Passer d'une approche réactive à une approche proactive, avec un codage sécurisé piloté par l'homme

Les dix mêmes vulnérabilités logicielles ont été à l'origine de plus de violations de la sécurité au cours des vingt dernières années que n'importe quelles autres. Et pourtant, de nombreuses entreprises continuent d'opter pour des mesures correctives après la faille, après l'événement, en se débattant dans les ramifications humaines et commerciales de tout cela. Mais aujourd'hui, une nouvelle étude indique une nouvelle direction, guidée par l'homme.

‍Letexte qui suit présente les conclusions d'une étude menée par Secure Code Warrior en collaboration avec Evans Data Corp, intitulée "Shifting from reaction to prevention : The changing face of application security" (2021) explorant les attitudes des développeurs à l'égard du codage sécurisé, des pratiques de codage sécurisé et des opérations de sécurité. Téléchargez le livre blanc ici.

‍‍Dansl'étude qui sera bientôt publiée, les développeurs et les responsables du développement ont été interrogés sur les activités qu'ils associent au codage sécurisé. Les trois réponses les plus fréquentes sont les suivantes :

• Utilisation d'outils d'analyse sur les applications déployées.
• Examiner manuellement le code pour détecter les vulnérabilités.
• La pratique active et continue de l'écriture de logiciels protégés contre les vulnérabilités.
  ‍

Qu'est-ce que cela nous apprend ? Deux des trois premières réponses sont encore axées sur des approches réactives, la première dépendant de l'outillage (scanners) et la seconde du développeur (c'est-à-dire de l'homme) effectuant des vérifications manuelles - dans les deux cas après l' écriture du code. Les vulnérabilités détectées à l'aide de ces méthodes doivent être renvoyées à l'équipe de développement pour être retravaillées, ce qui a des répercussions sur les délais et les coûts du projet.

Dans le même temps, deux des trois activités proposées s'appuient sur l'élément humain, ce qui montre que la sécurité est de plus en plus perçue comme une question humaine. Mais de toutes les activités proposées, la plus révélatrice est la n° 3, qui identifie le facteur humain dans l'écriture de logiciels qui sont protégés contre les vulnérabilités en premier lieu. Cela met en évidence un changement vers la gauche - une approche proactive et préventive qui intègre la sécurité dans le logiciel dès le début du cycle de vie du développement du logiciel. 

Réactif peut être synonyme d'EXPENSIF

Selon une étude d'IBM*, il est trente fois plus coûteux de corriger les vulnérabilités d'un code après sa publication que si elles avaient été détectées et corrigées dès le départ. Il s'agit là d'une puissante incitation à adopter une nouvelle approche proactive et plus humaine de la défense de la sécurité des logiciels, qui permette aux développeurs de coder de manière plus sûre, dès le départ. 

C'est ce que l'on pourrait appeler une défense dirigée par l'homme. Mais pour que les développeurs commencent à se préoccuper de la sécurité, celle-ci doit faire partie de leur façon de penser et de coder au quotidien. Il s'agit d'un appel à de nouvelles approches de la formation qui soient hyper pertinentes par rapport au travail quotidien des développeurs et qui leur donnent envie d'apprendre - ce qui n'est pas le cas des modèles de formation actuels.

Pour créer une culture de sécurité proactive, de nouvelles formations sont nécessaires :

• fait du codage sécurisé une expérience positive et attrayante pour les développeurs qui améliorent leurs compétences en matière de sécurité des logiciels 
• encourage les développeurs à envisager leurs tâches quotidiennes de codage dans une optique de sécurité 
• intégrer le codage sécurisé dans leur flux de travail quotidien
  

Lorsque ces éléments sont réunis, les vulnérabilités sont évitées, ce qui permet aux équipes de livrer un code de qualité plus rapidement et en toute confiance. La bonne nouvelle, c'est qu'il existe déjà un site Learning Platform qui "commence à gauche" dans le processus de développement de logiciels - un site qui donne déjà aux développeurs les compétences et les outils nécessaires pour créer un code de qualité dès le départ.
‍‍

‍

‍

‍

*IBM Software Group ; Minimizing Code Defects to Improve Software Quality and Lower Development Costs (Minimiser les défauts de code pour améliorer la qualité des logiciels et réduire les coûts de développement)
https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html