Perspectives d'experts façonnant le développement sécurisé

Dans le domaine de la cybersécurité, le rapport de force entre les héros et les méchants est notoirement déséquilibré. Les données sensibles sont devenues le nouvel or, et les attaquants s'adaptent rapidement pour contourner les défenses, exploitant la moindre faille de sécurité pour réaliser des gains substantiels.

Découvrez l'analyse statique et comment elle peut vous aider à écrire un meilleur code grâce à 5 approches et plugins intégrés à votre IDE.

C'est cette période spéciale de l'année (en tout cas pour nous) où je prends le temps de réfléchir à notre dernière année écoulée, et à tout ce qui a été accompli au cours des 365 derniers jours pour nous préparer à une nouvelle année faite de croissance, d'enseignements et d'imprévus inévitables.

An example scenario for a misconfiguration of Guice, which may lead to a NullPointerException being reported at runtime during testing.

Nous prédisons que 2021 sera l'année où nous propulserons une nouvelle forme de conquête spatiale dans le grand public : la protection de notre galaxie contre les cybermenaces.

Cette vulnérabilité relève davantage d'un problème humain ou organisationnel, permettant à d'anciennes API de rester en service bien après avoir dû être remplacées par des versions plus récentes et sécurisées.

Découvrez comment Sensei facilite vos migrations en identifiant les modèles obsolètes et en vous suggérant les correctifs à adopter.

Les outils de test d'intrusion et d'analyse statique (plus connus sous le nom de SAST) ne constituent qu'une partie du processus global d'atténuation des risques de sécurité. Ils fonctionnent de manière assez indépendante de nos activités, jusqu'à ce que le code nous revienne pour des correctifs urgents, bien entendu !

Learn how Sensei can identify a coding pattern, and automatically generate a private constructor to make it impossible to instantiate the class.

Que l'inconfort provienne de l'incertitude liée à une nouvelle méthode de travail, d'un léger manque de confiance ou d'un scepticisme vis-à-vis du télétravail, je constate que les entreprises qui y résistent ont tendance à prendre du retard pour attirer les meilleurs talents, maintenir une portée mondiale et, en toute franchise, pour évoluer avec leur temps.

Learn how to use code reviews on pull requests to help enforce coding styles. And shorten the feedback cycle when pair programming with a more experienced programmer.

A quick example of creating a recipe to migrate from System.out.println to using a Java Logger.

La faille liée à une journalisation et une surveillance insuffisantes résulte généralement d'une stratégie de cybersécurité défaillante concernant l'enregistrement de toutes les tentatives d'authentification infructueuses, des accès refusés et des erreurs de validation des entrées.

Découvrez comment partager les cookbooks Sensei pour aider votre équipe à améliorer la qualité de son code et sa productivité.

Nous sommes ravis d'annoncer le lancement d'une toute nouvelle fonctionnalité sur la plateforme Secure Code Warrior : les Missions. Cette catégorie de défis inédite marque une nouvelle étape dans la formation à la sécurité pour les développeurs, permettant aux utilisateurs de passer de la simple mémorisation de connaissances théoriques à leur mise en pratique dans un environnement de simulation réel.

C'est sans doute un peu plus courant dans les API, mais les attaquants cherchent souvent à exploiter des failles non corrigées ainsi que des fichiers ou répertoires non protégés n'importe où sur un réseau. Tomber sur une API avec le mode débogage activé ou des fonctionnalités de sécurité désactivées ne fait que faciliter leur sale besogne.

Découvrez comment Sensei peut faciliter l'intégration des développeurs et l'adoption de nouvelles bibliothèques.

Learn all about the latest updates to Sensei.

Apprenez à utiliser Sensei pour faire correspondre des modèles de code problématiques, puis à les modifier selon les implémentations convenues à l'aide d'exemples de correspondance d'annotations.

La vulnérabilité d'assignation de masse est née de nombreux frameworks modernes encourageant les développeurs à utiliser des fonctions qui lient automatiquement les entrées des clients à des variables de code et à des objets internes.

La volonté du gouvernement australien de renforcer sérieusement la cybersécurité montre qu'il s'agit désormais d'un risque majeur à l'échelle nationale, mais leur stratégie est-elle à la hauteur des enjeux ?

Le plugin Sensei offre un moyen simple de trouver des modèles de code spécifiques dans votre code source, puis d'appliquer des règles de réécriture pour modifier le code correspondant. Le tout au sein de l'IDE IntelliJ, et en temps réel.

Secure Code Warrior a développé une GitHub Action qui intègre un apprentissage contextuel au scan de code GitHub. Les développeurs peuvent ainsi utiliser une action tierce, comme Snyk Container Action, pour détecter des vulnérabilités, puis enrichir les résultats avec des ressources pédagogiques hyper-pertinentes et spécifiques aux CWE.

La vulnérabilité liée à l'absence de contrôle d'accès au niveau des fonctions permet aux utilisateurs d'exécuter des opérations qui devraient être restreintes ou d'accéder à des ressources qui devraient être protégées.

Toutes les organisations peuvent profiter du Mois de la sensibilisation à la cybersécurité pour actualiser leurs connaissances en matière de sécurité. Cette année, nous lançons également une nouvelle application gratuite destinée à la communauté des développeurs !

