Insights from experts shaping secure development

Il semble surprenant que la plupart des développeurs qui travaillent sur du code qui alimente des infrastructures critiques, des automobiles, des technologies médicales, etc., le fassent sans avoir préalablement vérifié leurs prouesses en matière de sécurité. D'un autre côté, pourquoi les développeurs experts en sécurité, qui ont prouvé à plusieurs reprises qu'ils savaient comment créer des objets en toute sécurité, doivent-ils faire la queue avec tous les autres acteurs des pipelines de développement de plus en plus lents à cause de toutes les barrières de sécurité ?

Le coût de la correction des vulnérabilités du code et de la dette technique est élevé et continue de réduire la productivité des équipes de développement logiciel. Découvrez comment la mise en œuvre d'une plateforme d'apprentissage agile pour le code sécurisé peut former plus efficacement les développeurs aux techniques de codage sécurisé afin de corriger les vulnérabilités plus rapidement et plus tôt dans le SDLC et de les prévenir dès le départ, afin de réduire considérablement les coûts. Ce blog explique comment réfléchir à l'impact financier et au retour sur investissement d'une plateforme d'apprentissage agile.

Nous avons annoncé la clôture de notre cycle de financement de série C, après avoir collecté 50 millions de dollars américains pour la prochaine phase de notre mission : aider davantage d'organisations pionnières à exploiter la puissance de leur cohorte de développement pour contrecarrer les vulnérabilités courantes.

The recently released National Cybersecurity Strategy signals the need for a seismic cultural shift for most companies, with the most glaring recommendation coming in the form of security accountability falling primarily on software vendors. This is a positive step, though it is sure to cause teething problems, especially as many organizations struggle to accurately assess their security maturity across the board, particularly among the development cohort.

Découvrez comment une plateforme d'apprentissage agile pour le code sécurisé peut être intégrée aux flux de travail et aux outils des développeurs, et commencez à créer une culture d'apprentissage du code sécurisé.

Plus tôt cette année, le Conseil des normes de sécurité PCI a dévoilé la version 4.0 de sa norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS). Les entreprises n'auront pas besoin d'être entièrement conformes à la version 4.0 avant mars 2025, mais cette mise à jour est la plus transformatrice à ce jour et obligera la plupart des entreprises à évaluer (et probablement à mettre à niveau) des processus de sécurité complexes et des éléments de leur infrastructure technologique. Cela s'ajoute à la mise en œuvre d'une formation de sensibilisation à la sécurité basée sur les rôles et d'une formation régulière au codage sécurisé pour les développeurs.

Découvrez comment une plateforme d'apprentissage agile pour un code sécurisé permet d'améliorer les compétences des développeurs, de réduire les risques et de réduire la dette technique au fil du temps en commençant à gauche dans le SDLC.

En aidant à définir les responsabilités de nos applications et logiciels au sein d'une hiérarchie stricte, et en appliquant ces politiques avec le moins de privilèges possible, nous pouvons nous assurer que nos applications et logiciels survivent et prospèrent malgré le paysage de menaces auquel ils sont confrontés.

La stratégie nationale de cybersécurité de la CISA représente notre meilleure chance d'améliorer les normes logicielles à tous les niveaux et, enfin, d'inaugurer une nouvelle ère de développeurs compétents en matière de sécurité.

Le 20 mars 2023, Spring Security Advisories a publié un article de blog faisant référence à une vulnérabilité découverte en interne, CVE-2023-20860. Aucune information détaillée n'a été divulguée, sauf qu'il s'agissait d'un problème de contrôle d'accès concernant l'utilisation de « MvcMatchers ». Les développeurs de Spring ont résolu le problème et une mise à jour de version est conseillée. La sécurité étant au cœur de nos préoccupations chez Secure Code Warrior, nous avons décidé d'approfondir cette vulnérabilité de MvcRequestMatchers et de déterminer où se situe le problème principal.

Questions-réponses sur CyberNews avec Pieter Danhieux, PDG et cofondateur de Secure Code Warrior.

