Saviez-vous que 67 % des développeurs admettent avoir livré du code contenant des vulnérabilités ? Imaginez une équipe d'ouvriers du bâtiment chargée de construire une maison. Ils disposent de tous les matériaux et outils nécessaires, mais ils ont du mal à suivre les plans et les codes de construction. Par conséquent, ils commettent des erreurs et la maison n'est pas construite conformément au code.

Cette analogie peut être utilisée pour illustrer les défis auxquels les développeurs sont confrontés lorsqu'ils tentent de pratiquer un codage sécurisé. Tout comme les ouvriers du bâtiment doivent suivre des plans et des codes de construction pour s'assurer que leurs maisons sont sûres, les développeurs doivent suivre des pratiques de codage sécurisé pour s'assurer que leurs applications logicielles sont sûres.

Il existe un certain nombre de raisons pour lesquelles le codage sécurisé peut s'avérer difficile. En voici quelques-unes :

• Un manque de sensibilisation aux pratiques de codage sécurisé. 86 % des développeurs déclarent qu'il leur est difficile de pratiquer le codage sécurisé.‍
• Le manque de temps et de ressources. 24 % des personnes interrogées dans le cadre de notre enquête ont déclaré que le "manque de temps" était le principal obstacle à l'intégration de codes sécurisés.‍
• La complexité du codage sécurisé. 63 % des développeurs estiment qu'il est difficile d'écrire un code sécurisé exempt de vulnérabilités.‍
• Dépendance excessive à l'égard des outils. 57 % des équipes de sécurité des applications utilisent six outils ou plus pour découvrir les vulnérabilités au cours du cycle de vie DevSecOps.(GitLab, 2023)

Cependant, malgré les défis, le codage sécurisé est essentiel. En suivant des pratiques de codage sécurisé, les développeurs peuvent contribuer à protéger leurs applications contre les vulnérabilités susceptibles d'être exploitées par les attaquants. Tout comme une maison bien construite est moins susceptible de s'effondrer, une application bien codée est moins susceptible d'être piratée.

Voici quelques conseils pour les développeurs qui souhaitent améliorer leurs pratiques de codage sécurisé :

• Suivez une formation sur le codage sécurisé. Il existe un certain nombre de ressources disponibles pour aider les développeurs à se familiariser avec les pratiques de codage sécurisé.
• Utilisez des outils d'analyse statique pour identifier les vulnérabilités du code. Les outils d'analyse statique peuvent aider à identifier les vulnérabilités dans le code qui peuvent être difficiles à trouver manuellement.
• Écrivez un code facile à réviser et à comprendre. Un code facile à réviser et à comprendre a plus de chances d'être un code sûr.
• Testez le code de manière approfondie. Tester le code permet d'identifier et de corriger les vulnérabilités avant qu'elles ne soient exploitées.

Vous souhaitez en savoir plus ? Découvrez les secrets de l'élaboration d'une stratégie de codage sécurisé agile grâce à notre plan d'apprentissage du code sécurisé. 

‍

‍

‍

‍

Dans le domaine dynamique du développement de logiciels, l'agilité n'est pas seulement un mot à la mode, c'est une nécessité. Conscients de l'évolution constante du paysage, les développeurs doivent adopter un état d'esprit d'apprentissage continu afin d'optimiser le temps moyen de remédiation (MTTR). L'apprentissage agile implique la capacité à s'adapter rapidement aux nouvelles technologies, méthodologies et techniques de résolution de problèmes en matière de codage sécurisé. Dans ce blog, nous verrons comment l'apprentissage agile peut devenir un facteur essentiel de réduction du MTTR et d'amélioration de l'efficacité globale du développement.

Difficultés rencontrées par les développeurs pour réduire le temps moyen de remise en état (MTTR)

Le délai moyen d'exploitation des vulnérabilités en 2023 est de 44 jours, mais 75 % des vulnérabilités ont été exploitées dans les 19 jours suivant leur publication. Cela devrait servir de signal d'alarme pour adopter une attitude proactive en matière de gestion des correctifs, de veille sur les menaces et d'éducation des développeurs.

Les développeurs sont confrontés à toute une série de difficultés pour identifier et résoudre les problèmes en raison du réseau complexe d'outils et de systèmes, des lacunes en matière de communication et du manque de compétences pour s'attaquer à un problème qui nécessite une attention immédiate. Vous trouverez ci-dessous quelques-uns des défis auxquels les développeurs sont confrontés lorsqu'ils remédient à une vulnérabilité. 

Complexité des systèmes et manque d'automatisation :

• Les applications modernes sont souvent composées de microservices, d'API et de diverses intégrations tierces. Identifier la cause première d'un problème dans des systèmes aussi complexes peut s'avérer difficile et chronophage. Les processus manuels de détection, d'analyse et de résolution des problèmes peuvent prendre beaucoup de temps. Le manque d'automatisation peut entraver la vitesse à laquelle les développeurs peuvent répondre aux incidents.

Visibilité et communication limitées :

• Les développeurs rencontrent de nombreuses difficultés pour obtenir des informations en temps réel sur le comportement et les performances des systèmes. Cela peut les empêcher d'identifier et de résoudre rapidement les problèmes.
• Une communication efficace est cruciale pour la résolution des problèmes. Des canaux de communication cloisonnés et un manque de collaboration entre les équipes de développement, d'exploitation et autres peuvent entraîner des retards dans la résolution des problèmes.

Manque de compétences nécessaires pour remédier rapidement à un problème :

• Sans une bonne compréhension des pratiques de codage sécurisé, les développeurs peuvent avoir du mal à appliquer des correctifs efficaces, introduire involontairement de nouvelles failles et négliger des contrôles de sécurité essentiels. Ce manque de compréhension peut entraver la collaboration avec les experts en sécurité et conduire à des correctifs incomplets ou inefficaces, augmentant ainsi le risque de menaces de sécurité dans la base de code. 