Cette vulnérabilité survient lorsqu'un trop grand nombre de requêtes est émis simultanément et que l'API ne dispose pas des ressources informatiques suffisantes pour les traiter. L'API peut alors devenir indisponible ou ne plus répondre aux nouvelles requêtes.

Intégrer la sécurité dès les premières étapes du développement n'est pas une mince affaire, mais c'est devenu indispensable. Aujourd'hui, même les outils les plus simples, comme les systèmes de présentation, sont d'une complexité surprenante et sont désormais interconnectés avec l'ensemble de notre écosystème numérique.

Les mécanismes réels à l'origine de cette vulnérabilité sont similaires à d'autres, mais l'exposition excessive de données, dans ce cas précis, implique des informations légalement protégées ou hautement sensibles.

L'authentification sert souvent de porte d'entrée, non seulement vers une application, mais potentiellement vers l'ensemble d'un réseau ; elle constitue donc une cible de choix pour les attaquants. Si un processus d'authentification est défaillant ou vulnérable, il est fort probable que des attaquants finissent par découvrir cette faille et l'exploitent.

Nous souhaitons mettre en lumière l'un de nos experts, Oscar Quintas. Membre de notre équipe Contenu Produit, il occupe le poste de chercheur principal en sécurité. Il est également notre magicien attitré pour tout ce qui concerne l'Infrastructure as Code (IaC).

En général, des contrôles d'autorisation au niveau de l'objet doivent être inclus pour chaque fonction qui accède à une source de données à l'aide d'une entrée de l'utilisateur, faute de quoi le faire comporte de grands risques.

Les cyberattaques sont de plus en plus fréquentes et les menaces affectant les infrastructures basées sur Linux sont de plus en plus courantes, l'objectif final étant de saisir une opportunité de déverrouiller un coffre contenant des données sensibles stockées dans le cloud.

En pensant à votre organisation, réfléchissez à ces questions dans le contexte de votre rôle. Comment s'en sortirait-elle face au test DevSec ?

Un programme de formation sur mesure, couvrant précisément les modules que vos développeurs doivent maîtriser, aura un impact significatif et leur permettra d'être opérationnels immédiatement en matière de bonnes pratiques de sécurité au quotidien.

Nous savons déjà qu'une journée de travail est bien trop chargée. Dès lors, pourquoi les développeurs prendraient-ils la peine de se rendre en salle de classe ou de changer de contexte pour suivre un parcours en cinq étapes basé sur de la théorie pure ?

L'idée qui sous-tend les applications de suivi des contacts est solide. Cette technologie, lorsqu'elle fonctionne bien, permettrait de détecter rapidement les points chauds et de procéder à des tests complets, deux éléments essentiels de la lutte contre la propagation d'un virus contagieux.

Nous avons réfléchi à la manière de faciliter l'accès à la formation au moment opportun et d'intégrer le micro-apprentissage de façon plus fluide à votre flux de travail.

Le 23 juin est une date incontournable du calendrier geek, marquant la Journée internationale des femmes ingénieures. C'est l'occasion pour nous de mettre en lumière la contribution des femmes au développement logiciel.

Cette vulnérabilité peut survenir lorsque les développeurs omettent d'implémenter correctement les règles de logique métier, ce qui pourrait exposer leurs applications à divers types d'attaques si un utilisateur malveillant décidait de les exploiter.

Rust intègre des éléments connus et fonctionnels issus de langages courants, tout en adoptant une philosophie différente qui élimine la complexité pour privilégier la performance et la sécurité.

Le comportement à risque sur lequel nous allons nous pencher ici consiste à utiliser du code provenant de sources non fiables, une pratique qui semble anodine mais qui engendre des problèmes majeurs.

Le secteur de la santé pourrait bien devenir le prochain grand terrain de bataille de la cybersécurité, les criminels s'attaquant désormais aux machines mêmes qui servent à diagnostiquer les pathologies, à administrer les traitements et à maintenir les patients en vie.

Les erreurs de configuration de sécurité, en particulier celles liées à des autorisations inappropriées, se produisent le plus souvent chaque fois qu'un développeur crée un nouvel utilisateur ou autorise une application en tant qu'outil afin d'accomplir une tâche.

Il arrive que des applications partagent des données avec d'autres programmes dans le cadre d'une charge de travail globale. Si la couche de transport n'est pas sécurisée, elle devient vulnérable tant aux interceptions extérieures qu'aux consultations internes non autorisées.

De nos jours, le hachage des données sensibles telles que les mots de passe, les informations personnelles et les dossiers financiers au repos est un pilier fondamental de toute stratégie de cybersécurité.

Bien qu'il s'agisse d'un langage informatique ancien, le COBOL reste efficace aujourd'hui. Apprenez-en davantage sur le développement d'applications sécurisées en COBOL avec Secure Code Warrior.

De nos jours, la sécurité informatique repose en grande partie sur les mots de passe. Même lorsque d'autres méthodes sont utilisées, telles que l'authentification à deux facteurs ou la biométrie, la plupart des organisations continuent d'intégrer la protection par mot de passe au cœur de leur stratégie de sécurité.