L'une des plus grandes lacunes du cycle de vie du développement logiciel est le manque de temps dont disposent les développeurs pour apprendre à sécuriser leur code dès le début. Les développeurs perdent d'innombrables heures à retravailler et à corriger, ce qui se traduit par des millions de dollars en coûts d'opportunité manqués. Découvrez comment un codage rapide et sécurisé peut contribuer à combler ces lacunes et à accélérer la productivité.

Nouveauté de Secure Code Warrior : découvrez de nouvelles méthodes de gestion des cours et explorez du contenu supplémentaire.

L'avènement du métaverse, le chouchou numérique du moment, ajoute une nouvelle surface d'attaque à la fois pour les vulnérabilités au niveau du code et pour l'ingénierie sociale. Et nous ne sommes tout simplement pas prêts à nous battre sur ce nouveau terrain de jeu où règne la fumée et les miroirs.

Le coût de la résolution du code non sécurisé et de la dette technique qui en résulte est l'un des principaux obstacles auxquels la technologie est confrontée aujourd'hui. Découvrez comment la mise en œuvre d'un programme de formation au code sécurisé évolutif permet de réduire la dette technique en corrigeant les mauvais modèles de codage et en détectant les vulnérabilités dès le début du cycle de développement logiciel.

La perception de ce qui constitue un acte de codage sécurisé est sujette à débat. Selon une étude récente menée en collaboration avec Evans Data, ce sentiment a été révélé noir sur blanc. L'enquête State of Developer-Driven Security 2022 explore les principales informations et expériences de 1 200 développeurs actifs, mettant en lumière leurs attitudes et leurs défis dans le domaine de la sécurité.

Learn how Coding Labs is like a personal trainer for developers- utilizing interactive, hands-on modules and intuitive feedback within a convenient in-browser IDE to help developers go from learning to doing faster than ever before.

Cette semaine, nous célébrons officiellement les huit ans de Secure Code Warrior. D'une part, cela représente 350 fois la durée de la mission Apollo 11, et l'équivalent de 45 000 parties de football, soit 5 696 parties jouées à Super Mario Odyssey jusqu'à la fin. D'autre part, c'est juste un trentième de la durée de vie d'une tortue géante (250 ans, si vous vous demandez). Dans le monde d'une start-up à forte croissance, cela représente un parcours plein de rebondissements, de leçons et de réalisations, dont beaucoup étaient inimaginables lorsque nous avons rédigé notre plan d'affaires pour la première fois.

Chez Secure Code Warrior, nous innovons constamment pour aider les développeurs et les organisations à acquérir les compétences nécessaires pour relever les défis de sécurité en constante évolution d'aujourd'hui. Nous avons compilé les principales fonctionnalités et mises à jour de notre plateforme, ainsi que les ressources et les directives publiées cette année, afin d'aider votre organisation à sécuriser vos logiciels grâce à une sécurité pilotée par les développeurs au début du cycle de développement logiciel.

Tout le monde souhaite obtenir un bon retour sur investissement lorsqu'il s'agit d'investir dans sa technologie ou dans des programmes de formation supplémentaires, mais en matière de sécurité, il faut jouer un long jeu qui va au-delà du simple calcul du retour sur investissement. Découvrez comment l'investissement dans la sécurité pilotée par les développeurs permettra non seulement de réduire les dépenses liées aux violations coûteuses, à la perte de productivité et à l'accumulation de dettes technologiques, mais aussi de créer une stratégie proactive et rentable pour garder une longueur d'avance sur le paysage des menaces actuel.

En réponse à des failles de sécurité majeures, telles que la campagne SolarWinds, qui a utilisé un processus de mise à jour logicielle pour infecter plus de 18 000 utilisateurs du célèbre logiciel de gestion Orion, dont de nombreuses grandes entreprises et agences gouvernementales, des efforts de sécurité plus efficaces dirigés par les développeurs sont de plus en plus sollicités. Les organisations de toutes tailles commencent à remettre en question leur « chaîne d'approvisionnement logicielle » et exigent que les développeurs qui élaborent leurs logiciels aient des compétences et des connaissances en matière de sécurité vérifiées.

