Révélation : Comment l'industrie du cyberespace définit la notion de "Secure by Design" (sécurité dès la conception)

Il est de plus en plus évident que les entreprises doivent intégrer les principes de la conception sécurisée dans leurs processus de développement de produits, non seulement pour des raisons de conformité, mais aussi parce qu'il s'agit d'une exigence commerciale essentielle. Ces lignes directrices permettent aux entreprises d'identifier et d'atténuer les failles exploitables dans leurs produits avant de les lancer sur le marché. Les produits construits conformément à ces principes par des organisations qui considèrent ces lignes directrices comme un pilier fondamental, plutôt que comme un simple ajout, ont tendance à rester en tête sur ce marché de plus en plus concurrentiel. 

Mais deux ans après la publication des lignes directrices Secure by Design de l'Agence pour la cybersécurité et la sécurité des infrastructures (CISA) du gouvernement des États-Unis, la mise en œuvre effective dans le monde réel reste un casse-tête pour l'ensemble du secteur. Nous savons tous que ces principes sont importants, mais comment les mettre en œuvre efficacement à grande échelle ?

Dans notre dernier livre blanc, nos cofondateurs, Pieter Danhieux et Matias Madou, Ph.D., ont rencontré plus de vingt responsables de la sécurité d'entreprise, notamment des RSSI, des responsables AppSec et des professionnels de la sécurité, afin d'identifier les principales pièces de ce puzzle et de découvrir la réalité qui se cache derrière le mouvement Secure by Design. Il s'agit d'une ambition partagée par les équipes de sécurité, mais il n'y a pas de manuel de jeu commun. 

Découvrez quelques-unes des principales conclusions :

• La plupart des praticiens de la sécurité et des chefs d'entreprise adhèrent à l'idée et à la valeur des initiatives "Secure by Design" ; toutefois, cette notion reste, d'une certaine manière, ouverte à l'interprétation, et il n'existe pas d'approche standard à l'échelle de l'industrie pour la mettre en œuvre.

• La modélisation des menaces n'est pas seulement un élément à cocher sur la liste de contrôle de la conformité - c'est une pratique essentielle et cohérente qui aide les développeurs soucieux de la sécurité et leurs homologues de l'AppSec à garder une longueur d'avance sur les risques avant qu'ils ne se transforment en exploits. 

• L'épée à double tranchant qu'est l'IA - L'IA est à la fois une percée et un risque de sécurité puissant qui élargit considérablement la surface d'attaque. Sa croissance explosive introduit des risques en évolution rapide que les développeurs non qualifiés et les équipes AppSec manquant de ressources ont souvent du mal à atténuer.

Le problème n'est pas un manque de compréhension de l'importance de l'application des principes de la conception sécurisée (Secure by Design) - au contraire, le besoin de logiciels sécurisés est devenu un besoin fondamental et une attente de base. Ce qui manque, c'est une stratégie coordonnée et évolutive pour intégrer ces principes tout au long du cycle de développement des logiciels. 

Nous semblons également manquer de repères clairs ou de résultats mesurables pour déterminer les déploiements réussis. Sans cela, les équipes ne savent pas si leurs efforts ont vraiment un impact. Pour l'instant, nous semblons avoir un front uni, mais pas de stratégie commune. 

La sécurité dès la conception est essentielle et inévitable, et pas seulement pour les secteurs où la conformité est élevée. Les développeurs doivent également être responsabilisés, et non accablés. Lorsqu'ils disposent des compétences, des outils et du soutien appropriés, ils deviennent non seulement des constructeurs, mais aussi des défenseurs, intégrant la sécurité là où elle compte le plus : à la source. 

Téléchargez maintenant et découvrez comment votre équipe peut s'appuyer sur de puissantes stratégies de gestion des risques pour les développeurs et sur des mesures précises pour mener à bien une initiative Secure by Design unifiée au sein de l'entreprise.