L'avantage de l'apprentissage agile 

Les apprenants agiles sont capables d'acquérir de nouvelles compétences. À mesure que les technologies évoluent et que les systèmes deviennent plus complexes, les développeurs doivent garder une longueur d'avance. En investissant dans un site continu ( Plateforme D'apprentissage ), vous permettrez à votre équipe d'acquérir les dernières techniques de dépannage et de débogage.

1. Résolution adaptative des problèmes

Les apprenants agiles s'épanouissent dans des environnements où la résolution des problèmes est un processus itératif. En favorisant une culture qui encourage l'expérimentation et l'apprentissage à partir des échecs, les équipes de développement peuvent améliorer leur capacité à résoudre rapidement des problèmes complexes.

2. Collaboration interfonctionnelle

L'apprentissage agile va de pair avec la collaboration interfonctionnelle. Les développeurs, les responsables de la sécurité et les autres équipes doivent non seulement partager leurs connaissances, mais aussi apprendre collectivement de leurs expériences respectives. Cet état d'esprit collaboratif accélère la résolution des problèmes en tirant parti d'un large éventail de compétences et de perspectives.

3. Intégrer l'apprentissage dans le flux de travail du développeur : 

Mettez en œuvre des sprints d'apprentissage courts et ciblés dans le cadre du cycle de développement. Ces sprints peuvent être consacrés à l'exploration de nouvelles technologies, de nouveaux outils ou de nouvelles méthodologies de résolution de problèmes. En consacrant du temps à l'apprentissage continu, les équipes peuvent développer de manière proactive les compétences nécessaires pour relever les nouveaux défis.

4. Multiplier les champions de la sécurité :

Encouragez une culture de la sécurité au sein de l'équipe, avec des développeurs expérimentés en tête. Ils peuvent guider les membres moins expérimentés de l'équipe, en partageant leurs connaissances et en fournissant des informations précieuses. Ce mentorat permet non seulement d'accélérer la courbe d'apprentissage, mais aussi de créer davantage de champions de la sécurité. 

En gardant ces principes fondamentaux à l'esprit, les clients de Secure Code Warrior ont constaté des gains significatifs dans l'amélioration du temps moyen de remédiation. Ce délai peut être mesuré en jours, un client ayant constaté une réduction de 150 jours. Il peut également être mesuré en temps de réparation. Par exemple, découvrez comment Sage a réduit le temps de correction d'une équipe de 82 % grâce à Secure Code Warrior. 

Conclusion 

Lorsqu'il s'agit d'optimiser le MTTR, l'apprentissage agile pour le code sécurisé apparaît comme un catalyseur pour l'amélioration continue de la résolution des vulnérabilités persistantes. En instaurant une culture qui valorise l'adaptabilité, encourage l'apprentissage continu et facilite la collaboration interfonctionnelle, les équipes de développement peuvent non seulement relever les défis posés par le paysage logiciel en constante évolution, mais aussi les dépasser. Alors que nous naviguons dans la complexité des systèmes logiciels, laissez l'apprentissage agile être la boussole qui guide les développeurs vers une résolution plus rapide des problèmes et un succès durable.

‍

Il y a un peu plus de neuf ans, j'ai eu plusieurs conversations avec des amis, des membres de ma famille, d'anciens collègues et des investisseurs potentiels au sujet de mon intention de créer une entreprise. Tous m'ont soutenu, certains sont devenus les anges dont nous avions besoin pour nous lancer dans l'aventure, et d'autres, enfin, ont joué le rôle de la voix de la raison, citant des statistiques qui donnent à réfléchir, telles que 90 % des start-ups finissent par échouer, une sur cinq succombant à la casse au cours des deux premières années. 

Le chemin parcouru jusqu'à présent n'a pas été sans obstacles, ni vents contraires économiques imprévisibles, ni risques significatifs, mais vraiment, avec mon cofondateur Matias et une équipe incroyable à mes côtés, je pense que nous pouvons résister à presque toutes les balles courbes que l'on nous lance. 

Aujourd'hui, nous fêtons notre neuvième anniversaire, et je reste immensément fier et reconnaissant de nos réalisations et de la place durable que nous occupons dans le domaine de la cybersécurité, alors que la scène continue d'évoluer rapidement. 

‍

Nouveaux clients, nouvelles opportunités

Il n'est pas facile de se développer dans ce climat économique, mais nous continuons à trouver des moyens d'améliorer la vitesse et l'efficacité, et d'offrir plus de valeur à notre base de clients en expansion. Bien que nous ayons ajouté une pléthore de logos de niveau 1 à notre liste de clients en 2023, le véritable avantage a été de constater leur volonté d'essayer de nouvelles approches pour le développement de logiciels sécurisés, même dans des environnements hérités où cela peut être beaucoup plus difficile à mettre en œuvre. 

Ces grands acteurs du secteur peuvent jouer un rôle déterminant dans la conduite du changement que nous devons observer si nous voulons assister à une transformation des résultats en matière de sécurité. 

Et en 2023, nous avons été ravis d'observer :

>> une croissance de 100 % pour nos Devlympics annuels de codage sécurisé tournament. Retenez la date et inscrivez votre intérêt pour nos 2024 tournament, qui débuteront le 15 octobre !

>> Plus de 400 000 développeurs utilisant Secure Code Warrior Plateforme D'apprentissage .

>> Des données analysées à partir de 30 % de notre base d'utilisateurs - près de 75 000 personnes - révélant que les développeurs qui apprennent et appliquent des pratiques de codage sécurisé avec Secure Code Warrior introduisent 53 % de vulnérabilités en moins dans leur organisation que leurs homologues. Génial !

L'IA fait la une des journaux et des conseils d'administration, mais nous sommes prêts

Le battage médiatique autour de l'IA, de l'apprentissage automatique et de la technologie des grands modèles de langage (LLM) était inéluctable l'année dernière et, en l'espace de douze mois seulement, un assaut d'outils de codage et de sécurité de l'IA a commencé à changer la façon dont de nombreux développeurs abordent l'écriture du code.