Tout le monde connaît l'importance d'une technologie robuste. Lorsqu'il s'agit de détecter et de corriger les vulnérabilités dans le code, réduire le temps moyen de correction et utiliser des solutions fiables et robustes est l'objectif des intégrations de Secure Code Warrior. L'intégration de moments de micro-apprentissage dans les flux de travail des développeurs est la clé d'un meilleur apprentissage et d'une remédiation plus rapide.

De nos jours, presque toutes les équipes de développeurs proposent une forme ou une autre de formation à la conformité, que ce soit dans le cadre d'un processus de certification initial utilisé pour garantir qu'une entreprise respecte les limites des cadres industriels ou des réglementations gouvernementales, ou dans le cadre d'une exigence ou d'une révision annuelle. Il s'agit d'une étape importante, car si une organisation ne parvient pas à satisfaire aux exigences de conformité de base, ses employés ne pourront pas s'acquitter de leurs tâches de manière réaliste.

Les développeurs n'auront pas d'impact positif sur la réduction des vulnérabilités sans une compréhension fondamentale de leur fonctionnement, de leur dangerosité, de leurs causes et des modèles de conception ou de codage qui les corrigent dans un contexte logique dans leur monde. Une approche échafaudée permet à des couches de connaissances de donner une image complète de ce que signifie coder en toute sécurité, défendre une base de code et se présenter comme un développeur soucieux de la sécurité.

L'importance des compétences des développeurs en matière de sécurité est soulignée dans le rapport Gartner Cool Vendors in Software Engineering 2022. En savoir plus et obtenir le rapport complet.

Les développeurs qui créent les logiciels, les applications et les programmes qui stimulent les activités numériques sont devenus la pierre angulaire de nombreuses organisations. La plupart des entreprises modernes ne seraient pas en mesure de fonctionner (de manière rentable) sans applications et programmes compétitifs, ou sans un accès 24 heures sur 24 à leurs sites Web et à d'autres infrastructures.

Récemment, une équipe de chercheurs en sécurité a annoncé la découverte d'un bogue vieux de quinze ans dans la fonctionnalité d'extraction de fichiers tar de Python. La vulnérabilité a été révélée pour la première fois en 2007 et identifiée sous le nom CVE-2007-4559. Une note a été ajoutée à la documentation officielle de Python, mais le bogue lui-même n'a pas été corrigé.

Nouveauté chez Secure Code Warrior : suivez une formation pratique pour les développeurs avec Coding Labs, intégrez votre programme de formation au code sécurisé à un LMS, et bien plus encore.

Apprenez-en davantage sur les risques associés aux informations d'identification codées en dur et à l'ingénierie sociale en discutant du récent incident de sécurité d'Uber et des raisons pour lesquelles il est si important pour les entreprises de tourner à gauche et de s'assurer que leurs développeurs sont au courant des meilleures pratiques en matière de codage sécurisé.

Le développement de logiciels n'est plus une mince affaire, et lorsque nous prenons en compte tous les aspects des risques liés aux logiciels, qu'il s'agisse du cloud, des systèmes intégrés dans les appareils et les véhicules, de notre infrastructure critique, sans oublier les API qui connectent tout cela, la surface d'attaque est sans frontières et incontrôlable.

Le plan de mobilisation pour la sécurité des logiciels libres représente une étape positive pour la sécurité axée sur les développeurs. Cependant, nous devons tous faire le point et évaluer honnêtement si notre organisation est suffisamment mature - et si nos équipes de développement possèdent le niveau de sensibilisation et de compétences en matière de sécurité requis - pour mettre en œuvre les stratégies défensives les plus récentes et les plus efficaces.

L'effort de transition vers la gauche nécessite une amélioration collective et continue des connaissances et des compétences en matière de sécurité, au sein des équipes de développement

La sécurité des API est difficile, mais grâce à une formation adéquate, à une planification et à une concentration sur les meilleures pratiques, même les vulnérabilités les plus insidieuses peuvent être atténuées.

Flux de création de cours plus simple et plus puissant, activation de l'accès anticipé et contenu de formation SAP ABAP.

