La décennie des défenseurs : Secure Code Warrior Dixième anniversaire

Lorsque j'étais plus jeune, je jouais beaucoup à DOOM et, au début, j'ai dû basculer entre les différents niveaux de difficulté pour terminer mes deux premières parties du jeu. Ils allaient de "Je suis trop jeune pour mourir" (facile) à "Cauchemar" (très difficile). Il y a des jours où j'aimerais pouvoir simplement réinitialiser et changer le niveau de difficulté de la gestion d'une entreprise technologique, en particulier dans les premières phases, lorsque tant d'éléments sont délicats, précaires et susceptibles d'échouer.

Les statistiques sont bien connues et donnent à réfléchir: Les startups s'effondrent à un taux d'environ 90 %, ce qui est le cas depuis de nombreuses années, mais en creusant un peu, on constate que 21 % des startups échouent au cours de la première année, 30 % au bout de deux ans, 50 % au bout de cinq ans et 70 % au cours de la première décennie. 

Je suis fier que mes cofondateurs Matias Madou, Fatemah Beydoun, Colin Wong, Nathan Desmet et Jaap Karan Singh aient atteint le "niveau 10", grâce au soutien de nos investisseurs, Goldman Sachs, Cisco Investment, Paladin Capital, Forgepoint, Airtree et Tidal, ainsi que des membres indépendants de mon conseil d'administration, Jim Pflaging et Nanhi Singh.

L'équipe fondatrice est restée soudée, dirigeant le navire à travers chaque leçon, chaque triomphe et chaque revers pendant une décennie entière. Nous nous développons et sommes prêts à affronter notre prochain chapitre, SCW 2.0, en tant que leaders de la gestion des risques pour les développeurs.

2024 : L'année où nous avons mis sur le marché les premiers outils d'analyse des données du secteur.

Il est extrêmement difficile de démontrer le retour sur investissement de l'amélioration des compétences des personnes, mais en 2024, SCW a réussi à répondre à la demande de l'ensemble de l'industrie : "Pouvez-vous prouver que nos logiciels sont plus sûrs grâce à la formation continue de nos développeurs ? Nous avons recueilli des données sur les vulnérabilités et la résolution des problèmes auprès de certains de nos plus gros clients qui mettent en œuvre des programmes bien établis, et nous pouvons fièrement prouver - avec la validation de nos clients - que la réduction médiane des vulnérabilités était de 53 % pour le code créé par des développeurs sécurisés par rapport au code créé par d'autres. Nous avons également prouvé que les développeurs sécurisés peuvent résoudre les problèmes de sécurité deux à trois fois plus vite, ce qui permet de gagner du temps et de réduire l'exposition aux risques.

La première nouveauté est le SCW Trust Score, la seule capacité d'analyse comparative qui quantifie l'impact des programmes de codage sécurisé des entreprises. Pour la première fois, les responsables de la sécurité peuvent obtenir des informations granulaires, étayées par des données, sur les compétences de l'équipe de développement en matière de codage sécurisé et les comparer aux normes de l'industrie. C'est la visibilité impeccable que beaucoup attendaient pour apporter des ajustements critiques à leurs programmes, ainsi que pour fournir aux développeurs individuels des parcours d'apprentissage pour renforcer leurs compétences en matière de sécurité pour la vie. Nous avons même publié un document de recherche avec l'ancien directeur national américain de la cybernétique, Chris Inglis, et Kemba Walden, président du Paladin Global Institute et ancien directeur national américain de la cybernétique par intérim.

Plus tard, nous avons lancé SCW Trust Agent, une offre complémentaire qui offre une visibilité sur l'ensemble du référentiel de code d'une organisation, en analysant chaque livraison par rapport aux compétences de codage sécurisé des développeurs. SCW Trust Agent s'appuie sur SCW Trust Score pour démontrer l'efficacité de l'application du programme de sécurité de l'entreprise à chaque validation.

Ces outils aident les responsables de la sécurité des entreprises à atteindre des objectifs tels que les lignes directrices Secure-by-Design de la CISA, avec la vérification des compétences des développeurs en matière de sécurité, des validations sécurisées et, en fin de compte, l'éradication des catégories de vulnérabilités qui sont des éléments nécessaires des principes de conception sécurisée éprouvés. 

Bonjour, partenaire ! Notre réseau de partenaires ne cesse de s'agrandir, tout comme notre clientèle.

L'un des aspects les plus réconfortants du secteur de la cybersécurité est de comprendre que nous formons tous une grande communauté passionnée et geek et que, pour la plupart, nous sommes prêts à unir nos forces en vue non seulement d'un succès mutuel, mais aussi d'un monde numérique plus sûr pour tous.

Nous avons le privilège de compter parmi nos partenaires commerciaux un grand nombre d'entreprises spécialisées dans la sécurité et la technologie, et notre programme de partenariat nous aide à stimuler la croissance. Vers la fin de l'année 2024, nous avons annoncé notre deuxième partenariat OEM avec les leaders mondiaux de la gestion de l'information, OpenText. Ce développement, associé à notre partenaire OEM phare, Black Duck, nous offre une opportunité incroyable de fournir des solutions holistiques à grande échelle qui répondent aux besoins contemporains des entreprises et de leurs programmes de sécurité.

En outre, nous comptons aujourd'hui plus de 650 entreprises clientes. Après des débuts modestes il y a dix ans, au cours desquels je me souviens avoir offert à notre équipe de quatre personnes un déjeuner bon marché pour fêter notre premier gros client, nous nous sommes certainement taillé une place de choix parmi les clients qui n'ont pas peur d'aborder la sécurité préventive avec les développeurs en tant qu'agents du changement.

L'IA, l'ultime perturbateur, et l'avenir de la sécurité axée sur les développeurs.

L'intelligence artificielle, les LLM et les outils de codage de l'IA sont des mots à la mode sur les lèvres de tous les professionnels de l'informatique depuis plus de deux ans maintenant, et nous nous trouvons - en tant que société - à un moment décisif de notre histoire technologique. Le grand nombre d'outils d'IA dans presque toutes les catégories promet d'énormes gains de productivité, et dans le domaine du développement logiciel, une récente enquête de GitHub a révélé que la plupart des ingénieurs ont commencé à adopter des assistants de codage alimentés par l'IA. 

Ces outils font désormais partie du paysage du développement logiciel, même si seulement 38 % des organisations approuvent leur utilisation. Leur utilisation est inévitable et, plutôt que de créer une situation d'"IA fantôme", les responsables de la sécurité devraient s'efforcer d'amener les développeurs à coder de manière sûre et responsable. Les développeurs sensibilisés à la sécurité peuvent manier ces outils avec l'esprit critique et l'expertise en matière de sécurité nécessaires pour bénéficier réellement de l'augmentation de la productivité, sans ajouter au risque continu perpétué par les développeurs ayant de faibles compétences en matière de sécurité. 

2025 est l'année où vous continuerez à voir des progrès dans le codage de l'IA. Néanmoins, il se pourrait que nous ayons un ou deux atouts dans notre manche pour aider les entreprises à appliquer efficacement la gestion des risques liés aux développeurs dans ce domaine, et dans bien d'autres. Il vous faudra rester à l'écoute et voir où notre voyage nous mènera.