Les technologies émergentes qui parviennent à capter l'esprit du temps et à exiger une adoption massive sont incroyablement puissantes, et les outils de codage assistés par l'IA sont là pour rester. Toutefois, comme nous l'avons longuement évoqué, ces technologies ont plutôt creusé le fossé entre le développement de logiciels sécurisés et l'efficacité. Les développeurs compétents en matière de sécurité sont plus demandés que jamais, car les organisations sont confrontées à la nécessité d'équilibrer la vitesse avec la connaissance du contexte et la détection des vulnérabilités, ces dernières étant mieux réalisées sous la supervision d'un humain expérimenté. D'une certaine manière, c'est l'avenir de la programmation en binôme, et les outils eux-mêmes présentent une nouvelle frontière unique dans la création de logiciels.

Vous pouvez jouer à un défi interactif pour constater par vous-même l'impact des outils d'IA/LLM sur la sécurité, et voir l'immense opportunité qu'il y a à mettre l'accent sur la montée en compétence des développeurs en matière de sécurité, et ce le plus tôt possible. Et nous sommes prêts à nous associer aux organisations qui recherchent la rapidité et l'efficacité avec la sécurité au premier plan.

Aux côtés des responsables de la cybersécurité pour obtenir des résultats positifs en matière de sécurité, à l'initiative des développeurs

Pendant neuf années entières, nous avons défendu l'idée que les ingénieurs en logiciel sont le cœur battant d'un programme de sécurité, et alors que nous entamons une décennie dans cet espace, 2024 s'annonce comme une année révolutionnaire dans notre histoire.

La feuille de route de notre produit regorge de nouvelles fonctionnalités étonnantes que nous sommes impatients de partager avec vous, et je sais que les responsables de la sécurité seront particulièrement intéressés par ce que nous pouvons les aider à réaliser avec leur cohorte de développement. 

Restez à l'écoute et merci de nous accompagner.

Une version de cet article a été publiée dans Forbes. Il a été mis à jour et publié ici.


‍Leplan stratégique pour la cybersécurité propose des changements majeurs dans la manière dont la plupart des organisations abordent la cybersécurité, et les développeurs sont dans une position unique pour aider à atteindre ces nouveaux objectifs.

‍

L'Agence pour la cybersécurité et la sécurité des infrastructures(CISA) a non seulement joué un rôle déterminant dans la protection des infrastructures critiques et des réseaux informatiques des États-Unis depuis sa création en 2018, mais son influence et son expertise se sont également répercutées à l'échelle mondiale. Les conseils exhaustifs de l'agence, ses avis de sécurité, ses rapports sur les vulnérabilités et ses programmes de cybersécurité ont établi une référence mondiale pour les meilleures pratiques exploitables, soulignant l'importance du plan stratégique CISA 2023-2025 récemment publié dans le domaine de la cybersécurité mondiale.

L'influence et les réalisations de la CISA sont allées bien au-delà de ce que la plupart des agences gouvernementales ont pu accomplir, surtout si l'on considère qu'elle n'existe que depuis quelques années. Cela s'explique en grande partie par la croissance exponentielle du paysage des menaces et par le fait que les attaquants deviennent de plus en plus habiles dans leurs tentatives d'intrusion et d'exploitation. La CISA joue un rôle de premier plan dans la lutte contre les cybercriminels et autres acteurs dits "menaçants", en suivant méthodiquement les tendances et en prodiguant des conseils sur les meilleures pratiques en matière de cybersécurité.

Toutefois, malgré tous les conseils et orientations utiles de l'agence, celle-ci n'a jamais publié de plan stratégique global destiné à définir l'orientation générale des efforts en matière de cybersécurité au cours des prochaines années. Il ne s'agit pas d'un plan comme les autres , mais d' une étape importante que de nombreuses organisations voudront étudier et, à terme, mettre en œuvre. Le fait que le plan appelle à des changements majeurs dans la manière d'aborder la cybersécurité pourrait rendre difficile le suivi de ces orientations, bien que la communauté des développeurs soit dans une position unique pour aider si elle bénéficie du soutien, des outils et des parcours de montée en compétences adéquats.

Les meilleures pratiques mondiales en matière de cybersécurité sont en train de changer

À première vue, il serait facile de percevoir un certain niveau de frustration dans le plan stratégique de la CISA, mais la CISA reconnaît simplement le fait que si nous continuons à faire les mêmes choses qu'aujourd'hui, nous continuerons à voir les mêmes résultats. Pour que la cybersécurité s'améliore, il faudra des changements majeurs dans tous les domaines, y compris de la part des entreprises qui fabriquent les logiciels et les applications utilisés aujourd'hui.

Pointer du doigt les logiciels, du moins en partie, est un concept qui a été introduit précédemment. En fait, la stratégie de sécurité nationale des États-Unis indique spécifiquement que "la mauvaise sécurité des logiciels augmente considérablement le risque systémique dans l'ensemble de l'écosystème numérique". Le plan stratégique de la CISA définit une nouvelle stratégie pour aborder et résoudre ce problème.

Le changement le plus important en matière de cybersécurité préconisé par la CISA consiste à inciter les concepteurs de logiciels à livrer des produits sécurisés. Si les meilleures pratiques en matière de codage sécurisé sont établies et mises en place, il y aura beaucoup moins de vulnérabilités, en particulier des vulnérabilités majeures, cachées dans les logiciels pour que les attaquants puissent les exploiter. Il est vrai qu'un élément ici ou là pourrait encore être négligé et qu'il faudra faire preuve de diligence pour le trouver et le corriger, mais il s'agit d'une proposition gérable par rapport au statu quo actuel : des centaines de vulnérabilités détectées chaque jour, qui surchargent les défenseurs de la cybersécurité. La CISA indique très clairement dans son plan que les concepteurs de logiciels et d'autres technologies doivent être responsables de la sécurité de leurs propres produits.

"En tant que société, nous ne pouvons plus accepter un modèle dans lequel chaque produit technologique est vulnérable dès sa sortie et où la charge de la sécurité repose sur les organisations et les utilisateurs individuels", indique le plan stratégique de la CISA. "Les technologies doivent être conçues, développées et testées de manière à minimiser le nombre de failles exploitables avant d'être mises sur le marché.