Formation pratique et efficace au codage sécurisé pour les développeurs ABAP.

La vulnérabilité de Psychic Signature réside dans la cryptographie des signatures ECDSA, qui protège les systèmes pour des tâches critiques telles que l'authentification. Les pirates informatiques peuvent contourner toute vérification de signature grâce à cette vulnérabilité. Nous expliquerons ce que c'est et comment l'atténuer dans cet article.

NGINX a récemment révélé une vulnérabilité de type « jour zéro ». À peu près à la même époque, Microsoft a révélé une autre vulnérabilité critique, la vulnérabilité Windows RPC RCE. Dans cet article, vous pouvez découvrir qui est exposé à ces deux problèmes et comment nous pouvons les atténuer.

Les attaques « jour zéro », par définition, ne laissent pas le temps aux développeurs de détecter et de corriger les vulnérabilités existantes susceptibles d'être exploitées, car c'est l'auteur de la menace qui est intervenu le premier. Le mal est fait et c'est alors une course effrénée pour réparer à la fois le logiciel et l'atteinte à la réputation de l'entreprise. Les attaquants ont toujours un avantage, et il est crucial de réduire cet avantage autant que possible.

Pour la deuxième année consécutive, nous sommes associés à Evans Data Corp. pour mener une enquête complète auprès de la communauté mondiale des développeurs concernant les compétences, les perceptions et les comportements en matière de pratiques de codage sécurisées, ainsi que leur impact et leur pertinence perçus sur le cycle de vie du développement logiciel (SDLC). Les résultats ont été assez surprenants à bien des égards.

Récemment, les bibliothèques Spring, l'une des bibliothèques les plus populaires de la communauté Java, ont révélé deux vulnérabilités liées à l'exécution de code à distance (RCE). Nous avons détaillé les informations connues pour « Spring4Shell » et « Spring Cloud Function » afin de vous aider à comprendre si vous êtes à risque et que faire si c'est le cas.

Lorsqu'il s'agit de lutter contre les cybercriminels, nous devons rester aussi en phase que possible avec eux, en préemptant leurs terrains de jeu dans un esprit préventif. Voici où je pense qu'ils pourraient commencer à faire des vagues au cours de la prochaine année :

De nombreuses entreprises qui fixent des objectifs dans leur approche de la cybersécurité ont mis en place un programme officiel de champions de la sécurité, conférant des responsabilités clés en matière de sécurité, qu'il s'agisse de la liaison entre les équipes, du cheerleading général ou de la supervision des meilleures pratiques, aux personnes qui font preuve d'aptitude et de passion pour ce rôle.

Les événements marquants de notre anniversaire sont un merveilleux rappel qui nous permet de réfléchir aux fruits de notre travail, de célébrer l'équipe et d'aborder l'année à venir avec confiance. Et maintenant, sept ans après sa création, je me demande : est-ce que nous y sommes parvenus ? S'agit-il déjà d'une vraie entreprise ? Bien sûr, nous avons atteint la maturité, mais j'espère que nous ne perdrons jamais le sens de la curiosité, de la passion et du geek que nous avons depuis le début.

En tant qu'industrie, nous ne devons jamais nous attendre à ce que les développeurs deviennent des experts en sécurité, mais les organisations peuvent adopter de nouvelles normes pour aider les développeurs à produire des logiciels de meilleure qualité.

En décembre 2021, une faille de sécurité critique Log4Shell a été révélée dans la bibliothèque Java Log4j. Dans cet article, nous présentons la vulnérabilité Log4Shell de la manière la plus simple pour que vous puissiez en saisir les bases et vous présenter une mission : un terrain de jeu où vous pouvez essayer d'exploiter un site Web simulé en utilisant la connaissance de cette vulnérabilité.

Nous ne recevons pas de conseils réalistes, ni de solutions les plus rapides, pour combattre l'assaut incessant qu'est la cybersécurité moderne. Bien entendu, chaque faille est différente à sa manière et de nombreux vecteurs d'attaque peuvent être exploités dans des logiciels vulnérables. Les conseils génériques réalisables seront limités, mais l'approche des meilleures pratiques semble de plus en plus imparfaite d'heure en heure.