Nous devons parvenir à une étape où la sécurité est perçue comme une responsabilité partagée à l'échelle de toute l'organisation et tout au long du cycle de vie du développement logiciel (SDLC). C'est tout à fait réalisable lorsque vous vous engagez dans un environnement DevSecOps complet et hautement collaboratif.

Sans un contrôle d'accès rigoureux au niveau de l'infrastructure, toute l'entreprise s'expose à des attaquants qui peuvent exploiter cette faille comme porte d'entrée pour mener des activités d'espionnage ou lancer une attaque de grande envergure.

Les attaquants cherchent toujours en priorité les vulnérabilités faciles à exploiter et utilisent souvent des scripts pour passer en revue les failles les plus courantes. C'est un peu comme un voleur qui testerait toutes les portières des voitures dans une rue pour voir lesquelles sont déverrouillées, une méthode bien plus simple que de briser une vitre.

Voici la deuxième partie de notre mini-série sur la conformité PCI-DSS au sein des organisations. Dans ce dernier volet, nous expliquons comment les CTO et les CISO peuvent impulser une dynamique pour réduire les cyberrisques et rendre le processus fluide, efficace... et peut-être même un peu ludique pour les développeurs.

Voici la première partie d'une série en deux volets consacrée à la réussite de la conformité PCI-DSS au sein d'une organisation. Dans ce chapitre, nous détaillons comment les spécialistes de la sécurité applicative peuvent collaborer étroitement avec les responsables du développement pour autonomiser les développeurs, renforcer le cycle de vie de développement logiciel sécurisé (SSDLC) et traduire des exigences législatives générales en résultats concrets.

Dans notre secteur, de nombreux experts en sécurité ont commencé à prévoir les principaux problèmes de l'année, mais avec plus de cinq milliards d'enregistrements de données sensibles volés en 2019, nous avons pensé qu'il serait plus précis de prévoir ce qui ne se passera pas en matière de cybersécurité dans un avenir proche.

La plupart des initiatives axées sur le « shifting left », c'est-à-dire l'intégration de la sécurité bien plus tôt dans le processus de développement, ne changent tout simplement pas assez la donne.

Avec l'avènement du RGPD, ainsi que la révision de la stratégie suite à une attaque en plusieurs étapes qui a révélé les données sensibles de nombreuses personnalités publiques, ainsi que des serveurs du gouvernement fédéral allemand, il est clair que la sensibilisation et les actions en matière de cybersécurité sont au cœur des préoccupations des dirigeants de la région DACH.

Le monde commence à délaisser les méthodes Waterfall, Agile et désormais DevOps. Quelle est donc la prochaine étape ? Et en tant que développeur, quel est votre rôle pour suivre l'évolution de ces approches ?

Vers la fin de l'année dernière, l'incroyable communauté du MITRE a publié sa liste des 25 erreurs logicielles les plus dangereuses (CWE Top 25) ayant marqué l'année 2019. Et, pour la plupart, ce n'était pas une surprise.

J'aurais pu commencer cet article par tous les faits et chiffres indiquant une start-up florissante en pleine croissance ; ils sont indéniablement impressionnants et la trajectoire continue de notre entreprise est solide. Cependant, pour moi, ces chiffres ne reflètent pas ce dont je suis le plus fier en 2019.

Peu d'entreprises réussissent réellement leur implémentation DevOps. Pourtant, un accompagnement adapté, une culture d'entreprise bienveillante et une compréhension commune peuvent transformer vos processus.

Le National Institute of Standards & Technology (NIST) a publié une mise à jour de son livre blanc, détaillant plusieurs plans d'action visant à réduire les vulnérabilités logicielles et les cyberrisques.

Ces événements destinés aux développeurs comptent parmi mes préférés de l'année ; ils nous rappellent avec humilité l'existence d'une communauté qui travaille sans relâche pour former et donner aux ingénieurs logiciels et aux spécialistes les moyens de placer la sécurité au cœur de leur travail.

Si les initiatives réglementaires vont sans aucun doute s'améliorer et se développer avec le temps, les organisations qui cèdent à la panique et se précipitent dès maintenant dans la formation risquent de se retrouver mal préparées pour l'avenir.

Il existe des développeurs de tous horizons et de tous profils, et un véritable esprit de communauté a toujours imprégné chacune de nos actions.

Bien que le codage sécurisé doive devenir une composante obligatoire de l'ingénierie logicielle dans l'enseignement supérieur, certaines universités montrent la voie en proposant une formation de premier ordre et en intégrant la sécurité au cœur du processus de développement dès le départ.

Notre vice-présidente du succès client, Fatemah Beydoun, a récemment présenté son intervention intitulée « Mentoring for the future: How we can all do better in fostering female cybersecurity talent » devant un public très attentif. Elle joue un rôle essentiel dans l'impulsion d'un changement positif au sein du secteur de la cybersécurité.

La désérialisation non sécurisée peut survenir dès lors qu'une application considère comme fiables les données en cours de désérialisation. Si un utilisateur est en mesure de modifier les données nouvellement reconstruites, il peut mener diverses activités malveillantes, telles que des injections de code, des attaques par déni de service ou une élévation de ses privilèges.