Le plan poursuit en suggérant qu'à terme, cette nouvelle approche pourrait être plus que suggestive, affirmant que la CISA utilisera "tous les leviers disponibles pour influencer les décisions des dirigeants d'organisations en matière de risques". Il laisse également entendre que des lois telles que le Cyber Incident Reporting for Critical Infrastructure Act of 2022(CIRCIA), qui régit actuellement la déclaration des cyberincidents, pourraient servir de modèle pour que la conformité volontaire à ces nouvelles réglementations devienne plus obligatoire. Quoi qu'il en soit, la plupart des entreprises qui fabriquent aujourd'hui des logiciels et d'autres technologies auraient tout intérêt à s'inspirer de ces nouvelles orientations.

Les orientations de la CISA représentent une opportunité clé

Au lieu d'appréhender la perspective d'un plus grand nombre de réglementations potentielles, les organisations devraient plutôt saisir l'occasion d'utiliser le plan stratégique CISA pour s'efforcer d'obtenir des logiciels meilleurs et de meilleure qualité. Il ne s'agit pas seulement d'un appel à la conformité, mais d'une chance pour les développeurs d'affiner leurs compétences et de contribuer à un paysage numérique plus sûr. En fin de compte, la production de logiciels sécurisés profite à tout le monde, y compris à l'entreprise qui les fabrique, aux utilisateurs qui en dépendent et aux personnes dont les données sont consultées ou stockées par ce logiciel ou cette application. Seuls les attaquants se retrouvent les mains vides si le code qui compose la majorité des logiciels et des applications est rendu aussi sûr que possible avant d'être transféré dans un environnement de production.

Compte tenu de cette nouvelle orientation, il est logique que les développeurs d'une organisation, qui écrivent ou génèrent tout le code, constituent un point de départ idéal pour la mise en œuvre d'un codage plus sûr et pour les efforts visant à se conformer au plan CISA. Mais les développeurs ne peuvent y parvenir seuls, sans le soutien du reste de l'organisation, en particulier de la direction. Le fait que les développeurs comprennent les vulnérabilités, la manière d'écrire du code sécurisé et de reconnaître les problèmes bien avant qu'ils n'atteignent un environnement de production sera la clé pour que les organisations assument finalement la responsabilité de l'expédition du code et, comme le dit la CISA, "veillent à ce que les vulnérabilités soient découvertes et corrigées avant que des adversaires puissent les utiliser pour causer des dommages".

Il convient de noter que les développeurs ont besoin d'une formation assez poussée. C'est un véritable défi pour quelqu'un de devenir compétent dans l'écriture de codes sécurisés, et les mesures de conformité "check-the-box" ne sont tout simplement pas à la hauteur de cette tâche. Les développeurs auront besoin de méthodes d'apprentissage agiles de haut niveau qui offrent des résultats pratiques, digestes et continus dans le cadre d'un programme global de sensibilisation à la sécurité afin de s'assurer qu'ils possèdent les compétences nécessaires pour maintenir le niveau de sécurité requis par le nouveau plan CISA. 

Idéalement, la formation continue pour se préparer au plan CISA devrait également intégrer un grand nombre de méthodes et de programmes avancés que les développeurs utilisent tous les jours, tels que les principes du développement Agile. Par exemple, dans le développement Agile, le travail est divisé en morceaux gérables, en superposant des sprints dans un cycle continu. Un bon programme de formation qui intègre les pratiques agiles peut aider les développeurs à acquérir rapidement les compétences nécessaires pour soutenir le plan CISA, ce qui leur permet de commencer à en voir les avantages et à coder de manière plus sûre presque immédiatement.

La bonne nouvelle est que la plupart des développeurs soutiennent les pratiques de codage sécurisé et sont désireux d'aider leurs organisations à se conformer à la nouvelle directive CISA. Dans une enquête menée auprès de plus de 1 200 développeurs professionnels travaillant activement dans le monde entier, l'écrasante majorité d'entre eux ont déclaré qu'ils étaient favorables au concept de création de code sécurisé et à l'instauration d'une meilleure culture de la sécurité au sein de leur organisation. 

Les développeurs ont besoin de parcours de formation précis et d'un soutien adéquat. Si les organisations sont en mesure de le faire, non seulement leur code deviendra plus sûr, mais elles prendront de l'avance dans leurs efforts pour se conformer aux orientations définies dans le nouveau plan stratégique de la CISA en matière de cybersécurité, voire les surpasser.

Ce changement proposé dans la culture de la sécurité sera un défi, mais c'est aussi une occasion incroyable de changer la nature de la cybersécurité et de créer un monde où la technologie qui améliore notre vie à tous n'est pas également en proie à des attaquants qui tentent constamment de l'exploiter à leurs propres fins néfastes. Nous avons le pouvoir de les arrêter, et le plan CISA montre une voie prometteuse vers cet objectif remarquable et finalement réalisable.

Une version de cet article a été publiée à l'origine dans DZone. Elle a été mise à jour et syndiquée ici.

La version 4.0 de la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) changera presque tout en matière de sécurité pour toute entreprise ou organisation qui accepte les paiements électroniques, ce qui est le cas de la grande majorité d'entre elles. Ne vous y trompez pas, cette mise à jour va transformer la plupart des entreprises, les obligeant à mettre à jour nombre de leurs processus de sécurité et potentiellement à déployer de nouvelles protections en matière de cryptage, d'authentification, de contrôle d'accès, de gestion des clés et d'autres domaines qu'elles ont peut-être été lentes à adopter jusqu'à présent.

En raison de la complexité des nouvelles exigences, les organisations ont eu jusqu'à mars 2025 pour se mettre en conformité. Mais cette date butoir arrivera plus tôt que la plupart des gens ne le pensent. En fait, de nombreuses entreprises tournées vers l'avenir prennent dès à présent des mesures pour permettre à leurs développeurs de naviguer dans le paysage de la conformité à venir. 

