Aller au-delà de la conformité : Comment Secure Code Warrior a permis aux développeurs de Netskope de coder des solutions en nuage à grande échelle

Contexte

Netskope, leader mondial de la SASE, aide les organisations à appliquer les principes de confiance zéro et les innovations AI/ML pour protéger les données et se défendre contre les cybermenaces. Rapide et facile à utiliser, la plateforme Netskope offre un accès optimisé et une sécurité en temps réel pour les personnes, les appareils et les données, où qu'ils se trouvent. Netskope aide les clients à réduire les risques, à accélérer les performances et à obtenir une visibilité inégalée sur toute activité liée au cloud, au web et aux applications privées. Des milliers de clients font confiance à Netskope et à son puissant réseau NewEdge pour faire face à l'évolution des menaces, aux nouveaux risques, aux changements technologiques, aux changements organisationnels et de réseau, ainsi qu'aux nouvelles exigences réglementaires.

Situation

La vitesse d'innovation de l'informatique en nuage et de l'intelligence artificielle a considérablement accéléré le cycle de vie du développement logiciel. James Robinson, RSSI chez Netskope, a reconnu que la façon de former les développeurs en répondant aux objectifs de conformité avec des vidéos sur le développement sécurisé dans une poignée de langages seulement n'était pas viable sur le marché actuel. L'adoption rapide de ces langages et l'évolution rapide de son organisation ont créé un défi pour que les développeurs de Netskope restent au fait des nouveaux langages et des nouvelles technologies, mais aussi pour qu'ils restent compétents en matière de sécurité.

Netskope a tenté de créer davantage de connexions personnalisées afin d'élargir les langages et la couverture des développeurs, mais l'engagement restait très faible et la formation a rapidement commencé à nuire à la productivité. James souhaitait modifier son approche afin que les développeurs soient enthousiasmés par le sujet grâce à des approches d'apprentissage plus pratiques.

Action

Les formations annuelles ou ad hoc n'abordaient pas de manière globale la variété des outils SAST, l'infrastructure comme les scanners de code, et pouvaient être intégrées dans les étapes de sécurité CI et CD de Netskope. Netskope devait être en mesure d'intégrer la participation des développeurs à la sécurité dans le processus d'analyse et de test. Cela a permis d'établir une base pour la formation au développement sécurisé, en complément des exigences de conformité.

Déplacement vers la gauche

Lorsque Netskope a commencé à discuter du "glissement à gauche", la question s'est posée de savoir ce que ce glissement à gauche signifiait réellement. Jusqu'où faut-il aller ? La direction a pris la décision de changer le nom en interne pour parler d'"adoption en libre-service". En principe, cela a permis de donner aux développeurs les moyens d'être proactifs en matière de formation au code sécurisé. En travaillant avec Secure Code Warriorils ont mis en place un programme qui a rendu le contenu de la sécurité visible et accessible aux développeurs afin qu'ils ne s'égarent pas vers des solutions non validées.

Capacité d'action et valeur ajoutée

Le contenu personnalisable et la myriade d'activités d'apprentissage pratiques proposées par la conférence ont également ouvert la voie à des conversations plus ouvertes et productives entre les équipes de sécurité et de développement. Secure Code Warrior ont également ouvert la voie à des conversations plus ouvertes et plus productives entre les équipes de sécurité et de développement. Lorsque les développeurs ont commencé à comprendre la valeur de la formation, au-delà de la simple conformité, ils se sont davantage engagés et ont été intrigués par la sécurité. Cela a également permis d'examiner les vulnérabilités critiques et récurrentes afin de créer davantage de contenu éducatif pour compléter leur programme.

Résultats

Après avoir lancé son programme, Netskope s'est efforcé de recueillir les commentaires des développeurs pour s'assurer qu'ils tiraient le meilleur parti de la plateforme. Les résultats ont été extrêmement positifs.

Selon James Robinson, RSSI chez Netskope :

Notre équipe de développeurs, grâce en grande partie à la plateforme Secure Code Warrior, a réussi à passer à gauche en adoptant une approche d'apprentissage en libre-service plus attrayante qui met les parcours d'apprentissage entre les mains des développeurs plus rapidement. Plus important encore, nous avons le sentiment d'obtenir un meilleur retour sur investissement avec nos efforts de formation des développeurs en raison d'une plus grande participation et du fait que ces efforts ne sont plus perçus comme une activité à cocher, imposée par la conformité. Le résultat de tout cela est que nous permettons à nos développeurs de devenir des champions de la sécurité.

Principaux enseignements

• ‍Les organisationsqui n'investissent pas dans une solide équipe de sécurité des applications laissent leur code introduire davantage de risques . En fin de compte, elles perdent du temps et de l'argent à corriger les vulnérabilités et à résoudre les problèmes de sécurité.‍
• Profitez d'un programme qui vous permet de gagner du temps en vous contentant de quelques apprentissages clés chaque mois grâce à un contenu pertinent, plutôt qu'une formation annuelle d'une heure axée sur la conformité. Le temps gagné grâce à la formation des développeurs se traduira par une réduction des travaux nécessaires pour corriger des vulnérabilités qui n'auraient pas dû être introduites en premier lieu.‍
• Il existe un nouveau mandat pour coder des solutions en nuage à grande échelle. Il y a quelques années, on s'attendait à ce que les développeurs s'investissent pleinement dans la sécurisation du code à l'aide d'un seul langage de programmation. Ce n'est plus le cas aujourd'hui sur le marché de la haute technologie. Vous devez choisir plusieurs langages qui s'alignent le mieux sur l'infrastructure et les applications en nuage qu'une entreprise souhaite développer et poursuivre.