Il est vraiment ahurissant de constater que de nombreux établissements comptent encore sur des salles de classe, des manuels scolaires arides et des formations vidéo époustouflantes pour intégrer le meilleur d'eux-mêmes à de nouvelles initiatives, en particulier lorsqu'il existe une méthode d'apprentissage bien meilleure, plus engageante et plus utile : la formation contextuelle.

Le secteur de la cybersécurité n'est pas réputé pour sa tendresse, ses réflexions poétiques ou ses commentaires sur la vie, mais, peut-être est-ce l'âge qui veut ça, je me surprends à méditer sur l'impact que nous pouvons tous avoir sur le monde.

L'exposition de données sensibles se produit lorsque des informations destinées uniquement à un usage autorisé sont révélées à une personne non autorisée, alors qu'elles ne sont ni chiffrées, ni protégées, ou qu'elles le sont de manière insuffisante.

L'histoire de Bill Demirkapi, ce jeune chercheur en sécurité qui a révélé des failles majeures dans les logiciels utilisés par son école, m'a rappelé bien des souvenirs. Je me revois, enfant curieux, soulever le capot des logiciels pour jeter un œil à l'intérieur, comprendre comment tout cela fonctionnait... et voir si je pouvais les faire planter.

Bien que VxWorks ne soit pas un nom familier pour le consommateur moyen, ce logiciel profite à beaucoup d'entre nous, jour après jour. Et aujourd'hui, nous sommes confrontés à la possibilité que des centaines de millions d'appareils équipés de VxWorks soient compromis.

L'attaque par injection d'entités externes XML, parfois simplement abrégée en injection XXE, est relativement récente, mais elle est extrêmement populaire parmi les communautés de hackers en ce moment, et elle ne cesse de croître au fur et à mesure qu'elle ACCUMULE des succès.

Si un attaquant peut insérer un code CR ou LF dans une application existante, il peut parfois modifier son comportement. Les effets sont moins faciles à prévoir que ceux de la plupart des attaques, mais ils ne peuvent pas être moins dangereux pour l'organisation cible.

Les CISO et CIO créatifs et inspirants ont le pouvoir d'innover et de façonner notre monde numérique, mais ils jouent également un rôle déterminant dans la transformation de la culture de sécurité au sein de leur organisation.

À bien des égards, la vulnérabilité d'inclusion de fichiers distants est beaucoup plus dangereuse et plus facile à exploiter que son équivalent local. En tant que tel, il convient de le trouver et d'y remédier dès que possible.

Cette année, le PCI Security Standards Council a publié un tout nouvel ensemble de directives de sécurité logicielle dans le cadre de son PCI Software Security Framework. Cette mise à jour vise à aligner les meilleures pratiques de sécurité logicielle sur les méthodes de développement modernes.

Contrairement à de nombreuses vulnérabilités, l'exploitation des processus d'inclusion de fichiers locaux et de traversée de répertoires à des fins malveillantes nécessite un attaquant suffisamment qualifié, un temps considérable et, peut-être, une part de chance.

Même si vous avez entièrement sécurisé un serveur d'applications et les systèmes backend associés, les communications peuvent rester vulnérables aux interceptions si la protection de la couche de transport est insuffisante.

Les attaques par injection XML sont des failles redoutables conçues par des pirates informatiques pour compromettre les systèmes hébergeant des bases de données XML. Cela inclut les types de ressources auxquels on pense naturellement lorsqu'il est question de bases de données traditionnelles : des stocks d'informations détaillées allant des médicaments aux films.

Un rapport récent du centre d'évaluation de la cybersécurité de Huawei au Royaume-Uni a mis en évidence des problèmes de sécurité majeurs dans les processus d'ingénierie logicielle de l'entreprise. Il s'agit toutefois d'un problème qui peut être résolu.

En abordant des sujets sensibles comme l'optimisation du budget AppSec d'une organisation, ainsi que plusieurs questions épineuses posées par le public, le panel des leaders en AppSec a offert une matinée inspirante qui aidera les spécialistes de la sécurité à mettre en place des programmes viables au sein de leur entreprise.

Une journalisation et une surveillance insuffisantes constituent l'une des failles les plus critiques au sein de la structure défensive d'une application. En présence d'une telle vulnérabilité, la quasi-totalité des attaques sophistiquées finira inévitablement par aboutir.

Coder un site web ou une application permettant de traiter des redirections et des transferts non validés peut s'avérer extrêmement dangereux, tant pour vos utilisateurs que pour votre organisation.

C'est officiel : nous unissons nos forces à celles de Bugcrowd pour former, accompagner et sensibiliser les développeurs au codage sécurisé.

Les attaques par injection de code comptent parmi les menaces les plus fréquentes et les plus redoutables pour les sites web et les applications. Bien qu'elles varient considérablement en termes de sophistication et de dangerosité, la quasi-totalité des sites ou applications acceptant des saisies utilisateur peut s'avérer vulnérable.

La récente attaque contre des dépôts GitHub met en lumière un problème bien connu dans le secteur de la cybersécurité : la plupart des développeurs ne sont tout simplement pas assez sensibilisés aux enjeux de sécurité, exposant ainsi des données précieuses à tout moment.

Lorsque vous développez une application métier, que ce soit pour un usage interne ou pour vos clients, vous ne permettez probablement pas à chaque utilisateur d'exécuter toutes les fonctions. Si c'est le cas, vous pourriez être vulnérable à un contrôle d'accès défaillant.