Le fait de mettre l'accent sur une approche préventive, par opposition à une approche réactive, peut ne pas être largement compris en dehors de l'équipe de sécurité, en particulier si aucun incident de sécurité grave ne s'est produit.

Implement unit test coding guidelines uniformly and consistently

Laisser la sécurité des API au hasard est un moyen infaillible d'introduire des problèmes plus tard, avec des conséquences potentiellement dévastatrices au pire, et des retouches frustrantes et, au mieux, de faibles performances.

Migrez Joda-Time vers java.time de manière pratique

Il est évident que la cybersécurité est importante, mais qu'est-ce que cela signifie réellement dans le contexte des chaînes d'approvisionnement ?

Les développeurs sont bien placés pour faire un saut lucratif dans AppSec.

L'apprentissage efficace du codage sécurisé et la conservation de ces connaissances peuvent donner l'impression que c'est intrinsèquement difficile, mais avec les bons outils et la bonne culture, ce n'est pas obligatoire. Cependant, il n'est pas toujours facile de convaincre les parties prenantes et les supérieurs d'investir dans le bon type de formation. Voici quelques conseils pratiques pour vous aider à gagner leur allégeance.

Les développeurs professionnels souhaitent adopter DevSecOps et écrire du code sécurisé, mais leurs organisations doivent soutenir ce changement radical si elles veulent que cet effort se développe.

Début octobre, Apache a publié la version 2.4.49 pour corriger une vulnérabilité liée à la traversée de chemins et à l'exécution de code à distance, puis la version 2.4.50 pour corriger le fait que le correctif était incomplet. Nous nous sommes donné pour mission de démontrer les risques dans un environnement réel. Essayez-le dès maintenant.

Micha Martinez est analyste en cybersécurité et directeur de la photographie chez Nelnet. Lorsqu'il a été chargé de créer un programme de formation pour les développeurs sur le codage sécurisé, il a adopté des moyens créatifs pour impliquer son équipe. Nous avons été tellement impressionnés par la façon dont il gère son programme de formation au code sécurisé que nous nous sommes entretenus avec lui pour en savoir plus.

Les attaques par injection, tristement célèbre roi des vulnérabilités (par catégorie), ont perdu la première place au profit d'une violation du contrôle d'accès, en tant que pire des pires, et les développeurs doivent en tenir compte.

Les développeurs font partie de ceux qui maîtrisent le mieux le code, en plus des configurations de sécurité et du contrôle d'accès. Leurs compétences en matière de sécurité doivent être renforcées, et pour atteindre les normes élevées définies par le NIST, une structure de cours pratique pourrait bien être le moyen le plus efficace d'y remédier, en particulier pour les grandes cohortes de développement.

Tout comme les logiciels Web, les API et les appareils mobiles, le code vulnérable des systèmes embarqués peut être exploité s'il est découvert dans la nature par un attaquant.

En tant que professionnel de la sécurité des applications, il est de votre devoir de garantir la cybersécurité des applications de votre organisation. Vous n'êtes toutefois pas responsable de l'écriture du code sur lequel l'application s'exécute. Les ingénieurs de l'équipe de développement sont. Alors, comment s'assurer qu'ils développent ces systèmes en tenant compte de la sécurité ?

Cet article donne un aperçu de la sécurisation des systèmes embarqués. Nous commencerons par une définition de base, puis aborderons les défis liés à la sécurité intégrée, certaines solutions typiques et les énigmes manquantes.

Dans cet article, nous comparerons la norme MISRA C 2012 avec la norme C2 et vous guiderons tout au long du processus de passage à la nouvelle norme. Nous expliquerons pourquoi la conformité de MISRA est nécessaire pour construire des systèmes embarqués sécurisés.

In this post, you will get an overview of embedded devices and embedded systems development.

