Comment la formation au code sécurisé soutient la transformation numérique dans les services financiers

Les institutions de services financiers sont confrontées à une série de défis qui dépendent de leur capacité à utiliser la technologie de manière efficace et performante dans un monde financier en évolution rapide.

Les organisations opèrent dans une période de changements rapides — tant en interne que dans l'ensemble du secteur — au sein d'un environnement commercial hautement concurrentiel basé sur le cloud. Dans la poursuite de leurs transformations numériques en cours, par exemple, les organisations s'efforcent de contourner lesfreins organisationnelsqui entravent les investissements dans les nouvelles technologies, telles que l'intelligence artificielle, qui pourraient accélérer les processus de paiement et d'autres procédures.

La nécessité de rester en conformité avec une multitude d'exigences réglementaires est, bien entendu, toujours présente à l'esprit. Cela va des exigences de la loi Sarbanes-Oxley sur la gestion des dossiers financiers et des règles de la norme PCI DSS (Payment Card Industry Data Security Standard) sur la protection des données des titulaires de carte, aux protections des informations personnelles contenues dans le California Consumer Privacy Act (CCPA) et le Règlement général sur la protection des données (RGPD) de l'UE.

Les amendes et autres coûts liés à la non-conformité peuvent rapidement s'accumuler. Le rapport d'IBMCost of a Data Breach Report 2023a révélé que les coûts moyens pour les organisations présentant un « niveau élevé de non-conformité » s'élevaient à 5,05 millions de dollars, soit plus d'un demi-million de dollars de plus que le coût moyen d'une violation de données réelle.

Et en parlant de violations de données, les cyberattaques continuent d'être un fléau pour les institutions financières, qui constituent le deuxième secteur le plus ciblé par les cyberattaques. Les attaques par ransomware ont augmenté de façon spectaculaire, passant de 34 % en 2021 à 55 % en 2022, pour atteindre 64 % en 2023, selon le rapport de SophosState of Ransomware in Financial Services2023. Le nombre de compromissions de données (y compris les violations et les expositions de données privées) dans le secteur américain des services financiers est passé de 138 en 2020 à 744 en 2023, selonStatista.

Tout échec dans ces domaines — qu'il s'agisse de l'efficacité interne, de la conformité ou de la sécurité — menace la réputation d'une organisation et, par extension, la fidélité des clients, qui est l'élément vital des services financiers. Pour rester compétitives et prospères, les organisations doivent instaurer la confiance auprès de leurs clients, et cela commence par s'assurer que leurs logiciels, systèmes et processus sont efficaces et performants. Au cœur de tout cela se trouve le code logiciel sécurisé.

Les développeurs subissent une pression croissante pour créer, mettre à jour et déployer des applications et des services plus rapidement que jamais. Cela signifie développer et travailler avec davantage de code logiciel, qu'il soit écrit par les développeurs internes eux-mêmes, produit par l'IA, extrait de dépôts open-source ou fourni par des tiers.

La qualité et la sécurité de ce code sont primordiales pour garantir des opérations efficaces, mais c'est un domaine où les organisations sont trop souvent en deçà. Et à mesure que le volume de code augmente, le nombre d'erreurs, de failles et de vulnérabilités ne fera qu'augmenter s'il n'est pas corrigé tôt dans le cycle de vie du développement logiciel (SDLC).

Les organisations doivent adopter une approche « shift left » pour créer un code plus sécurisé et corriger les erreurs dès le début. Une formation agile aux meilleures pratiques de codage sécurisé peut fournir les bases d'applications sécurisées et fiables, ce qui non seulement réduit les risques pour l'organisation, mais contribue également à favoriser la réussite commerciale.

TENDANCE 1 : OUTILS DE DÉVELOPPEMENT IA

L'innovation avec l'IA dépend d'un code sécurisé

L'intelligence artificielle, et tout particulièrement l'IA générative, s'impose rapidement dans le commerce, l'éducation et la vie quotidienne. Parmi les innombrables applications de l'IA générative, la rédaction de code s'est révélée être une fonction notable. Si cela s'est avéré globalement bénéfique, cela soulève également une question étroitement liée à l'utilisation de l'IA : la sécurité. En tant qu'adoptants précoces de nouvelles technologies, les institutions financières doivent trouver un équilibre entre gains de productivité et utilisation sécurisée et responsable de l'IA.

À ce jour, l'IA a été principalement utilisée pour assister le développement de code, plutôt que pour automatiser le processus de remédiation, et son impact a été majoritairement positif. Les répondants à uneenquête menée par GitHub, qui a révélé que plus de neuf développeurs sur dix basés aux États-Unis utilisaient des outils de codage par IA, ont indiqué que les avantages incluaient des gains de productivité (53 %), la liberté pour les développeurs de se concentrer sur des tâches créatives plutôt que répétitives (51 %) et la prévention de l'épuisement professionnel (41 %).