Face à la recrudescence des cyberattaques, qui touchent tous les types d'organisations et tous les secteurs, la menace de violations de données coûteuses, préjudiciables à l'image de marque et aux résultats financiers est bien réelle. Loin de se résorber, le problème ne cesse de prendre de l'ampleur.

Lorsque votre application web divulgue trop d'informations, elle facilite la tâche des attaquants souhaitant s'y introduire. Dans cet article, nous expliquerons ce qu'est l'exposition d'informations, pourquoi elle représente un danger et comment la prévenir.

Comme toutes les applications utilisent des composants, dont la plupart n'ont pas été écrits par vous, les vulnérabilités présentes dans ces composants peuvent devenir des responsabilités. Examinons ce que signifie l'utilisation de composants présentant des vulnérabilités connues, les risques encourus et comment y remédier.

Ayant travaillé des deux côtés de la barrière, je connais trop bien les tensions qui peuvent survenir entre les équipes de développement et les spécialistes de la sécurité applicative lorsqu'il s'agit de respecter les meilleures pratiques. Il existe pourtant une meilleure approche.

Nous allons aborder l'un des problèmes les plus courants rencontrés par les organisations qui gèrent des sites Web ou qui permettent à leurs employés d'accéder à distance à des ressources informatiques, ce qui concerne à peu près tout le monde. Et oui, vous avez probablement deviné que nous allons parler d'authentification.

Si une application ne dispose pas de suffisamment de contrôles anti-automatisation, les attaquants peuvent simplement continuer à deviner les mots de passe jusqu'à ce qu'ils trouvent un mot de passe correspondant. Voici comment les arrêter.

Bien que les problèmes de code puissent être une partie du problème, les erreurs de logique métier résultent le plus souvent de défauts de conception ou d'hypothèses logiques erronées lors de la création initiale d'une application.

En cybersécurité, nous agissons souvent comme des chasseurs. Le regard rivé sur l'horizon, nous guettons la prochaine faille critique. Pourtant, cette focalisation sur l'avenir peut avoir pour effet paradoxal d'émousser notre vigilance globale en matière de sécurité.

Il est courant que les sites Web et les applications permettent aux utilisateurs d'envoyer des commentaires et diverses autres informations via une application par courrier électronique. Et la plupart des gens n'y pensent même pas en termes de risque de sécurité potentiel.

Une référence directe à un objet se produit lorsqu'un enregistrement spécifique (l' « objet ») est référencé dans une application. Il prend généralement la forme d'un identifiant unique et peut apparaître dans une URL.

La sécurité logicielle est une préoccupation constante pour moi, tout comme le danger bien réel que représentent nos modes de vie de plus en plus numériques, où nous partageons nos informations personnelles. Après tout, nous évoluons dans un territoire largement non réglementé, sans surveillance et joyeusement ignoré. Nous sommes en plein Far West.

Dans notre société numérique, les développeurs ont la responsabilité de protéger les informations et les entreprises contre les risques liés au stockage cryptographique non sécurisé. Apprenez-en plus avec Secure Code Warrior.

Une immense majorité de sites web utilisent des bases de données XML pour effectuer des fonctions critiques telles que le stockage des identifiants de connexion, des informations clients, des données personnelles et des informations confidentielles ou sensibles, ce qui confère aux attaques XQuery une surface d'attaque particulièrement étendue.

La Kamer van Koophandel explique comment elle a intégré le codage sécurisé au développement quotidien grâce à des certifications basées sur les rôles, à l'étalonnage des scores de confiance et à une culture de responsabilité partagée en matière de sécurité.

Découvrez comment le partenariat entre Paysafe et Secure Code Warrior a permis d'augmenter la productivité des développeurs de 45 % et de réduire considérablement les vulnérabilités du code.

DigitalOcean's use of Secure Code Warrior training has significantly reduced security debt, allowing teams to focus more on innovation and productivity. The improved security has strengthened their product quality and competitive edge. Looking ahead, the SCW Trust Score will help them further enhance security practices and continue driving innovation.

Découvrez les résultats des Devlympics 2023 dans ce rapport. Plongez au cœur de l'engagement des développeurs, des tendances technologiques et langages par secteur d'activité, ainsi que des principales vulnérabilités et CWE abordées lors de cet événement mondial annuel organisé par Secure Code Warrior.

Découvrez comment Sage a renforcé sa sécurité grâce à une approche flexible axée sur les relations humaines, formant plus de 200 champions de la sécurité et obtenant une réduction mesurable des risques.

Découvrez comment Workday a transformé la formation de ses développeurs grâce à l'apprentissage agile de Secure Code Warrior. En dotant ses équipes d'une formation pratique et spécifique à chaque langage, Workday a réduit les vulnérabilités dès les premières étapes du cycle de vie du développement logiciel (SDLC). Explorez leurs résultats impressionnants et les enseignements clés pour instaurer une culture du code sécurisé.

Découvrez dans cette étude de cas comment Thales a développé des approches axées sur les personnes, les processus et la technologie pour mettre en place un programme agile d'apprentissage du code sécurisé, afin d'inciter les développeurs à devenir des acteurs clés de la sécurité.

