne soient exploitées.

Secure Code Warrior a lancé Citizen AI, un programme de formation à la culture de l'IA destiné aux employés non développeurs, afin de favoriser une adoption responsable de l'IA dans tous les services de l'entreprise.

Notre nouveau programme de littératie en IA dote les employés non-développeurs du discernement, de la conscience des risques et des habitudes d'utilisation responsable nécessaires pour adopter en toute sécurité des flux de travail assistés par l'IA.

Secure Code Warrior a annoncé le lancement de Citizen AI by Secure Code Warrior, un nouveau programme d'acculturation à l'IA conçu pour les employés non-développeurs, afin d'aider les entreprises à préparer leurs équipes à une adoption responsable de l'IA. Citizen AI permet aux organisations de réduire les risques humains liés à l'IA, de soutenir les initiatives de gouvernance de l'IA, de renforcer la confiance des employés dans l'utilisation de ces outils et d'accélérer l'adoption sécurisée de flux de travail basés sur l'IA.

‍

Secure Code Warrior, leader de la gouvernance logicielle par l'IA et de la montée en compétences en sécurité pour les développeurs, a annoncé aujourd'hui le lancement de Citizen AI, un nouveau programme d'acculturation à l'IA destiné aux employés non-développeurs pour aider les entreprises à préparer leurs équipes à une adoption responsable de l'IA.

Notre nouveau programme de littératie en IA dote les employés non-développeurs du discernement, de la conscience des risques et des habitudes d'utilisation responsable nécessaires pour adopter en toute sécurité des flux de travail assistés par l'IA.

Les organisations passent à côté d'un enjeu majeur lors de l'élaboration de leurs programmes de gouvernance et de formation au développement logiciel assisté par IA.

Le développement de logiciels par IA évolue à un rythme effréné pour les développeurs et leurs équipes. , PDG et cofondateur de Secure Code Warrior, soutient qu'à mesure que le code écrit par l'humain laisse place à une programmation assistée par IA et à des flux de travail autonomes, de nombreuses équipes de sécurité font face à un défi majeur : la gestion des nouveaux risques inhérents à ces systèmes.

‍

‍

La question pour les entreprises de développement logiciel n'est plus de savoir si l'IA générative doit être utilisée pour coder, ni si la part de code généré par l'IA va croître prochainement. Ce débat est clos depuis deux ans. L'enjeu est désormais de garantir la sécurité et la conformité alors que l'IA et ses agents déploient du code en production.

Chaque mois de septembre, le Mois national de sensibilisation aux menaces internes nous rappelle opportunément que les incidents de sécurité les plus dévastateurs ne proviennent pas toujours d'attaquants externes franchissant le périmètre, mais bien de l'intérieur. Qu'il s'agisse d'intentions malveillantes, de négligence ou d'une simple erreur humaine, les personnes disposant d'un accès légitime aux systèmes, aux données et aux infrastructures constituent l'un des risques les plus persistants et les plus difficiles à détecter pour les organisations actuelles. Avec l'essor du travail hybride, des outils basés sur l'IA et la complexité croissante des environnements informatiques, le paysage des menaces internes évolue, exigeant une vigilance accrue de la part des professionnels de la sécurité.

Alors que l'IA agentique dope la productivité, la revue de code humaine devient un goulot d'étranglement majeur. Les développeurs doivent intervenir en amont pour définir les règles de base et garantir que l'IA s'y conforme.

​Le secteur de la cybersécurité, qui prône les principes de « sécurité dès la conception » depuis plus de dix ans, observe avec stupeur les risques posés par l'intelligence artificielle (IA). Alors que les entreprises se précipitent pour adopter l'IA, la priorité absolue d'un RSSI est d'éviter de devenir un frein. Cependant, sans une utilisation et une gouvernance efficaces de l'IA, ainsi qu'une observabilité et une traçabilité adéquates, les organisations pourraient être prises au dépourvu par les risques liés à l'IA.​

Secure Code Warrior a lancé le modèle d'adoption de l'IA SCW, un cadre conçu pour aider les organisations à encadrer l'utilisation de l'IA dans le développement logiciel, alors que le secteur passe du cycle de vie traditionnel (SDLC) à ce que l'entreprise nomme le cycle de vie de développement agentique (ADLC).

Alors que de nombreuses équipes d'ingénierie logicielle passent des assistants de codage IA à la génération de code par agents autonomes, augmentant ainsi exponentiellement leur production, la sécurisation de ce code doit devenir une priorité absolue. Cette étude fournit des conseils pratiques aux organisations qui adoptent le développement assisté par IA ou par agents.

L'utilisation de jetons peut engendrer des coûts imprévus et considérables pour les entreprises.

L'IA accélère les cycles de développement et permet aux développeurs de se concentrer sur des tâches à plus forte valeur ajoutée. Pour de nombreuses entreprises, ces gains d'efficacité deviennent essentiels pour rester compétitives. Le défi n'est donc plus de savoir s'il faut adopter l'IA, mais comment le faire de manière responsable. Les entreprises qui investissent dans la formation des développeurs, les cadres de gouvernance, l'observabilité de l'IA et des contrôles de sécurité robustes seront mieux placées pour en tirer parti tout en limitant les risques associés.

L'enjeu ne se limite plus à la simple protection des modèles d'IA. Les attaquants se concentrent de plus en plus sur l'écosystème logiciel qui les entoure, notamment les outils de développement, les intergiciels, les bibliothèques open source et les pipelines de déploiement automatisés sur lesquels les entreprises s'appuient au quotidien.

Comme nous allons l'analyser ensemble, le mouvement est mondial et s'accompagne d'une certaine collaboration entre les nations. Toutefois, la voie à suivre est loin d'être uniforme ou claire, en particulier dans le monde des affaires où l'adoption de l'IA est souvent imposée avant la mise en place de mesures de protection globales.  