Les grandes banques et autres organisations de services financiers sont plus susceptibles que celles d'autres secteurs d'adopter l'IA précocement. Après tout, les institutions financières sont essentiellement des entreprises technologiques, car elles disposent des fonds nécessaires pour investir dans les nouvelles technologies à grande échelle et sont toujours à la recherche d'un avantage concurrentiel.

Bien que certains craignent que l'IA ne remplace les travailleurs humains, la technologie fonctionne en réalité mieux lorsqu'elle est associée à ses homologues humains. Mais les développeurs ont besoin de plus qu'une simple approche de conformité minimale pour apprendre à l'utiliser. Ils ont besoin d'uneformation précisepour véritablement maîtriser les meilleures pratiques de sécurité dans des contextes réels, afin qu'ils puissent non seulement écrire eux-mêmes du code sécurisé, mais aussi superviser efficacement le travail de leurs assistants IA.

Par exemple, un exercice dela formation de SCWinvite un modèle LLM à modifier le contenu d'un véritable extrait de code afin d'en changer la fonction. L'IA répond en produisant un bloc de code, mais celui-ci est vulnérable aux attaques par script intersite (XSS). La formation garantit que le développeur est capable de reconnaître cette vulnérabilité.

L'IA et les développeurs peuvent travailler ensemble de manière très productive, mais seulement si les développeurs sont suffisamment formés pour garantir que l'IA génère du code sécurisé.

Les erreurs de codage de l'IA peuvent se propager rapidement

Pour apprendre à écrire du code, un modèle d'IA ingère des milliers d'exemples de programmation, tout comme un autre modèle ingère des milliers d'exemples de prose ou de poésie avant de pouvoir rédiger une histoire ou un poème pour un utilisateur. Mais rien ne garantit que le modèle d'IA ne s'appuie pas sur un exemple contenant des erreurs. Comme les modèles d'IA ne sont pas transparents sur leurs processus, les erreurs n'apparaissent qu'après coup. Et l'IA répétera ces erreurs jusqu'à ce qu'elles soient corrigées.

Uneétude menée par des chercheurs en IAa révélé que le code généré par l'IA avait introduit des failles importantes, notamment des vulnérabilités de type script intersite (XSS), une sensibilité aux attaques par injection de code et de nouvelles vulnérabilités spécifiques au code généré par l'IA, telles que celles associées à l'injection de requêtes (prompt injection). Si les outils d'IA étaient utilisés sans contrôle pour écrire du code, du code malveillant pourrait se propager rapidement, aboutissant à un monde où les logiciels, qui présentent déjàde nombreuses vulnérabilités, seraient plus précaires que jamais.

Il est impératif que les développeurs humains et les modèles d'IA collaborent au développement du code, en veillant au respect des meilleures pratiques de codage sécurisé, permettant ainsi aux institutions financières de bénéficier d'une rapidité et d'une efficacité accrues tout en limitant les risques qui, sans intervention humaine, pourraient s'avérer catastrophiques.

Les institutions financières peuvent montrer la voie en matière de développement sécurisé

La croissance rapide de l'IA, en particulier celle utilisant des grands modèles de langage (LLM) comme ChatGPT et les nombreuses autres implémentations d'IA générative capables de créer leur propre contenu, a connu quelques faux pas. Les modèles d'IA ont généré des erreurs, des résultats biaisés etdes hallucinations d'IA, ce qui a entraîné des appels croissants à une réglementation. La Maison Blanche, par exemple, a publié undécret présidentielsur le développement et l'utilisation de l'IA. Elle a également proposé uneCharte des droits de l'IAdestinée à aider à protéger le public contre les risques liés à l'IA. Toutefois, toute initiative gouvernementale reposera sur la coopération et la collaboration avec les entreprises technologiques qui développent l'IA, dont beaucoup se sont engagées àrespecter des normes éthiques.

Le secteur des services financiers est également susceptible de mettre en œuvre des contrôles internes rigoureux. Les organisations sont peut-être toujours à la recherche d'un avantage concurrentiel, mais elles savent que la sécurité de leurs informations — qu'il s'agisse de données internes ou de celles de leurs clients — est primordiale. Elles doivent également s'assurer de satisfaire aux exigences réglementaires, telles que celles de l'Office of the Comptroller of the Currency (OCC) aux États-Unis ou de la Banque centrale européenne (BCE) pour les opérations européennes.

En tant qu'adoptants précoces de l'IA, les banques et les institutions financières seront intéressées par les capacités de l'IA à améliorer l'efficacité, en parrainant des pôles d'innovation et d'autres initiatives pour explorer ses possibilités. Mais les organisations ont aussi besoin de contrôles pour garantir la sécurité. L'adoption précoce comporte toujours des risques inhérents, et à mesure que l'utilisation de l'IA se généralise, les risques et les avantages doivent être équilibrés. Les organisations, par exemple, gagneraient à effectuer une analyse SWOT (forces, faiblesses, opportunités, menaces) dès les premières étapes de l'utilisation de l'IA.