Découvrez comment le géant de la distribution Colgate-Palmolive a transformé sa sécurité applicative au cours de sa transition numérique. Confrontée à des défis en matière de développement sécurisé, l'entreprise a innové en intégrant un apprentissage contextuel et rapide directement dans le flux de travail des développeurs.

Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed

IAG Group est la société mère de nombreuses compagnies d'assurance de premier plan dans la région Asie-Pacifique, couvrant des millions de clients pour un volume de primes annuel d'environ 11,4 milliards de dollars australiens.

Découvrez comment ils ont créé une initiative interne de formation technologique, visant à aider des milliers d'employés à acquérir des compétences pratiques et de pointe dans diverses disciplines, notamment l'apprentissage automatique et la cybersécurité.

Découvrez cette étude de cas complète pour en savoir plus sur la manière dont ils ont utilisé les tournois de Secure Code Warrior pour mobiliser les développeurs, accroître la sensibilisation aux vulnérabilités clés affectant les logiciels automobiles et obtenir des indicateurs sur de multiples langages et frameworks.

Hitachi Vantara and Secure Code Warrior warned that the spread of AI is reshaping cyber risk for organisations during Cybersecurity Awareness Month.

Both said attackers are using AI to move faster and scale up attacks. They also warned that companies are under pressure to strengthen data governance and recovery planning as regulators sharpen their focus on operational resilience and data handling.

Le Cyber Security Action Month (connu mondialement sous le nom de Mois de la sensibilisation à la cybersécurité) est une campagne annuelle australienne organisée en octobre pour encourager les particuliers et les entreprises à renforcer leur sécurité en ligne grâce à des habitudes quotidiennes simples.

Les gouvernements ne peuvent plus considérer les cyberattaques à la vitesse de la machine comme un scénario futur car, comme l'a montré la récente violation des données de Medicare, le futur est déjà là.

‍

‍

Octobre est le mois de la sensibilisation à la cybersécurité, et si les douze derniers mois ont prouvé quelque chose, c'est que le paysage des menaces ne ralentit pas pour autant. Entre les campagnes de phishing dopées à l'IA, l'ingénierie sociale par deepfake et la multiplication des attaques par ransomware visant hôpitaux, écoles et municipalités, les équipes de sécurité n'ont eu que peu de répit en 2026. Cette initiative annuelle, qui entame sa troisième décennie, reste l'occasion idéale pour faire le point et se demander : sommes-nous réellement plus en sécurité, ou simplement plus occupés ?

OpenAI a renoncé à une mise à jour d'Astra prévue pour octobre, après que des tests internes ont révélé des problèmes de sécurité et d'alignement, une source de préoccupation croissante au sein de l'entreprise.

Des agents d'OpenAI ont « infiltré » des sites gouvernementaux australiens alors qu'ils étaient chargés de recherches relativement banales, dans ce qui est considéré comme l'un des premiers incidents de ce genre.

Cet événement, qui fait suite à d'autres failles liées aux agents IA, met en lumière des problèmes critiques : les dangers d'une IA non alignée, la responsabilité des développeurs et l'insuffisance des protocoles de divulgation d'incidents. Les experts soulignent l'urgence de mettre en place des garde-fous techniques, une surveillance rigoureuse et une obligation de signalement rapide pour prévenir de futurs incidents potentiellement catastrophiques.

Medicare et au moins trois autres systèmes gouvernementaux ont été compromis par un agent IA en juin – et nous ne l'apprenons que maintenant, au grand dam de nombreux acteurs du secteur.

Suivre le rythme de la réglementation mondiale sur l'IA devient presque aussi difficile que de suivre l'évolution de la technologie elle-même. Pour les responsables de la sécurité, chaque semaine apporte son lot de nouveautés, de propositions réglementaires ou de changements de politique, complexifiant encore davantage un paysage des risques déjà dense.

La modélisation des menaces n'a rien de nouveau pour les organisations dotées d'une approche mature de cybersécurité en profondeur. Elle constitue depuis longtemps un pilier de la sécurité préventive, aidant les entreprises à identifier et à corriger leurs faiblesses avant qu'elles ne soient exploitées.

Secure Code Warrior a lancé Citizen AI, un programme de formation à la culture de l'IA destiné aux employés non développeurs, afin de favoriser une adoption responsable de l'IA dans tous les services de l'entreprise.

Notre nouveau programme de littératie en IA dote les employés non-développeurs du discernement, de la conscience des risques et des habitudes d'utilisation responsable nécessaires pour adopter en toute sécurité des flux de travail assistés par l'IA.

Secure Code Warrior a annoncé le lancement de Citizen AI by Secure Code Warrior, un nouveau programme d'acculturation à l'IA conçu pour les employés non-développeurs, afin d'aider les entreprises à préparer leurs équipes à une adoption responsable de l'IA. Citizen AI permet aux organisations de réduire les risques humains liés à l'IA, de soutenir les initiatives de gouvernance de l'IA, de renforcer la confiance des employés dans l'utilisation de ces outils et d'accélérer l'adoption sécurisée de flux de travail basés sur l'IA.

