Viser l'or : La montée en puissance des normes de code sécurisé chez Paysafe

Paysafe aide à transformer les transactions financières en expériences ancrées dans la confiance, et sait que fournir une plate-forme sécurisée et transparente qui traite plus de 152 milliards de dollars en volume de transactions annualisées exige bien plus que le respect des normes de conformité de base. Au cours des quatre dernières années, Paysafe a continué à adopter une approche holistique de la gestion des risques pour les développeurs grâce à son partenariat avec Secure Code Warrior, son programme de sécurité des applications ayant un impact positif sur les besoins globaux de l'entreprise, notamment :    

‍
Le défi : élever les normes du code sécurisé dans l'ensemble de Paysafe

En tant que fournisseur multinational de paiements en ligne, Paysafe a toujours considéré le codage sécurisé comme une priorité stratégique qui va au-delà du simple respect des exigences de conformité PCI DSS. Bien que des sessions de formation formelles en salle de classe dirigées par des experts et des évaluations de compétences aient fait partie de leurs premiers efforts, l'objectif de Paysafe a toujours été d'étendre continuellement la portée et l'échelle de son initiative de codage sécurisé, en garantissant une approche de premier ordre de la sécurité des applications et en veillant à ce que les ingénieurs écrivent un code sécurisé dès le départ.

"Pour nous, il n'a jamais été question de simplement cocher une case indiquant que nous avons fourni une formation. Notre objectif est de tenir notre personnel au courant des développements en cours. Nous nous efforçons toujours d'être meilleurs et de faire plus. Nous voulons que les équipes d'ingénieurs et les équipes de sécurité collaborent. Les équipes qui peuvent se développer elles-mêmes sont mieux informées et conçoivent un meilleur code", a déclaré Boyan Hristov, partenaire en développement du personnel chez Paysafe.

La vision de Paysafe était de déplacer la sécurité vers la gauche, en développant des ingénieurs sensibilisés à la sécurité qui intègrent des pratiques de codage sécurisées à chaque étape du cycle de vie du développement logiciel. Pour ce faire, ils avaient besoin d'un programme évolutif, engageant et continu qui fournirait non seulement des preuves d'audit à des fins de conformité PCI, mais qui conduirait également à un changement culturel profond et durable. Ce programme comprenait des expériences d'apprentissage ludiques, des tournaments réguliers et une formation continue pour aider les développeurs à s'impliquer et les pousser à rester à la pointe des tendances en matière de sécurité dans l'industrie.

La solution : Une approche de pointe avec Secure Code Warrior

Paysafe a adopté la plateforme de gestion des risques pour les développeurs de Secure Code Warriorpour aider à mettre en place des pratiques de codage sécurisées, à impliquer les ingénieurs et à intégrer la sécurité plus tôt dans le cycle de vie du développement. Leur programme de champions de la sécurité s'est développé au fil du temps, Secure Code Warrior jouant un rôle essentiel dans la réalisation des objectifs de prévention des cyber-risques.

Paysafe a permis aux développeurs de s'engager organiquement avec la plateforme, en encourageant les activités ludiques comme les tournaments avec des prix alléchants pour impliquer les développeurs et les enthousiasmer. Lors du lancement initial du programme, certaines évaluations ont été rendues obligatoires pour répondre aux exigences de conformité PCI et d'autres contenus et activités ont été proposés en option.

Au fur et à mesure que le programme prenait de l'ampleur, la direction a apporté un soutien supplémentaire, en alignant davantage les objectifs des équipes de développement et d'infosécurité. Cela a permis à l'équipe de Paysafe de faire passer le programme au niveau supérieur et d'introduire des programmes de certification plus formels avec des indicateurs clés de performance et des incitations à la réussite. 

La phase suivante du programme s'est concentrée sur les thèmes du Top 10 de l'OWASP, avec des étapes de certification permettant aux développeurs de progresser à travers différents niveaux d'accomplissement. Aujourd'hui, le programme a atteint un nouveau niveau d'envergure et de maturité, élevant les normes de base pour les développeurs dans tous les domaines, des employés à temps plein aux travailleurs occasionnels.