Une utilisation efficace de l'IA commence par un code sécurisé

La capacité du secteur financier à utiliser efficacement l'IA dépendra de la sécurité, et cela repose sur la garantie que le code créé par l'IA est sécurisé dès le départ. Les organisations doivent s'assurer de disposer d'ingénieurs hautement qualifiés qui superviseront étroitement l'écriture du code par l'IA, identifieront les erreurs et les corrigeront rapidement. S'associer à des entreprises qui proposent des formations basées sur l'agilité et d'autres services garantissant la sécurité et la conformité est un bon premier pas vers l'établissement d'une posture de sécurité solide.

Le paysage des risques évolue continuellement, en particulier au sein du cycle de développement logiciel. Et en tant qu'adoptants précoces de l'IA, les institutions financières doivent agir en tant que leaders dans l'utilisation sécurisée et responsable de l'IA. Certaines institutions financières sont suffisamment grandes pour influencer les politiques gouvernementales. En prenant des mesures pour garantir un code sécurisé en permettant aux modèles d'IA et aux développeurs de travailler ensemble, les institutions peuvent établir des meilleures pratiques que d'autres secteurs pourront suivre.

Integrations

You can learn more from SCW’s whitepaper explaining the role AI can play in code writing and why it’s essential that developers are thoroughly trained in recognizing secure coding patterns and the vulnerabilities that result from unsecure code.

Download Whitepaper

‍TENDANCE 2 : RENFORCEMENT DE LA RÉGLEMENTATION

Le code est au cœur de la conformité réglementaire

Un moteur important pour la mise en œuvre de pratiques de codage sécurisé est la nécessité pour les institutions financières d'assurer leur conformité aux réglementations régissant leurs activités. Les institutions sont soumises à un éventail de réglementations applicables, qui varient en fonction du type de transactions qu'elles traitent.

Par exemple,PCI DSS 4.0, la version la plus récente de la norme de sécurité des données de l'industrie des cartes de paiement, est un standard mondial conçu pour protéger les données et les transactions liées aux cartes bancaires. Destinée à prévenir la fraude et les utilisations abusives, elle s'applique à toute organisation qui stocke, traite ou transmet des données de titulaires de cartes. Bien qu'il ne s'agisse pas d'une loi, cette norme est appliquée par le biais de contrats et contribue à prévenir les violations de données, lesquelles constituent des infractions à d'autres réglementations telles que le RGPD.

Une autre réglementation, leDigital Operational Resilience Act(DORA), est un cadre contraignant de gestion des risques de l'UE pour le secteur des services financiers, couvrant à la fois les institutions financières et leurs prestataires tiers. DORA établit des normes techniques visant à unifier les pratiques de gestion des risques au sein de l'UE, créant ainsi un standard universel.

LaSociety for Worldwide Interbank Financial Telecommunication, connue sous le nom de Swift, est une coopérative qui a défini la norme pour les transferts de fonds dans le secteur financier mondial. Le programme de sécurité des clients (CSP) de Swift a développé leCustomer Security Controls Framework(CSCF), qui est mis à jour chaque année. Les plus de 11 000 membres de Swift répartis dans plus de 200 pays utilisent le CSCF pour planifier leurs propres contrôles de sécurité et attester de leur niveau de conformité.

Le point commun de ces réglementations est qu'elles tentent d'établir des normes élevées pour la protection des données et des transactions dans le secteur des services financiers. La conformité ne protège pas seulement les données et l'argent des clients, elle aide également les institutions à se prémunir contre les conséquences d'une sécurité inadéquate, qui peuvent inclure des amendes et des pénalités pour non-conformité, une atteinte à la réputation et une perte de confiance des investisseurs en cas de violation.

Les développeurs doivent suivre l'évolution du paysage réglementaire

Le développement sécurisé constitue une base solide pour les organisations cherchant à répondre aux attentes des réglementations applicables et aux exigences de l'Office of the Comptroller of the Currency (OCC) aux États-Unis ou de la Banque centrale européenne (BCE) en Europe. L'un des moteurs fondamentaux de l'adoption de la plateforme de Secure Code Warrior, ou de celle d'un autre fournisseur, est d'enseigner aux développeurs le codage sécurisé dans un environnement pratique et engageant.

Ce type de formation fait toute la différence face à des exigences réglementaires parfois complexes, d'autant plus qu'elles ne sont pas statiques. Les réglementations évoluent constamment, ajoutant de nouvelles exigences souvent plus sophistiquées. Selon l'exigence, une réglementation peut ne pas changer radicalement au cours d'une année donnée, mais les organisations doivent s'attendre à des changements significatifs au moins tous les deux ans.

Par exemple, la norme PCI DSS 4.0, obligatoire depuis le 1er avril 2024, met à jour la norme PCI DSS 3.2.1 (publiée en 2022) de plusieurs manières significatives. Elle met en œuvre une approche personnalisée qui offre aux organisations plus de flexibilité pour répondre aux exigences, en se concentrant davantage sur les résultats que sur des procédures de simple vérification. Mais elle ajoute également de nouvelles exigences concernant les contrôles d'authentification, la longueur des mots de passe et les comptes partagés, pour ne citer que quelques-unes des nombreuses mises à jour. Elle exige également que les organisations définissent clairement les rôles et responsabilités pour répondre à chaque exigence.