Aller au-delà de la formation "check-the-box

Les développeurs d'une organisation écrivent le code sur lequel repose une grande partie de leur infrastructure. Il est donc logique qu'ils soient un bon point de départ lorsqu'il s'agit de mettre en œuvre les nouvelles exigences de la norme PCI DSS 4.0. Cependant, la plupart des développeurs auront besoin d'un soutien stratégique pour se perfectionner dans le cadre d'un programme de sensibilisation à la sécurité actualisé. Ceci afin de s'assurer qu'ils ont l'expérience nécessaire pour mettre en œuvre et maintenir les niveaux de sécurité plus élevés exigés par la nouvelle norme. 

En fait, l'exigence 12.6.2 de la norme PCI DSS 4.0 demande aux organisations de mettre en œuvre un programme de sécurité formel et de le tenir à jour avec les dernières informations sur les menaces et les techniques de défense. Avec l'ancienne norme, les programmes de sécurité de base ou même les formations annuelles de conformité de type "check-the-box" répondaient à l'objectif. La nouvelle norme exige beaucoup plus, allant même jusqu'à exiger que les programmes de formation à la sécurité traitent des menaces et des vulnérabilités spécifiques à l'environnement de l'entreprise. Par exemple, si l'usurpation d'identité est un problème majeur pour une organisation, la formation doit en tenir compte.

Il est clair qu'une formation minimale ne suffira plus, que ce soit d'un point de vue pratique ou pour se conformer à la nouvelle norme. Au lieu de cela, les organisations doivent fournir aux développeurs des parcours d'apprentissage complets et agiles qui leur apprennent à appliquer les meilleures pratiques de sécurité dans leur travail réel et quotidien. En allant au-delà des efforts de conformité minimum et en fournissant aux développeurs les ressources dont ils ont besoin pour vraiment comprendre la sécurité, les organisations peuvent permettre à leurs développeurs de prendre de meilleures décisions en matière de sécurité tout en se conformant à la norme PCI DSS 4.0.

La bonne nouvelle, c'est que bon nombre des nouvelles exigences de la norme PCI DSS 4.0 concernent des domaines que la plupart des développeurs connaissent déjà, comme l'authentification, le cryptage, le contrôle d'accès, la gestion des clés, etc. Lorsque les développeurs disposent de ressources adaptées, pertinentes et familières pour développer leurs compétences, les organisations peuvent plus facilement les préparer aux nouvelles normes et aux responsabilités accrues que la norme PCI DSS 4.0 exigera.

Utiliser PCI DSS 4.0 pour améliorer la sécurité en général

S'il est vrai que répondre aux besoins des développeurs par une bonne formation à la sécurité sera essentiel pour se conformer à la nouvelle norme PCI DSS 4.0, l'effort d'évolution d'une organisation vers une meilleure cybersécurité ne doit pas s'arrêter là. Certes, les exigences sont rigoureuses, mais comme la plupart des organisations devront travailler pour s'y conformer, il n'y a aucune raison de ne pas utiliser cet effort comme tremplin pour lancer une meilleure sensibilisation et une meilleure formation à la sécurité en général. Cela aidera non seulement une organisation à satisfaire aux exigences de conformité, mais commencera également à favoriser une culture de sécurité positive qui donne la priorité aux meilleures pratiques et garantit que tous les membres de l'organisation travaillent dans le même but, celui de la sécurité d'abord. 

Il y a une courbe d'apprentissage, c'est certain, mais les développeurs seront probablement d'accord avec un tel effort. Dans une enquête d' Evans Data menée auprès de plus de 1 200 développeurs professionnels travaillant activement dans le monde entier, l'écrasante majorité d'entre eux a déclaré soutenir le concept de création de code sécurisé et d'établissement d'une meilleure culture de la sécurité au sein de leur entreprise. Il est clair que la plupart des développeurs sont favorables à un changement stratégique et soutenu en faveur d'un codage sécurisé et à une redéfinition des priorités en matière de sécurité dans le cadre du processus de développement. 

Les améliorations de la sécurité imposées par la norme PCI DSS 4.0 constituent une excuse parfaite pour que les entreprises investissent dans l'amélioration des meilleures pratiques et de la formation en matière de sécurité, et qu'elles adoptent une meilleure culture générale de la sécurité au sein de leur organisation.

Les développeurs peuvent plus facilement atteindre des niveaux plus élevés de maturité en matière de sécurité si leurs entreprises investissent dans un programme qui leur permet d'intégrer leurs compétences en matière de codage sécurisé avec des outils et une formation appropriés. Cela peut, à son tour, contribuer à créer une culture de la sécurité dans laquelle les développeurs sont davantage habilités à prendre de meilleures décisions qui améliorent la posture de sécurité globale de leur organisation bien au-delà des nouvelles normes rigoureuses PCI DSS 4.0.
‍

Nous sommes arrivés à cette période de l'année. Le moment de réfléchir à tout ce qui s'est passé, à ce que nous pensions qu'il se passerait et qui ne s'est pas produit, aux leçons tirées et à ce qui, selon nous, façonnera les décisions, les actions et les résultats au cours des 12 prochains mois. 

Une dynamique économique difficile, des menaces de cybersécurité émergentes et l'introduction la plus accessible de la société à l'IA à ce jour ont façonné ce qui a été une année 2023 intéressante pour DevSecOps. Plus curieux encore, aucun de ces éléments n'est dans le rétroviseur alors que nous tournons la page et que nous nous dirigeons vers 2024. Ils sont au cœur des préoccupations des organisations, de leurs équipes de développeurs et de cybersécurité, ainsi que des organismes de réglementation gouvernementaux. 

Alors que les priorités changent rapidement, voici les principales prédictions que Secure Code Warrior voit se réaliser au cours des 12 prochains mois : 

Les organisations accorderont une grande importance à la fidélisation des développeurs 

Les développeurs apportent une valeur immense aux organisations et à leurs clients. Il appartient désormais aux entreprises de démontrer cette valeur et d'apprécier ce que le développeur peut apporter à leurs résultats. Davantage d'investissements seront réalisés dans des stratégies de rétention, des programmes et d'autres efforts pour s'assurer que les développeurs sont plus à même de faire de leur employeur actuel leur destination de carrière à long terme. L'apprentissage et le développement seront un facteur de différenciation important pour ces entreprises. 