Nous nous sommes entretenus avec Larry Maccherone de Contrast Security pour discuter de la manière dont l'apprentissage contextuel fonctionne avec succès pour former les développeurs au codage sécurisé. Lisez la suite pour découvrir comment les entreprises proposent des formations clés en matière de sécurité aux développeurs sans perturber leurs responsabilités et leur flux de travail quotidiens.

Nous avons récemment été très heureux de voir le premier article du Forbes Technology Council écrit par notre président-directeur général, Pieter Danhieux, être mis en ligne. L'article expliquait en quoi le renforcement des compétences des développeurs pour créer un code plus sécurisé est essentiel pour prévenir les cyberattaques et les violations de données.

La sécurité des API est un problème qui n'est pas loin de préoccuper la plupart des experts en sécurité, et nous devons nous doter des connaissances nécessaires pour le combattre.

Le récent décret sur la cybersécurité de l'administration Biden a certainement fait parler le secteur de la sécurité, en particulier ceux qui cherchent à convaincre les développeurs de l'importance d'appliquer les meilleures pratiques de codage sécurisé dans leur travail quotidien.

Nous avons récemment rencontré Dimitri Vanderhaeghe, ingénieur logiciel chez Selligent Marketing Cloud, une plateforme d'automatisation du marketing omnicanal hautement intégrée et alimentée par l'IA qui permet aux marketeurs B2C ambitieux de maximiser chaque moment d'interaction avec les consommateurs connectés d'aujourd'hui. Pour une entreprise technologique B2C dynamique, il est vital de se développer et de répondre aux demandes croissantes de son marché. Pour répondre à ces exigences, il faut notamment mettre l'accent sur la cybersécurité et, surtout, sur un programme de compétences en sécurité dirigé par les développeurs.

Qu'est-ce que c'est pour une statistique qui donne à réfléchir ? 60 % des PME font faillite dans les six mois suivant la réussite d'une cyberattaque. Les grandes entreprises font des hémorragies de millions (voire de milliards !) alors que la réputation de la marque s'efface. Alors que les organisations adoptent de plus en plus des pratiques de codage sécurisées, un « virage vers la gauche » est en train de se produire. Avec l'essor de DevSecOps, le code sécurisé est devenu une priorité dès le début du SDLC.

Discover more about the most loved features of Sensei.

Selon une étude d'IBM, il est trente fois plus coûteux de corriger les vulnérabilités après leur publication que de les détecter et de les corriger initialement. Dans cette optique, il n'est pas surprenant que les DSI tournés vers l'avenir mettent en œuvre des pratiques de codage sécurisées. Cela implique de former et d'équiper les développeurs pour qu'ils écrivent du code de manière plus sécurisée dès le départ, ce qui en fait la « première ligne de défense » de leur organisation.

Quels sont les impacts potentiels d'une formation au code sécurisé de qualité pour votre organisation, et serait-ce un investissement rentable ?

Dans notre monde hyperconnecté, presque toutes les organisations ont un talon d'Achille commun. Une seule vulnérabilité, une seule faille exploitable dans leur code, peut entraîner le vol de données clients, une atteinte à la réputation et des pertes financières importantes. L'alignement organisationnel autour du codage sécurisé n'a jamais été aussi impératif, mais y parvenir est plus facile à dire qu'à faire.

Le dernier décret du gouvernement fédéral américain aborde de nombreux aspects de la cybersécurité fonctionnelle, mais pour la première fois, il décrit spécifiquement l'impact des développeurs et la nécessité pour eux de disposer de compétences et de connaissances vérifiées en matière de sécurité.

À l'heure actuelle, seuls 15 % des développeurs pensent que les pratiques de code sécurisées devraient être la responsabilité de chacun. Dans un monde où les menaces à la sécurité augmentent, cela ne suffit tout simplement pas. Il faut faire quelque chose. Pour créer une culture AppSec saine, il est essentiel de comprendre les principales influences (et influenceurs !) en train de jouer.

Nous devons renforcer l'approche humaine des meilleures pratiques en matière de cybersécurité, et elle donnera de meilleurs résultats qu'une dépendance excessive à l'automatisation, aux outils et à la réaction à des problèmes déjà intégrés et découverts.