Il est important de noter que la version 4.0 exige également que les développeurs travaillant sur des logiciels sur mesure et personnalisés soient formés au moins une fois tous les 12 mois à la sécurité logicielle, y compris aux techniques de conception et de codage sécurisés et, si des outils de test sont utilisés, à la manière d'utiliser ces outils pour détecter les vulnérabilités. Elle stipule également que chaque vulnérabilité identifiée lors des tests d'intrusion doit être corrigée, quelle que soit sa gravité, et que les équipes doivent effectuer un second test d'intrusion pour confirmer la réussite des correctifs.

Bien que les changements soient généralement progressifs, les réglementations sont également dictées par les événements : une violation majeure peut entraîner des changements soudains et étendus. La violation de 87 millions de comptes JPMorgan Chase au milieu des années 1990, par exemple, a secoué le paysage réglementaire, les régulateurs ayant relevé les attentes vis-à-vis de la communauté des développeurs et des techniciens, et exigeant que les banques fournissent la preuve des mesures prises et de la manière dont elles appliquaient les leçons tirées de cette violation.

La conformité repose sur la qualité du code sous-jacent

La qualité du code utilisé pour répondre à ces exigences a un impact significatif sur les performances des nouvelles fonctions et peut entrer en jeu lorsque les entreprises remplissent le long et détaillé rapport de conformité PCI DSS, requis chaque année. À mesure que les réglementations deviennent plus complexes, l'impact du codage sécurisé devient proportionnellement plus important, faisant une différence substantielle dans la réduction des risques et l'augmentation du contrôle sur les logiciels d'une organisation.

La conformité est essentielle pour les institutions financières en raison de l'importance d'établir une relation de confiance avec les clients. Le codage sécurisé peut également contribuer à améliorer l'expérience client, car tout dépend d'une interaction fluide avec des logiciels fiables, ce qui aide à fidéliser la clientèle.

Le code utilisé pour créer de nouvelles applications et services a un impact sur l'ensemble de l'entreprise. Il est essentiel pour accroître l'efficacité, gérer les migrations vers le cloud et permettre d'autres fonctionnalités dans un environnement commercial en évolution rapide. Mais le code doit impérativement être sécurisé et répondre aux exigences de conformité pour que l'entreprise puisse réussir.

Integrations

Read the no-nonsense guide to getting your development team on board with PCI DSS compliance, including how security professionals and development managers can work together to build powerful security programs.

Read Guide

TENDANCE 3 : APPRENTISSAGE AGILE

La formation agile et les équipes hybrides humain-IA garantissent un code sécurisé

La prolifération des modèles d'IA a ravivé la crainte que l'intelligence artificielle ne supprime de nombreux emplois. Si les travailleurs de certains secteurs ont des raisons de s'inquiéter — de la comptabilité au service client, en passant par les clercs de notaire et les créateurs de contenu — les développeurs de logiciels sont plus enclins à accueillir l'IA comme un assistant utile qui ne prendra pas leur place, mais qui les déchargera de tâches chronophages ou répétitives, comme l'écriture de code.

L'écriture de code, en réalité, ne représente qu'une partie du travail d'un développeur. Dans leRapport mondial DevSecOps 2023de GitLab, la plupart des développeurs ont déclaré consacrer environ un quart de leur temps à l'écriture de code. Le reste est réparti entre d'autres tâches, telles que l'amélioration du code (17 %), les tests (11 %) et la participation à des réunions ou l'exécution d'autres tâches administratives (également 17 %).

L'amélioration du code est un aspect du métier qui prendra probablement plus d'importance à mesure que les modèles d'IA généreront du code. L'IA apporte rapidité et efficacité à la création de code, mais ce code ne peut pas être entièrement fiable. Il existe d'innombrables exemples d'erreurs, de biais et de vulnérabilités générés par les modèles d'IA. Les développeurs compétents en sécurité doivent être étroitement impliqués dans la vérification du code généré par l'IA afin de corriger les vulnérabilités et de s'assurer que leurs logiciels respectent les normes de développement.

Les développeurs ont besoin d'une formation agile et pratique

Pour les développeurs eux-mêmes, travailler avec du code généré par l'IA exige d'affiner leurs compétences existantes — et d'en acquérir de nouvelles — concernant les meilleures pratiques de sécurité et la capacité à repérer les modèles de codage médiocres. Des développeurs correctement formés seront capables de détecter les erreurs d'un modèle d'IA avant le déploiement et d'optimiser les avantages de l'IA pour accélérer le développement.

Les compétences requises sont toutefois complexes et ne peuvent être apprises ou renforcées par de simples méthodes de formation statiques et standardisées. Les développeurs ne sont pas connus pour avoir du temps libre au travail ; ils sont plus que jamais sous pression pour développer et déployer du code rapidement. Ils doivent pouvoir monter en compétences d'une manière adaptée à leur travail quotidien.

Les organisations doivent proposer aux développeurs un programme complet deformation basée sur l'agilitéqui adopte une approche pratique du codage sécurisé et dont il a été démontré qu'elle réduit considérablement le nombre de vulnérabilités dans les logiciels.

