Pourquoi nous ne devons jamais négliger le facteur humain dans la cybersécurité

Nous avons récemment été très heureux de voir le premier article du Forbes Technology Council rédigé par notre président-directeur général, Pieter Danhieux, mis en ligne. Cet article explique comment la prévention des cyberattaques et des atteintes à la protection des données passe par la formation des développeurs à la création de codes plus sûrs. De plus, il révèle comment ces mêmes développeurs sensibilisés à la sécurité peuvent contribuer à fournir un code de meilleure qualité et plus sûr, plus rapidement que ne le pensent de nombreux services informatiques. La nécessité de cette approche est certainement impérieuse. Une étude récente a révélé qu'une cyberattaque se produit désormais toutes les 39 secondes, et nous avons tous vu les perturbations causées par une seule attaque réussie de ransomware sur le Colonial Pipeline, qui dans l'ensemble n'était pas aussi destructrice que le piratage de SolarWinds. 

‍

De nombreuses vulnérabilités courantes subsistent parce que personne n'a jamais pris la peine de montrer aux développeurs comment remplacer les mauvais modèles de codage par une meilleure façon d'accomplir les mêmes fonctions, de manière plus sûre et plus sécurisée. L'impact de la correction d'un logiciel à un stade tardif de son développement est extrêmement coûteux, tant en termes d'heures passées que de retards dans le déploiement. La correction du code après son déploiement, en particulier après qu'un pirate a exploité une vulnérabilité non découverte auparavant, peut parfois coûter des millions de dollars. Et cela ne tient même pas compte des dommages causés à la réputation d'une entreprise à la suite d'une violation majeure.

Les développeurs formés à la sécurité deviennent naturellement de meilleurs codeurs. Il est certain que les RSSI ne devraient pas abandonner leurs outils de sécurité de sitôt, mais en menant une approche inclusive et préventive de la sécurité depuis le sommet, les RSSI peuvent tirer parti de la plus grande ressource de leur entreprise, le facteur humain, en particulier lorsqu'il s'agit de coder de manière sécurisée dès le début du cycle de vie du développement du logiciel.

Pour ce faire, voici les trois principales stratégies de haut niveau à garder à l'esprit.

1. Soyez proactif, pas réactif

Les entreprises tombent souvent dans le piège de la réactivité, par exemple en réagissant à ce que fait la concurrence au lieu de développer et de poursuivre une vision unique. Nombre d'entre elles adoptent également cette approche lorsqu'il s'agit des failles de sécurité dans le code, ne prenant la cybersécurité au sérieux que lorsqu'elles y sont contraintes à la suite d'une violation réussie. Malheureusement, à ce moment-là, le mal est fait, avec des amendes, des coûts de récupération, l'attrition de la clientèle et la restauration de la marque qui frappent le résultat net. Une autre forme de réaction au lieu d'action consiste à s'appuyer sur l'analyse automatique ou manuelle du code pour trouver les vulnérabilités dans le code existant au lieu de se concentrer sur la création d'un code sécurisé dès le départ. Malheureusement, l'analyse du code n'est pas une solution parfaite, ce qui signifie que plus il y a de vulnérabilités dans le code, plus il y a de chances que certaines d'entre elles se glissent dans le code. 

Ce n'est qu'en adoptant une approche proactive et en travaillant avec les développeurs pour les aider à créer un code sécurisé dès le départ que vous pourrez établir un cycle de développement logiciel qui réduira de manière significative la possibilité que des vulnérabilités de codage soient communiquées aux utilisateurs.

2. Améliorez vos compétences, n'en faites pas trop

Une fois que vous avez décidé de fournir aux développeurs les connaissances dont ils ont besoin pour créer un code sécurisé, choisissez judicieusement votre approche. Les ateliers de formation internes qui interrompent le codage frustrent les développeurs et les responsables. Les formations hors site ( courses ) qui nécessitent une présence le soir ou le week-end sont encore moins populaires. La meilleure approche consiste à développer progressivement les compétences en matière de codage, en fournissant des informations pertinentes étape par étape au cours du processus de codage - essentiellement pour améliorer les compétences sans distraire les développeurs de manière significative ni ralentir le processus de développement. 

3. Inciter, ne pas présumer

Les développeurs ne doivent pas considérer l'amélioration de la sécurité comme une punition ou une corvée. Les responsables doivent inspirer les développeurs en leur communiquant le rôle important que joue le code sécurisé dans la réussite de l'entreprise. Il est également important de faire comprendre que les codeurs sécurisés sont plus précieux pour l'entreprise et qu'ils bénéficieront d'un plus grand nombre d'opportunités de carrière à l'avenir.

L'administration Biden accueillie favorablement décret a mis l'accent sur la cybersécurité et sur la nécessité "d'inclure des critères pour évaluer les pratiques de sécurité des développeurs et des fournisseurs eux-mêmes, et d'identifier des outils ou des méthodes innovants pour démontrer la conformité avec les pratiques de sécurité". Mais si l'outillage est essentiel, il n'est pas suffisant. Aucun outil n'éliminera jamais complètement la capacité d'un individu à ignorer, à mal comprendre, à abuser ou à contourner les systèmes et les outils mis en place. Pour maximiser la sécurité de leur entreprise, les RSSI doivent tirer parti du facteur humain et encourager les développeurs à devenir des partisans et des praticiens de la sécurité.