‍

Secure Code Warrior, leader de la gouvernance logicielle par l'IA et de la montée en compétences en sécurité pour les développeurs, a annoncé aujourd'hui le lancement de Citizen AI, un nouveau programme d'acculturation à l'IA destiné aux employés non-développeurs pour aider les entreprises à préparer leurs équipes à une adoption responsable de l'IA.

Notre nouveau programme de littératie en IA dote les employés non-développeurs du discernement, de la conscience des risques et des habitudes d'utilisation responsable nécessaires pour adopter en toute sécurité des flux de travail assistés par l'IA.

Les organisations passent à côté d'un enjeu majeur lors de l'élaboration de leurs programmes de gouvernance et de formation au développement logiciel assisté par IA.

Le développement de logiciels par IA évolue à un rythme effréné pour les développeurs et leurs équipes. , PDG et cofondateur de Secure Code Warrior, soutient qu'à mesure que le code écrit par l'humain laisse place à une programmation assistée par IA et à des flux de travail autonomes, de nombreuses équipes de sécurité font face à un défi majeur : la gestion des nouveaux risques inhérents à ces systèmes.

‍

‍

La question pour les entreprises de développement logiciel n'est plus de savoir si l'IA générative doit être utilisée pour coder, ni si la part de code généré par l'IA va croître prochainement. Ce débat est clos depuis deux ans. L'enjeu est désormais de garantir la sécurité et la conformité alors que l'IA et ses agents déploient du code en production.

Chaque mois de septembre, le Mois national de sensibilisation aux menaces internes nous rappelle opportunément que les incidents de sécurité les plus dévastateurs ne proviennent pas toujours d'attaquants externes franchissant le périmètre, mais bien de l'intérieur. Qu'il s'agisse d'intentions malveillantes, de négligence ou d'une simple erreur humaine, les personnes disposant d'un accès légitime aux systèmes, aux données et aux infrastructures constituent l'un des risques les plus persistants et les plus difficiles à détecter pour les organisations actuelles. Avec l'essor du travail hybride, des outils basés sur l'IA et la complexité croissante des environnements informatiques, le paysage des menaces internes évolue, exigeant une vigilance accrue de la part des professionnels de la sécurité.

Alors que l'IA agentique dope la productivité, la revue de code humaine devient un goulot d'étranglement majeur. Les développeurs doivent intervenir en amont pour définir les règles de base et garantir que l'IA s'y conforme.

​Le secteur de la cybersécurité, qui prône les principes de « sécurité dès la conception » depuis plus de dix ans, observe avec stupeur les risques posés par l'intelligence artificielle (IA). Alors que les entreprises se précipitent pour adopter l'IA, la priorité absolue d'un RSSI est d'éviter de devenir un frein. Cependant, sans une utilisation et une gouvernance efficaces de l'IA, ainsi qu'une observabilité et une traçabilité adéquates, les organisations pourraient être prises au dépourvu par les risques liés à l'IA.​

Secure Code Warrior a lancé le modèle d'adoption de l'IA SCW, un cadre conçu pour aider les organisations à encadrer l'utilisation de l'IA dans le développement logiciel, alors que le secteur passe du cycle de vie traditionnel (SDLC) à ce que l'entreprise nomme le cycle de vie de développement agentique (ADLC).

Alors que de nombreuses équipes d'ingénierie logicielle passent des assistants de codage IA à la génération de code par agents autonomes, augmentant ainsi exponentiellement leur production, la sécurisation de ce code doit devenir une priorité absolue. Cette étude fournit des conseils pratiques aux organisations qui adoptent le développement assisté par IA ou par agents.

L'utilisation de jetons peut engendrer des coûts imprévus et considérables pour les entreprises.

L'IA accélère les cycles de développement et permet aux développeurs de se concentrer sur des tâches à plus forte valeur ajoutée. Pour de nombreuses entreprises, ces gains d'efficacité deviennent essentiels pour rester compétitives. Le défi n'est donc plus de savoir s'il faut adopter l'IA, mais comment le faire de manière responsable. Les entreprises qui investissent dans la formation des développeurs, les cadres de gouvernance, l'observabilité de l'IA et des contrôles de sécurité robustes seront mieux placées pour en tirer parti tout en limitant les risques associés.

L'enjeu ne se limite plus à la simple protection des modèles d'IA. Les attaquants se concentrent de plus en plus sur l'écosystème logiciel qui les entoure, notamment les outils de développement, les intergiciels, les bibliothèques open source et les pipelines de déploiement automatisés sur lesquels les entreprises s'appuient au quotidien.

Comme nous allons l'analyser ensemble, le mouvement est mondial et s'accompagne d'une certaine collaboration entre les nations. Toutefois, la voie à suivre est loin d'être uniforme ou claire, en particulier dans le monde des affaires où l'adoption de l'IA est souvent imposée avant la mise en place de mesures de protection globales.  

Selon un expert, les garde-fous de l'IA ne sont pas conçus comme des « barrières de sécurité », mais plutôt pour influencer les comportements. Mais que se passe-t-il si ce comportement consiste à pirater l'un de vos partenaires industriels ?