Plus de demandes de la part des développeurs mettront le contenu et les intégrations au premier plan. 

Les pressions exercées sur les développeurs ne vont pas se relâcher de sitôt, sachant que les organisations veulent plus de logiciels et une transformation numérique continue pour arriver plus tôt dans les mains de leurs clients. Pour que les développeurs restent pointus, anticipent les obstacles émergents dans les cycles de vie du développement logiciel (SDLC) et aient accès à davantage de ressources pour accélérer l'innovation - davantage de contenu d'apprentissage et d'intégrations tierces seront d'une importance capitale. 

L'outil d'IA est le nouveau Stack Overflow 

De la même manière que les développeurs se tournent vers Stack Overflow ou les forums open source pour obtenir de l'aide, les développeurs commenceront à se tourner vers les outils d'IA. Toutefois, cela crée un faux sentiment de sécurité. Les développeurs utiliseront l'IA comme un "canal d'aide", mais les organisations se rendront compte que cette approche n'est pas suffisante. 

La remédiation par l'IA est là pour durer 

L'IA ne remplacera pas le développeur demain, mais la technologie s'intègre de plus en plus dans le cycle de vie du développement logiciel (SDLC), créant un processus plus infaillible pour éviter d'introduire des vulnérabilités, ou pour identifier un correctif compatible. Nous assisterons certainement à de nouvelles expérimentations tout au long de l'année, qui entraîneront inévitablement un changement dans le comportement des développeurs, des investissements organisationnels, une réaffectation du personnel et de nouvelles approches de la gestion des risques en matière de cybersécurité. 

Dépendance à l'égard de l'IA + croissance explosive des API = mesures réglementaires

Le nombre d'entreprises qui alimentent leurs activités par la création et l'activation accélérées d'API a considérablement élargi le vecteur de menace des API. Avec la propension de l'utilisation de l'IA à augmenter de manière exponentielle la vitesse à laquelle les API sont créées et lancées, une meilleure gouvernance de la sécurité des API devra être une priorité - et de nouvelles mesures réglementaires ne manqueront pas d'être introduites. 

Davantage de conséquences pour les éditeurs de logiciels qui ne fournissent pas de code sécurisé 

La directrice de la CISA, Jen Easterly, a clairement indiqué que les fournisseurs de logiciels ne devraient pas être autorisés à "passer la main"lorsqu'il s'agit de la sécurité de leurs produits. Bien que les pouvoirs de la CISA ne s'étendent que jusqu'à un certain point - aider à faire appliquer les pratiques de conception sécurisée aux fournisseurs qui vendent aux agences fédérales - l'incident MOVEit survenu au début de l'année a réaffirmé que les grands fournisseurs de logiciels doivent atteindre et dépasser un nouveau point de référence. Il faut davantage de responsabilité et de conséquences pour les récidivistes qui envoient des codes non sécurisés.

Le Top 10 de l'OWASP de 2024 mettra à nouveau l'accent sur les défauts de conception 

En parlant de conception sécurisée, l'OWASP a introduit en 2021 la catégorie "Conception non sécurisée", qui met l'accent sur les problèmes et les failles de sécurité architecturaux. Alors que nous anticipons leur prochaine liste Top 10 (très probablement en 2024), il y aura une plus grande conversation au niveau de la direction sur la différence entre une conception non sécurisée et une mise en œuvre non sécurisée, en mettant l'accent sur les équipes développant un cycle de vie de développement logiciel sécurisé (SSDLC), y compris une procédure complète de modélisation des menaces qui prend en charge l'authentification critique et la configuration du contrôle d'accès. 

Les fournisseurs de DevSecOps devront prouver un retour sur investissement spécifique pour cibler les différents acheteurs exécutifs. 

Afin de vendre à plusieurs groupes dans un cycle de vente compétitif, les fournisseurs devront adapter leurs conversations aux différents secteurs de l'entreprise. Traditionnellement, les fournisseurs de solutions de sécurité s'adressent principalement aux RSSI ou aux responsables de la sécurité. En 2024, il sera davantage nécessaire de pouvoir prouver la réduction des risques dans des contextes de plus en plus spécifiques pour les cadres de L&D et DevOps/AppSec - en plus de la sécurité/des CISO.

Le "gatekeeping" sera la clé de la maturité en matière de sécurité dans le développement de logiciels 

Les RSSI sont toujours tenus de prouver la valeur commerciale des efforts de cybersécurité, ainsi que l'efficacité de leur programme au fil du temps. Les développeurs devront de plus en plus prouver qu'ils sont sensibilisés à la sécurité avant de se voir confier des projets portant sur des référentiels sensibles. Les RSSI qui adoptent une norme de "gatekeeping" et donnent la priorité au codage sécurisé dès le début du processus de création de logiciels seront mieux à même de positionner leurs équipes sur la voie de l'excellence en matière de sécurité. 

La sécurité réactive sera considérée comme une vieille école 

Alors que l'objectif d'une cyber-résilience accrue continue de dominer les stratégies cybernétiques dans de nombreux secteurs verticaux, ceux qui s'appuient sur la réaction et la réponse aux incidents comme seuls principes fondamentaux de leur plan se retrouveront dans une situation d'exposition et de risque inacceptables. "La sécurité au niveau du code doit être une priorité, au même titre que l'amélioration et la vérification des compétences des développeurs qui travaillent sur les logiciels et les infrastructures numériques critiques que nous considérons comme acquis. Aujourd'hui, plus que jamais, les gouvernements comme les entreprises doivent s'engager dans un programme de sécurité préventif et hautement conscient, dans lequel chaque membre du personnel est habilité à partager la responsabilité.

En tant que leader de la formation et de la mise en œuvre du codage sécurisé, nous sommes enthousiastes pour l'année à venir et nous collaborons avec nos plus de 600 clients pour devancer cette dynamique en évolution. À quoi ressemble votre 2024 et comment Secure Code Warrior peut-il vous aider ?

Vous souhaitez en savoir plus ? Suivez-nous sur X et LinkedIn pour rester au courant de toutes les annonces.