La formation agile peut être adaptée aux langages de programmation que les développeurs rencontrent, du vieux COBOL, toujours utilisé, aux nouveaux outils avancés écrits en Google Go. Elle peut être conçue pour fournir un contenu de pointe dans des formats adaptés aux méthodes d'apprentissage préférées des développeurs — visuelles, auditives, verbales ou directement pratiques — et dispensée à un rythme qui convient le mieux aux développeurs individuels et à leurs emplois du temps.

La formation peut également être personnalisée en fonction des rôles et des besoins spécifiques des employés. Une plateforme peut utiliser une boucle de rétroaction pour améliorer le contenu et identifier les lacunes d'un développeur dans un domaine précis, afin que le contenu soit automatiquement ciblé pour combler ces lacunes.

Et au lieu de dispenser une formation à la sécurité sous forme de cours magistraux longs et rébarbatifs, les programmes d'apprentissage tels que ceux utilisés par Secure Code Warrior offrent une formation optimale et personnalisée en la décomposant en micro-modules interactifs qui impliquent les développeurs dans le contexte de problèmes réels. Le micro-apprentissage est également entièrement accessible aux employés dès qu'ils en ont besoin.

Une approche agile donne des résultats

La formation basée sur l'agilité s'est avérée efficace pour réduire les erreurs de codage. Selondes recherchesSelon Secure Code Warrior, les développeurs retravaillent déjà environ 26 % de leur code avant sa mise en production. Cela représente environ 13,5 heures par semaine et par développeur (soit près de 700 heures par an) consacrées à la résorption de la dette technique. Ce temps passé à corriger le code nuit à la productivité et ralentit les cycles de développement.

Toutes ces erreurs ne sont pas détectées, 67 % des développeurs admettant avoir déjà mis en production du code contenant des vulnérabilités. Les entreprises utilisent également du code provenant d'autres sources, telles que l'IA, les dépôts open source et des tiers. Si ces sources augmentent la productivité à une époque où les besoins en volume de code sont sans précédent, elles accroissent aussi le risque de vulnérabilités et d'erreurs dans la base de code.

Une formation agile peut aider à inverser cette tendance. Elle renforce la première ligne de défense en permettant aux développeurs de mieux repérer les failles, qu'elles soient issues de leur propre travail, de l'IA ou de tiers. Dans le cadre de ses recherches, Secure Code Warrior a analysé les données de 75 000 développeurs (environ 30 % de sa base) et a constaté que ceux ayant suivi sa formation agile introduisaient 53 % de vulnérabilités en moins que leurs pairs. En appliquant ces compétences à la vérification du code généré par l'IA, les développeurs peuvent corriger plus rapidement les erreurs de leur partenaire artificiel avant toute mise en production.

Grâce à la formation agile de Secure Code Warrior, les développeurs de Workday, fournisseur d'applications cloud de gestion financière, RH et du cycle de vie étudiant/faculté, ont clairement compris les objectifs de la formation et ont rapidement appris à identifier et à traiter les problèmes au sein de leur base de code et de leur cycle de vie logiciel.

L'expérience de Workday illustre parfaitement l'efficacité d'une formation agile et pratique. Avant son partenariat avec Secure Code Warrior, Workday constatait le désintérêt de ses développeurs pour les formations à la sécurité basées sur des diaporamas. L'ensemble de la communauté des développeurs a en revanche très bien accueilli la formation de Secure Code Warrior, adaptée à leurs besoins et à leurs préférences d'apprentissage. Les résultats parlent d'eux-mêmes : une équipe à Dublin est passée de 4 662 problèmes de sécurité par an à zéro en seulement 18 mois.

Dans un paysage de menaces marqué par des attaques de plus en plus sophistiquées, les entreprises de services financiers doivent tout mettre en œuvre pour garantir la sécurité de leurs données et de leurs applications. Créer un code sécurisé dès le début du cycle de vie du développement logiciel (SDLC) est un pilier fondamental de la sécurité. Des développeurs formés aux méthodes agiles peuvent grandement contribuer à assurer la sécurité des logiciels tout en réduisant les risques globaux pour leur entreprise.

Integrations

Learn how Workday focused on creating secure agile learning that drove developer engagement and helped achieve their goals of improving Workday’s overall security posture.

Learn More

TENDANCE 4 : CROISSANCE DES APPLICATIONS ET API TIERCES

La responsabilité en matière de sécurité s'applique aussi aux applications tierces

Dans l'environnement commercial hyperconnecté d'aujourd'hui, aucune entreprise n'opère en vase clos. Les institutions financières nouent des partenariats pour fournir certains services, utilisent des applications tierces pour leurs communications et transactions quotidiennes, et font souvent appel à des prestataires externes pour écrire du code. Les développeurs internes utilisent également des dépôts de logiciels open source et, de plus en plus, du code généré par l'IA pour développer leurs applications.