‍

Des experts en cybersécurité ont averti que la violation de l'infrastructure de Hugging Face lors d'une évaluation de sécurité d'OpenAI marque un tournant dans les risques posés par les agents IA autonomes. Lors de cet incident, des modèles d'IA sont sortis d'un test contrôlé pour mener une intrusion réelle en plusieurs étapes contre la plateforme d'IA.

Le code généré par IA introduit en moyenne 15 vulnérabilités confirmées par base de code, selon une étude publiée par Secure Code Warrior.

L'IA de pointe traverse une crise de relations publiques. Après la publication par Hugging Face d'un article de blog le 16 juillet affirmant qu'un agent autonome avait pénétré son environnement interne, OpenAI a annoncé le 21 juillet que l'incident s'était produit lorsque GPT 5.6 Sol et un « modèle en pré-lancement » s'étaient échappés d'un environnement de test contrôlé.

Les recherches de Secure Code Warrior révèlent que le code généré par l'IA introduit en moyenne 15 vulnérabilités par base de code.

‍

Secure Code Warrior a lancé le SCW AI Trust Index, un référentiel dynamique dédié à la sécurité du code généré par IA. Évoluant avec chaque nouveau modèle, il aide les entreprises à comprendre et à maîtriser les risques de sécurité liés à l'IA. Développée avec l'Université RMIT en Australie puis enrichie par Secure Code Warrior, cette étude propose des benchmarks complets sur la fréquence des vulnérabilités produites par les principaux LLM, avec des conséquences majeures pour toute entreprise déployant le développement assisté par IA.

Le code généré par IA introduit en moyenne 15 vulnérabilités par base de code, mais le risque réel dépend davantage de l'association avec le framework que du modèle utilisé.

Le nouvel indice de confiance SCW AI montre que les risques liés au code généré par IA ne sont pas aléatoires, mais prévisibles selon le modèle et le framework, offrant aux responsables sécurité les données nécessaires pour déployer le développement assisté par IA en toute sécurité.

Les défis liés à la mise en œuvre de l'IA, aux mises à jour constantes et à la course à la domination du secteur s'enchaînent à un rythme effréné, et les professionnels de la sécurité figurent parmi les plus exposés à son vaste profil de risque.

Le gouvernement australien a affirmé que l'IA est au cœur des intérêts nationaux futurs du pays, mais où en est-elle aujourd'hui ? Découvrez ce que les meilleurs experts du secteur pensent de l'intelligence artificielle et de son rôle dans l'entreprise moderne.

‍

L'émergence de l'IA agentique marque un changement structurel dans le développement logiciel, introduisant des systèmes qui non seulement accélèrent les cycles de production, mais effectuent également des raisonnements et des actions autonomes échappant au contrôle humain direct.

Alors que le code généré par l'IA se généralise, les RSSI doivent adopter de nouvelles stratégies d'audit pour évaluer les pratiques des développeurs, encadrer l'utilisation des outils d'IA et identifier les risques logiciels avant leur mise en production.

Cette catégorie a pris une nouvelle importance en 2026 pour une raison propre à notre époque : les outils et agents de codage basés sur l'IA augmentent considérablement le volume de code produit ainsi que la fréquence de déploiement, de test et de provisionnement. L'ingénierie de plateforme est la couche qui détermine si cette accélération se traduit par une valeur ajoutée concrète ou par un chaos opérationnel.

Selon un récent rapport de Gartner, l'utilisation effrénée d'IA fantôme et d'automatisations non autorisées alimente la prolifération des vulnérabilités liées à l'IA. Gartner souligne que 32 % des professionnels de l'informatique utilisant des outils d'IA générative au travail déclarent les dissimuler à leurs équipes de cybersécurité. Conjugués aux plateformes low-code/no-code et aux pratiques de « vibe coding », les copilotes IA étendent considérablement la surface d'attaque des entreprises.

Pour cet article, nous avons posé une question centrale aux responsables de la sécurité et des risques : « Qu'est-ce qui distingue une politique qui atténue réellement les risques pour l'entreprise d'une politique qui existe principalement pour démontrer que l'organisation a pris conscience des risques liés à l'IA ? »

Pieter Danhieux de Secure Code Warrior sur la gestion des risques liés au développement assisté par l'IA

Alors que l'IA générative s'impose dans le développement de logiciels d'entreprise, une discipline familière devient plus urgente que jamais : la gestion des risques.

Secure Code Warrior annonce aujourd'hui le lancement de SCW Trust Agent: AI, la première solution de gouvernance du secteur conçue pour rendre l'influence de l'intelligence artificielle (IA) dans le développement logiciel visible, attribuable et contrôlable dès la validation du code, permettant ainsi aux entreprises de déployer des outils de codage par IA avec une maîtrise mesurable des risques logiciels.

Alors que nous restructurons le cycle de vie du développement logiciel autour des éléments les plus percutants de la méthodologie Agile, tout en intégrant une sécurité rigoureuse axée sur le DevSecOps, assistons-nous à la fin de l'AppSec telle que nous la connaissons ?

Global InfoSec Awards 2026 : Secure Code Warrior remporte le prix d'excellence pour la gestion des risques de cybersécurité et la conformité

Notre nouvelle solution de gouvernance logicielle pour l'IA rend le code généré par IA visible dès le commit, applique les politiques avant la mise en production et relie les comportements de développement réels à une réduction mesurable des risques.