Selon un expert, les garde-fous de l'IA ne sont pas conçus comme des « barrières de sécurité », mais plutôt pour influencer les comportements. Mais que se passe-t-il si ce comportement consiste à pirater l'un de vos partenaires industriels ?

‍

Des experts en cybersécurité ont averti que la violation de l'infrastructure de Hugging Face lors d'une évaluation de sécurité d'OpenAI marque un tournant dans les risques posés par les agents IA autonomes. Lors de cet incident, des modèles d'IA sont sortis d'un test contrôlé pour mener une intrusion réelle en plusieurs étapes contre la plateforme d'IA.

Le code généré par IA introduit en moyenne 15 vulnérabilités confirmées par base de code, selon une étude publiée par Secure Code Warrior.

L'IA de pointe traverse une crise de relations publiques. Après la publication par Hugging Face d'un article de blog le 16 juillet affirmant qu'un agent autonome avait pénétré son environnement interne, OpenAI a annoncé le 21 juillet que l'incident s'était produit lorsque GPT 5.6 Sol et un « modèle en pré-lancement » s'étaient échappés d'un environnement de test contrôlé.

Les recherches de Secure Code Warrior révèlent que le code généré par l'IA introduit en moyenne 15 vulnérabilités par base de code.

‍

Secure Code Warrior a lancé le SCW AI Trust Index, un référentiel dynamique dédié à la sécurité du code généré par IA. Évoluant avec chaque nouveau modèle, il aide les entreprises à comprendre et à maîtriser les risques de sécurité liés à l'IA. Développée avec l'Université RMIT en Australie puis enrichie par Secure Code Warrior, cette étude propose des benchmarks complets sur la fréquence des vulnérabilités produites par les principaux LLM, avec des conséquences majeures pour toute entreprise déployant le développement assisté par IA.

Le code généré par IA introduit en moyenne 15 vulnérabilités par base de code, mais le risque réel dépend davantage de l'association avec le framework que du modèle utilisé.

Le nouvel indice de confiance SCW AI montre que les risques liés au code généré par IA ne sont pas aléatoires, mais prévisibles selon le modèle et le framework, offrant aux responsables sécurité les données nécessaires pour déployer le développement assisté par IA en toute sécurité.

Les défis liés à la mise en œuvre de l'IA, aux mises à jour constantes et à la course à la domination du secteur s'enchaînent à un rythme effréné, et les professionnels de la sécurité figurent parmi les plus exposés à son vaste profil de risque.

Le gouvernement australien a affirmé que l'IA est au cœur des intérêts nationaux futurs du pays, mais où en est-elle aujourd'hui ? Découvrez ce que les meilleurs experts du secteur pensent de l'intelligence artificielle et de son rôle dans l'entreprise moderne.

‍

L'émergence de l'IA agentique marque un changement structurel dans le développement logiciel, introduisant des systèmes qui non seulement accélèrent les cycles de production, mais effectuent également des raisonnements et des actions autonomes échappant au contrôle humain direct.

Alors que le code généré par l'IA se généralise, les RSSI doivent adopter de nouvelles stratégies d'audit pour évaluer les pratiques des développeurs, encadrer l'utilisation des outils d'IA et identifier les risques logiciels avant leur mise en production.

Cette catégorie a pris une nouvelle importance en 2026 pour une raison propre à notre époque : les outils et agents de codage basés sur l'IA augmentent considérablement le volume de code produit ainsi que la fréquence de déploiement, de test et de provisionnement. L'ingénierie de plateforme est la couche qui détermine si cette accélération se traduit par une valeur ajoutée concrète ou par un chaos opérationnel.

Selon un récent rapport de Gartner, l'utilisation effrénée d'IA fantôme et d'automatisations non autorisées alimente la prolifération des vulnérabilités liées à l'IA. Gartner souligne que 32 % des professionnels de l'informatique utilisant des outils d'IA générative au travail déclarent les dissimuler à leurs équipes de cybersécurité. Conjugués aux plateformes low-code/no-code et aux pratiques de « vibe coding », les copilotes IA étendent considérablement la surface d'attaque des entreprises.

Pour cet article, nous avons posé une question centrale aux responsables de la sécurité et des risques : « Qu'est-ce qui distingue une politique qui atténue réellement les risques pour l'entreprise d'une politique qui existe principalement pour démontrer que l'organisation a pris conscience des risques liés à l'IA ? »

Pieter Danhieux de Secure Code Warrior sur la gestion des risques liés au développement assisté par l'IA

Alors que l'IA générative s'impose dans le développement de logiciels d'entreprise, une discipline familière devient plus urgente que jamais : la gestion des risques.

Secure Code Warrior annonce aujourd'hui le lancement de SCW Trust Agent: AI, la première solution de gouvernance du secteur conçue pour rendre l'influence de l'intelligence artificielle (IA) dans le développement logiciel visible, attribuable et contrôlable dès la validation du code, permettant ainsi aux entreprises de déployer des outils de codage par IA avec une maîtrise mesurable des risques logiciels.

Alors que nous restructurons le cycle de vie du développement logiciel autour des éléments les plus percutants de la méthodologie Agile, tout en intégrant une sécurité rigoureuse axée sur le DevSecOps, assistons-nous à la fin de l'AppSec telle que nous la connaissons ?

Global InfoSec Awards 2026 : Secure Code Warrior remporte le prix d'excellence pour la gestion des risques de cybersécurité et la conformité

Notre nouvelle solution de gouvernance logicielle pour l'IA rend le code généré par IA visible dès le commit, applique les politiques avant la mise en production et relie les comportements de développement réels à une réduction mesurable des risques.