Quelle que soit la source du logiciel, les utilisateurs des services financiers s'attendent à ce que chaque application utilisée offre le même niveau élevé de sécurité. Lors de toute transaction ou échange d'informations, l'entreprise hôte reste responsable des données du client. De plus, les régulateurs ne permettent pas à une institution de se dédouaner de sa non-conformité en rejetant la faute sur un tiers.

Comment une institution financière peut-elle garantir la sécurité et la fiabilité de chaque application ? Cela commence par un code sécurisé et par l'acquisition, pour les développeurs, des compétences nécessaires pour créer des logiciels sûrs dès le début du processus de développement, tout en sachant identifier les lacunes du code tiers utilisé.

Rendre la formation accessible aux équipes de prestataires

Les entreprises auraient tout intérêt à mettre en place un programme de formation agile et pratique pour enseigner le code sécurisé à leurs développeurs. Les résultats sont probants : les développeurs formés au codage sécurisé produisent un code comportant 53 % de vulnérabilités en moins que les autres. Ils sont également plus aptes à détecter les erreurs de codage dans les solutions tierces.

Même si les développeurs internes sont formés à l'écriture de code sécurisé, les failles potentielles du code tiers doivent être traitées. De nombreuses équipes de développement sont composées à la fois d'employés à temps plein et de prestataires, en particulier au sein de grandes institutions réparties sur de nombreux sites, qu'ils soient principaux, secondaires ou tertiaires.

Il y a une vingtaine d'années, le secteur a massivement externalisé le développement logiciel pour répondre à la demande croissante en nouvelles applications. Cette tendance a duré cinq à dix ans avant de s'inverser, mais les équipes mixtes d'employés et de prestataires subsistent sur certains sites d'institutions financières. Avec le développement continu d'un grand nombre d'applications, une partie d'entre elles sera inévitablement externalisée.

Cependant, que le code soit développé en interne ou par des tiers, les attentes des clients et des régulateurs demeurent. Tout le code logiciel utilisé par une entreprise doit répondre aux mêmes normes, ce qui implique que tous les développeurs doivent posséder le même niveau de compétence.

Les entreprises peuvent avoir des limites contractuelles concernant l'exigence de formation pour les prestataires, mais il est essentiel de leur rendre cette formation accessible. Certaines sociétés financières ont créé leurs propres programmes, à l'instar de Capital One, qui a lancé sonTech Collegeen 2016. D'autres banques et entreprises financières, comme Synchrony Bank et North American Bancard, adoptent l'idée d'unapprentissage continupour accroître le niveau de talent dont elles disposent.

Il est possible que les entreprises adoptent une approche de « permis de coder », exigeant certaines certifications avant d'autoriser les développeurs à accéder à des systèmes spécifiques.

Face à la pénurie persistante de compétences informatiques, les entreprises ont choisi de privilégier la montée en compétences de leurs employés actuels plutôt que de se disputer les talents sur un marché sous-approvisionné. La formation profite à la fois aux employés, qui peuvent faire progresser leur carrière, et à l'entreprise, qui bénéficie de collaborateurs possédant les compétences dont elle a besoin. Les programmes de formation peuvent également améliorer la rétention en enrichissant l'expérience collaborateur.

L'apprentissage continu est essentiel dans le contexte actuel. Le paysage de la cybersécurité évolue sans cesse et devient de plus en plus sophistiqué. De plus, les exigences des régulateurs changent chaque année, complexifiant le maintien de la conformité. Le non-respect de ces exigences peut entraîner des amendes, d'autres coûts et une atteinte à la réputation qui affectent matériellement l'entreprise.

La clé est d'impliquer les développeurs

Les entreprises délaissent la formation à la conformité, perçue comme une contrainte administrative annuelle, au profit d'une formation continue conçue pour accroître l'engagement des développeurs et des autres employés envers la sécurité. La clé réside dans une plateforme agile qui fournit aux employés la formation dont ils ont besoin, au moment où ils en ont besoin, et dans un format adapté à leur environnement de travail.

Par exemple, l'éditeur de solutions logicielles basé au Royaume-UniSage, qui a adopté la plateforme de Secure Code Warrior, propose une formation trimestrielle ciblée sur les technologies utilisées par les développeurs à ce moment-là.

La formation est autant que possible personnalisée et adaptée aux méthodes de travail des développeurs, a expliqué Mads Howard, spécialiste de la sécurité chez Sage, lors d'un récentwebinaireavec SCW. Sage encourage également une communication bidirectionnelle via une boucle de rétroaction. La formation se concentre davantage sur l'engagement que sur la simple conformité, avec des tournois régulièrement organisés et des efforts pour associer le programme de formation à d'autres initiatives d'entreprise visant à accroître l'implication des employés dans les enjeux de sécurité.

Résultat : au cours de l'année écoulée, Sage a constaté une réduction de 82 % du temps moyen nécessaire pour corriger les problèmes logiciels, a précisé Howard. L'entreprise a également observé un niveau d'engagement plus élevé de la part de ses employés.