La vitesse d'innovation dans le domaine du cloud computing et de l'IA n'a jamais été aussi élevée. Netskope, leader mondial de la SASE, aide les organisations à en tirer parti tout en faisant face à l'évolution des menaces, aux nouveaux risques et aux changements technologiques. Cependant, cette dynamique stimulante a exercé des pressions supplémentaires sur le cycle de vie du développement logiciel.

James Robinson, RSSI adjoint de Netskope, s'est efforcé de trouver des moyens de s'assurer que l'équipe de développement de son organisation reste au fait des nouveaux langages et des nouvelles technologies, mais aussi qu'elle reste compétente dans le domaine de la sécurité, qui est en constante évolution. Lorsqu'il a constaté que les capacités de formation actuelles ne concernaient qu'une poignée de langues, il était évident qu'une meilleure solution s'imposait.

Secure Code WarriorLe contenu personnalisable et la myriade d'activités d'apprentissage pratiques de Secure Code Warrior ont changé la donne pour Netskope, avec une plus grande participation au programme agile de SCW Plateforme D'apprentissage et le fait que ces efforts n'ont plus l'air d'être des cases à cocher, mais un contenu et des activations significatifs pour la communauté des développeurs.

Comment s'est déroulé leur parcours et quels sont les résultats obtenus à ce jour ?

• Découvrez l'histoire de Netskope dans cette toute nouvelle étude de cas que vous pouvez lire ici.
• Regardez ici un webinaire organisé conjointement par Secure Code Warrior et Netskope sur le thème "Aller au-delà de la conformité". 

Où que vous regardiez, la technologie de l'IA fait l'objet d'une fixation constante dans presque tous les secteurs verticaux. Louée par certains comme la réponse à la création rapide de fonctionnalités dans le développement de logiciels, les gains de vitesse ont un prix : le potentiel de bogues de sécurité graves se frayant un chemin dans les bases de code, grâce à un manque de conscience contextuelle de l'outil lui-même, et des compétences de sécurité de bas niveau des développeurs qui comptent sur eux pour stimuler la productivité et générer des réponses à des scénarios de développement difficiles. 

La technologie du grand modèle de langage (LLM) représente un changement radical dans les outils d'assistance et, si elle est utilisée de manière sûre, elle pourrait bien être le compagnon de programmation en binôme que tant d'ingénieurs en logiciel appellent de leurs vœux. Une étude réalisée en 2023 par l'université de Stanford a révélé que l'utilisation d'assistants d'intelligence artificielle était susceptible d'engendrer un code plus bogué et moins sûr dans l'ensemble, tout en augmentant la confiance dans la sécurité des résultats.

S'il est légitime de penser que les outils continueront à s'améliorer au fur et à mesure que la course à la perfection de la technologie LLM se poursuit, un ensemble de recommandations - dont un nouveau décret de l'administration Biden, ainsi que la loi sur l'intelligence artificielle de l'UE - rend leur utilisation délicate en tout état de cause. Les développeurs peuvent prendre une longueur d'avance en perfectionnant leurs compétences en matière de sécurité au niveau du code, leur sensibilisation et leur esprit critique à l'égard des résultats des outils d'IA, et devenir ainsi des ingénieurs de plus haut niveau.

Comment les assistants de codage de l'IA introduisent-ils des vulnérabilités ? Jouez à notre NOUVELLE mission publique et voyez par vous-même !

‍

Exemple : Scripting intersite (XSS) dans "ChatterGPT".

Notre nouvelle mission publique révèle l'interface familière d'un LLM populaire et utilise un extrait de code réel généré à la fin du mois de novembre 2023. Les utilisateurs peuvent interpréter ce bout de code et étudier les éventuels problèmes de sécurité s'il devait être utilisé dans le but prévu.

À la question "Pouvez-vous écrire une fonction JavaScript qui modifie le contenu de l'élément HTML p, dont le contenu est transmis par cette fonction ?", l'assistant d'IA produit consciencieusement un bloc de code, mais tout n'est pas ce qu'il semble être.

Avez-vous déjà relevé le défi ? Si ce n'est pas le cas, essayez maintenant avant de lire la suite.

... ok, maintenant que vous l'avez terminé, vous savez que le code en question est vulnérable au cross-site scripting (XSS). 

Le XSS est rendu possible par la manipulation de la fonctionnalité de base des navigateurs web. Il peut se produire lorsque des données non fiables sont affichées sur une page, mais interprétées à tort comme du code exécutable et sûr. Un pirate peut placer un extrait malveillant (balises HTML, JavaScript, etc.) dans un paramètre d'entrée, qui, lorsqu'il est renvoyé au navigateur, est alors exécuté au lieu d'être affiché en tant que données.

Utiliser des assistants de codage IA en toute sécurité dans le développement de logiciels

Une récente enquête menée auprès d'équipes de développement en activité a révélé que la quasi-totalité d'entre elles - soit 96 % - ont commencé à utiliser des assistants d'IA dans leur flux de travail, 80 % d'entre elles contournant même les politiques de sécurité pour les conserver dans leur boîte à outils. En outre, plus de la moitié d'entre elles reconnaissent que les outils d'IA générative créent couramment du code non sécurisé, mais cela n'a manifestement pas ralenti l'adoption de ces outils.

Avec cette nouvelle ère de processus de développement de logiciels, décourager ou interdire l'utilisation de ces outils a peu de chances de fonctionner. Au contraire, les organisations doivent permettre à leurs équipes de développement d'utiliser les gains d'efficacité et de productivité sans sacrifier la sécurité ou la qualité du code. Pour ce faire, il faut les former avec précision aux meilleures pratiques de codage sécurisé et leur donner la possibilité de développer leur esprit critique, en veillant à ce qu'ils agissent avec un état d'esprit axé sur la sécurité, en particulier lorsqu'ils évaluent la menace potentielle que représente le code produit par l'assistant d'IA. 

Pour en savoir plus

Pour les XSS en général, consultez notre guide complet.

Vous voulez en savoir plus sur la manière d'écrire du code sécurisé et de réduire les risques? Essayez gratuitement notre défi d'injection XSS.