‍"Nous apprécions grandement le partenariat que nous avons établi avec SCW au cours des quatre dernières années. Ensemble, nous avons pu dispenser une formation ciblée sur la sécurité des applications et favoriser des relations plus étroites entre nos équipes de sécurité et d'ingénierie, ancrées dans un engagement commun à développer un code sécurisé dès la première fois, et le plus tôt possible dans le SDLC", déclare Alan Osborne, directeur de la sécurité de l'information chez Paysafe.

Avec le soutien continu et l'alignement du CISO, du CTO et des leaders exécutifs de l'ingénierie, Paysafe s'est associé à Secure Code Warrior pour faire évoluer continuellement son programme. Aujourd'hui, le programme est étroitement aligné sur les besoins de l'entreprise, fournit des résultats tangibles et reste pertinent et engageant pour les équipes internes.

Résultats : Une nouvelle norme pour un code sécurisé dans l'ensemble de l'organisation

Les initiatives de Paysafe en matière de sécurité des applications se sont améliorées depuis le début de leur parcours il y a quatre ans. Grâce au partenariat avec Secure Code Warrior, Paysafe a démontré l'impact considérable qu'une approche holistique de la gestion des risques pour les développeurs peut avoir dans l'ensemble de l'organisation. 

L'analyse par Paysafe des données d'analyse SAST a montré que les applications développées par des équipes formées à Secure Code Warrior présentaient une réduction notable des vulnérabilités détectées lors des premières analyses de développement. Le nombre de vulnérabilités détectées lors de la première analyse a encore diminué dans les équipes où les développeurs étaient plus activement impliqués dans la plateforme SCW. 

L'équipe ayant le plus haut niveau d'activité et d'engagement dans Secure Code Warrior a vu une réduction significative, d'une année sur l'autre, des vulnérabilités trouvées au cours des premières phases de développement - soulignant la valeur ajoutée de la formation continue, basée sur les compétences, dans le renforcement des habitudes de codage sécurisé. La création d'un code sécurisé dès le départ a permis à leur équipe et à d'autres équipes tout au long du cycle de développement durable de gagner un temps considérable. Des milliers d'heures de développement ont été économisées en éliminant la nécessité d'identifier, d'enregistrer et de retravailler les vulnérabilités du code en les prévenant dès le début du développement. La productivité des développeurs s'en est trouvée améliorée de 45 %, ce qui a permis de démontrer les avantages de l'amélioration des compétences en matière de code sécurisé et du processus de développement quotidien. Les équipes d'ingénierie et d'AppSec sont gagnantes sur toute la ligne.

L'engagement de Paysafe en faveur d'un code sécurisé lui a permis de se démarquer et d'atteindre la quatrième place du SCW Trust ^Score® dans le domaine des services bancaires et financiers. Bien qu'il s'agisse d'une réalisation dont ils sont fiers, l'engagement de Paysafe envers les initiatives de code sécurisé ne s'arrête pas là. Encouragé par les résultats obtenus grâce au partenariat avec Secure Code Warrior, Paysafe cherche à améliorer encore le programme.

"Secure Code Warrior nous a permis d'accroître la productivité de nos développeurs, d'accélérer notre capacité à mettre sur le marché des produits et des améliorations, et de réduire considérablement les coûts et les risques au fil du temps", déclare Alan Osborne, directeur de la sécurité de l'information chez Paysafe. "Nous avons démontré que le codage sécurisé, grâce à une formation améliorée des développeurs, n'est pas seulement une bonne chose à avoir, mais un investissement éprouvé qui offre un réel retour sur investissement tout en renforçant les compétences, l'expérience et les capacités de nos développeurs.

Paysafe vise à rendre ses normes de sécurité plus opérationnelles en intégrant des mesures supplémentaires de gouvernance et de gestion des risques dans son processus. SCW Trust Agent renforce son partenariat de longue date avec Secure Code Warrior et démontre son engagement en faveur de l'excellence en matière de cybersécurité.