Le codage fait partie intégrante de la construction d'une culture de sécurité, a souligné Howard, l'objectif ultime étant d'instaurer la confiance avec les clients. Une culture de sécurité repose sur les attitudes, les perceptions et les croyances des individus, et implique l'ensemble de l'entreprise, y compris la direction. Un programme flexible de formation au code sécurisé, dispensant des modules ciblés sous forme de micro-apprentissages faciles à consommer, peut constituer un élément essentiel de cette culture.

Integrations

Discover how Sage implemented best practices in building a secure code learning program, learn the do's and don'ts of a secure code learning program, and see the business and financial impacts including productivity gained and time saved.

Discover

‍TENDANCE 5 : FOCUS ACCRU SUR LE ROI À TRAVERS LES ÉQUIPES ET LES FOURNISSEURS

Comment le codage sécurisé favorise directement le retour sur investissement

Le secteur des services financiers couvre un large éventail de domaines, allant de la banque et de la gestion financière aux services de cartes de crédit et de paiement numérique. Même l'assurance entre souvent dans cette catégorie. Les entreprises de chaque secteur font face à des exigences de conformité différentes, bien que souvent imbriquées, selon les transactions qu'elles traitent et leur statut d'entreprise nationale ou multinationale.

Mais quel que soit le domaine d'activité, les considérations économiques influencent les stratégies commerciales. Les marchés boursiers se portent bien, mais ils ne sont pas toujours révélateurs du succès futur. Parallèlement, une certaine inquiétude règne dans le secteur financier quant à la possibilité d'une récession et d'autres défis critiques.

En conséquence, de nombreuses organisations serrent la ceinture, recherchent une plus grande efficacité et soulignent l'importance d'obtenir un bon retour sur investissement (ROI) pour toute nouvelle dépense. L'investissement dans l'apprentissage du code sécurisé est un moyen d'augmenter ce ROI. Dans le cycle de vie du développement logiciel (SDLC), là où l'ingénierie et la sécurité se rencontrent, s'assurer de créer un code sécurisé dès le début du processus et corriger les failles le plus tôt possible apportera des gains clairs et quantifiables à l'entreprise.

Le coût élevé des logiciels non sécurisés

Les données sont au cœur de toute institution de services financiers, et le coût de leur traitement par des logiciels inefficaces et non sécurisés peut grimper rapidement. Unedes recherchesde Secure Code Warrior a révélé que les problèmes de qualité logicielle ont coûté aux entreprises américaines un total de 2 410 milliards de dollars en 2022. Ces coûts pèsent également sur les développeurs, qui consacrent de plus en plus de temps à la maintenance et à la correction de la dette technique. Les développeurs y consacrent actuellement environ un tiers de leur temps, un chiffre qui devrait atteindre 40 % d'ici 2025.

Une formation agile aux pratiques de codage sécurisé peut réduire considérablement ces chiffres négatifs. Il a été démontré que les développeurs formés par Secure Code Warrior introduisent 53 % de vulnérabilités en moins que leurs collègues n'ayant pas suivi cette formation, et que les délais de remédiation sont réduits de moitié. Une grande banque internationale a constaté une réduction de 50 % des vulnérabilités grâce à la formation SCW, ce qui a pratiquement éliminé les failles d'injection SQL et de Cross-Site Scripting (XSS).

Les avantages d'une formation agile au code sécurisé sont également bien plus importants lorsqu'une organisation adopte une approche « shift-left ». Le coût de la dette technique, par exemple, est divisé par deux lorsqu'il est traité pendant la phase de test, mais il est réduit 14 fois plus s'il est pris en compte dès la phase de codage.

Exemple concret : comment Envestnet a mobilisé ses développeurs

L'impact du codage sécurisé peut se traduire par des gains mesurables en termes de retour sur investissement. Dansun exemple, la grande entreprise de technologie financière Envestnet a souhaité aller au-delà de sa formation passive à la sécurité et à la conformité, jugée trop théorique, qui se concentrait principalement sur les dix principaux risques des applications web selon l'Open Worldwide Application Security Project (OWASP).

Envestnet a adopté une stratégie « shift-left » axée sur l'écriture de code sécurisé et la résolution précoce des problèmes dans le cycle de vie du développement logiciel (SDLC), mais devait d'abord remédier au manque d'engagement des développeurs envers la formation existante. Avec SCW, ils ont mis en place un programme pratique à quatre niveaux, basé sur des scénarios réels, et ont décerné des certificats aux développeurs pour chaque niveau atteint, améliorant ainsi non seulement la sécurité des applications, mais aussi le développement de carrière des équipes.

Les deux premiers niveaux étaient axés sur la sensibilisation à la sécurité, tandis que les niveaux trois et quatre permettaient de reconnaître les champions de la sécurité. Le programme de formation comprenait des tournois, ce qui a également renforcé l'engagement des développeurs. Entre les deux premiers tournois, espacés d'environ six mois, la participation a doublé.

Résultats : les développeurs formés par SCW ont corrigé 2,7 fois plus de vulnérabilités que leurs pairs, et ont augmenté leurs taux de remédiation de 120 %. Les développeurs formés par SCW ont également clôturé les problèmes de vulnérabilité à un taux de 4,5 par développeur, contre 1,82 par développeur pour leurs pairs n'ayant pas bénéficié de cette formation.