Le code non sécurisé coûte des millions aux entreprises. Alors, qu'est-ce qui les empêche d'adopter des pratiques de codage sécurisées ? Dans un monde qui repose sur les logiciels pour à peu près tout, il est essentiel de garantir la sécurité du code. La réputation de la marque et sa viabilité financière en dépendent. Cela dit, le codage sécurisé suscite de nombreuses préoccupations et de nombreux obstacles entravent son adoption complète et efficace. Plus que jamais, une nouvelle façon de travailler s'impose.

Ces dernières années, de nombreux aspects ont été sacrifiés sur l'autel de la rapidité de mise sur le marché, notamment la sécurité des réseaux, des téraoctets de données clients sensibles et la réputation inestimable des marques.

S'il y a quelque chose qui peut gâcher Noël dans le secteur de la cybersécurité, c'est bien une violation de données dévastatrice qui est en passe de devenir le plus grand événement de cyberespionnage jamais enregistré pour le gouvernement américain.

En matière de formation au code sécurisé pour les développeurs, les résultats pédagogiques laissent beaucoup à désirer. De nombreuses entreprises dépensent beaucoup, mais obtiennent des rendements minimes dans la pratique. Et ce n'est pas étonnant.

Alors que les violations de données et leurs coûts continuent d'augmenter, le volume de code produit dans le monde est trop important pour que les experts en sécurité puissent le gérer seuls. Les entreprises ont besoin de développeurs dotés de compétences de codage sécurisées, et les développeurs savent qu'ils ont besoin de ces compétences pour faire avancer leur carrière. Mais les formations actuelles en matière de code sécurisé les déçoivent. Que veulent donc les développeurs en matière de formation au code sécurisé ?

Ennuyeux, ennuyeux, ennuyeux ! C'est l'une des principales réponses que vous entendrez de la part des développeurs chaque fois qu'une formation au code sécurisé est mentionnée. Chez Secure Code Warrior, nous pensons qu'il doit y avoir une meilleure solution.

Les outils AppSec ne sont pas utilisés comme on aurait pu s'y attendre pour plusieurs raisons. Il s'agit moins des outils et de leurs fonctionnalités que de la manière dont ils s'intègrent à un programme de sécurité dans son ensemble.

En ce qui concerne l'apprentissage du codage sécurisé, quelles sont les principales motivations des développeurs et comment les exploiter pour concevoir et mettre en œuvre un programme de sécurité des applications efficace ?

Alors que le nombre de cybermenaces ne cesse de croître, les entreprises font des compromis quotidiens entre sécurité, praticité et rapidité, s'exposant ainsi à des risques.

Dans un monde où les cybermenaces ne cessent de se multiplier, vos codeurs intensifient-ils leurs efforts ? L'élément humain du codage sécurisé, le développeur le plus important, est-il prêt à jouer son rôle dans la sécurisation de notre monde connecté ? Pour répondre à cette question, examinons quelques informations tirées d'une étude récente sur l'attitude des développeurs à l'égard du codage sécurisé, des pratiques de code sécurisées et des opérations de sécurité, menée par Secure Code Warrior avec Evans Data Corp.

Les 10 mêmes vulnérabilités logicielles ont causé plus de failles de sécurité au cours des 20 dernières années que toutes les autres. Pourtant, de nombreuses entreprises optent toujours pour des mesures correctives après une violation ou un événement, tout en confondant les conséquences humaines et commerciales de tout cela. Mais aujourd'hui, une nouvelle étude indique une nouvelle direction, dirigée par l'homme.

C'est le 22e anniversaire de l'injection SQL, et bien que cette vulnérabilité soit assez ancienne pour être consommée, nous la laissons prendre le dessus sur nous au lieu de l'éliminer définitivement.

Discover the latest improvements to the user experience of Sensei, Secure Code Warrior's IntelliJ plugin and start writing quality code even faster.

Il est préférable d'aborder une relation fondée sur les bases fragiles de la méfiance avec de faibles attentes. Malheureusement, il peut s'agir de l'état de la relation de travail entre les développeurs et l'équipe AppSec au sein d'une organisation.