Adopter une approche précoce améliore les résultats financiers

Les programmes de codage sécurisé agile peuvent être adaptés à chaque entreprise, en fonction du type de services financiers fournis, de la taille de leurs systèmes et de leurs exigences spécifiques.

Les entreprises doivent maintenir leur conformité, par exemple avec la norme PCI DSS (Payment Card Industry Data Security Standard), l'ASVS (Application Security Verification Standard) de l'OWASP ou d'autres exigences. Elles doivent également s'assurer qu'elles écrivent en permanence un code sécurisé. Mais elles ont besoin de plus qu'une simple formation « coche-case », qui ne suffit pas à enseigner les méthodes de codage sécurisé ni à atteindre les niveaux d'efficacité supérieurs qu'apportent des développeurs hautement qualifiés et sensibilisés à la sécurité.

Une formation pratique qui soutient une stratégie d'introduction précoce du code sécurisé dans le SDLC et son maintien tout au long du cycle de vie du produit réduira les risques et accélérera la mise sur le marché, augmentant inévitablement le retour sur investissement. À mesure que les systèmes, les processus et même les cyberattaques deviennent plus sophistiqués, le codage sécurisé devient indispensable. Il a le pouvoir de faire une différence cruciale non seulement en matière de sécurité, mais aussi pour la rentabilité de toute organisation.

Integrations

Explore how Envestnet adopted an agile secure code learning platform and tripled developer effectiveness in vulnerability reduction.

Explore

CONCLUSION

Le codage sécurisé renforce la sécurité et la productivité tout en instaurant la confiance

Les institutions de services financiers manipulent des actifs très précieux, à savoir l'argent des clients et des informations personnelles hautement sensibles, mais, d'une certaine manière, la chose la plus précieuse qu'une organisation puisse posséder est la confiance. Elle est essentielle pour attirer et fidéliser les clients. Et comme tant de transactions financières sont traitées numériquement, cette fiabilité et la sécurité des logiciels dépendent de la qualité du code source.

Dans des environnements cloud hybrides complexes, les institutions financières doivent adopter une approche « shift left » en intégrant la sécurité dès le début du cycle de vie du développement logiciel (SDLC). Cela implique de former les développeurs à l'écriture de code sécurisé et de leur donner les moyens d'identifier les vulnérabilités dans le code généré par IA ou provenant de tiers.

Il s'agit d'un changement culturel pour de nombreuses entreprises, où les développeurs ont l'habitude de travailler à un rythme effréné pour déployer de nouvelles applications et services afin de répondre à une demande croissante. La clé est d'instaurer une culture de la sécurité au sein de l'entreprise et d'impliquer les développeurs grâce à une formation agile et pratique au code sécurisé. Les avantages de cette approche sont évidents.

Favoriser un changement culturel gagnant-gagnant

Les recherches de Secure Code Warrioront révélé que les développeurs formés aux pratiques de codage sécurisé avec SCW produisent 53 % de vulnérabilités en moins que ceux n'ayant pas suivi cette formation, ce qui représente une économie considérable de temps et d'argent.

Les développeurs consacrent actuellement environ un tiers de leur temps à retravailler le code logiciel, et 67 % d'entre eux admettent avoir mis en production du code dont ils connaissaient les vulnérabilités. Grâce à l'apprentissage agile, les clients de SCW ont constaté une multiplication par 2 ou 3 de la réduction des risques et de la productivité des développeurs.

Plus une organisation intègre la sécurité tôt dans le cycle SDLC, plus les économies sont importantes. Les coûts peuvent être réduits de moitié s'ils sont traités lors de la phase de test, mais ils peuvent être divisés par 14 s'ils sont pris en compte dès la phase de codage.

Une plateforme de formation agile profite à la fois à l'entreprise et aux développeurs. Ces derniers peuvent faire progresser leur carrière en acquérant de nouvelles compétences, et l'entreprise en bénéficie, car les développeurs qualifiés sont plus enclins à rester dans une société qui propose une formation efficace et une expérience professionnelle plus valorisante.

Par ailleurs, 92 % des développeurs déclarent vouloir davantage de formation. Mais il doit s'agir du bon type de formation. Les formations de conformité traditionnelles, basées sur des manuels ou des diaporamas, suscitent souvent le désintérêt et ne sont suivies que par obligation. À l'inverse, une plateforme agile comme celle de SCW a prouvé sa capacité à mobiliser les développeurs. La formation peut être adaptée à leurs projets en cours et aux langages de programmation qu'ils utilisent. De plus, proposer des modules courts et ciblés, traitant de problèmes réels auxquels les développeurs sont confrontés, augmente la valeur de la formation et le niveau d'engagement.

La formation au code sécurisé peut être la pierre angulaire d'un changement culturel vers une organisation axée sur la sécurité, renforçant ainsi la cybersécurité, les performances et, in fine, la rentabilité d'une institution de services financiers.