Si vous souhaitez obtenir d'autres directives de codage gratuites, consultez Secure Code Coach pour vous aider à rester au fait des meilleures pratiques en matière de codage sécurisé.

‍

Dans le paysage en constante évolution de la cybersécurité, le rôle des développeurs dans la protection des actifs numériques est devenu de plus en plus central. Cependant, la difficulté réside dans la formation des développeurs qui, par nature axés sur la résolution de problèmes et l'efficacité, ne donnent pas forcément la priorité à la sécurité. Dans cet article de blog, nous explorons trois étapes critiques pour structurer un programme de formation à la sécurité qui non seulement engage les développeurs, mais aussi réduit de manière significative les vulnérabilités - parun taux remarquable de 53%. De la promotion des relations à la mise en œuvre d'une approche à plusieurs niveaux, ces stratégies visent à doter les développeurs des connaissances et des compétences nécessaires à des pratiques de codage sécurisées.

1. Établir des relations et maintenir l'engagement des développeurs 

Les développeurs manquent souvent de connaissances initiales en matière de sécurité, mais leur principale préoccupation est de résoudre rapidement les problèmes liés au code. Pour éveiller leur intérêt pour la sécurité, il est essentiel de souligner la valeur de ces sujets et de les rendre exploitables. La mise en œuvre d'un programme permettant aux développeurs de se former de manière indépendante et à leur propre rythme dans tous les langages de programmation de votre pile technologique est essentielle. Établissez des relations solides avec les développeurs et les chefs d'équipe afin d'allouer un temps réaliste à la formation au code sécurisé.

La première étape cruciale consiste à mettre en œuvre un programme qui permette aux développeurs d'être indépendants et de se former à leur propre rythme. Cela signifie qu'il doit couvrir tous les langages de programmation utilisés dans votre pile technologique. Prenez en considération les besoins d'apprentissage des développeurs dans un environnement complexe et réfléchissez à la manière dont le programme fonctionnera avec vos outils de sécurité existants pour faciliter la gestion des vulnérabilités.

2. Classer par ordre de priorité les vulnérabilités récurrentes  

À l'aide de vos outils de balayage et de test d'intrusion, surveillez de près vos vulnérabilités critiques et récurrentes pour vous guider dans le choix du contenu éducatif sur le codage sécurisé qui constituera la pierre angulaire de votre programme. L' utilisation de vos outils existants et l'intégration de ces résultats dans votre programme de codage sécurisé seront essentielles. Considérez également les paramètres suivants pour déterminer les vulnérabilités sur lesquelles vos développeurs doivent être formés en priorité : 

• Âge moyen de vulnérabilité 
• Nombre de vulnérabilités en attente
• Délai moyen de résolution, ou délai moyen de remise en état (MTTR)  
• Nombre de vulnérabilités fermées par rapport aux vulnérabilités ouvertes
• Nombre de problèmes par ligne de votre code propriétaire (pas de tiers)

Les attentes concernant les résultats du programme doivent également être fixées dès le début. Les développeurs qui participent au programme doivent atteindre un certain niveau de compétences en matière de codage sécurisé, qui peut être mesuré par le nombre de vulnérabilités qu'ils résolvent et qu'ils ne réintroduisent pas. 

3. Mettre en œuvre un programme de développement des compétences en matière de codage sécurisé à plusieurs niveaux 

Une fois que vous avez intégré la participation des développeurs à la sécurité dans le processus d'analyse et de test, il est temps de leur donner les moyens d'être proactifs dans le perfectionnement de leurs compétences en matière de codage sécurisé en les incitant à poursuivre leur formation dans ce domaine. Pour ce faire, vous pouvez structurer votre programme en niveaux, ou "ceintures", afin de faire progresser les développeurs dans des domaines plus complexes de la sécurité. 

Voici un exemple de la manière dont Thales a structuré son programme d'éducation à la sécurité: 

1. Sensibilisation - permet d'élever le niveau de base de la sensibilisation à la sécurité et d'établir une base de référence pour les connaissances des développeurs en matière de sécurité.
2. Basique - permet d'acquérir des compétences de base en matière de sécurité, par exemple comment repérer un code vulnérable et comprendre les vulnérabilités courantes.
3. Autonome - utilise des tactiques approuvées pour localiser les vulnérabilités et y remédier en suivant les conseils de Secure Code Warrior.
4. Expert - devient un champion de la sécurité et un expert dans tous les domaines importants pour l'entreprise.

La promotion de l'auto-apprentissage motivera également vos développeurs à se tenir au courant des nouveaux vecteurs d'attaque, des meilleures pratiques, des nouveaux langages et des vulnérabilités récemment découvertes. Une fois que tout le monde a atteint un niveau de compétence de base en matière de codage sécurisé, profitez d'un programme qui permet de gagner du temps grâce à deux ou trois apprentissages clés par mois grâce à un contenu pertinent, plutôt qu'une formation annuelle d'une heure axée sur la conformité. Le temps gagné grâce à la formation des développeurs se traduira par une réduction des travaux nécessaires pour corriger des vulnérabilités qui n'auraient pas dû être introduites. 

Conclusion

Dans le domaine dynamique de la cybersécurité, où les menaces évoluent aussi rapidement que les avancées technologiques, un programme proactif et bien structuré de formation au codage de la sécurité pour les développeurs est une mesure de protection essentielle pour les entreprises. En établissant des relations solides avec les développeurs, en donnant la priorité aux vulnérabilités récurrentes et en mettant en œuvre un développement progressif des compétences, les entreprises peuvent renforcer leur base de code contre une violation potentiellement dévastatrice. 

Le succès d'un tel programme ne se mesure pas seulement en termes de réduction des vulnérabilités, mais aussi en termes de développement d'un état d'esprit axé sur la sécurité chez les développeurs. Alors que nous naviguons sur le terrain complexe de la sécurité numérique, l'autonomisation des développeurs par l'éducation apparaît comme une stratégie puissante pour transformer une organisation en un écosystème numérique résilient et sûr.

Secure Code Warrior est là pour vous aider à coder en toute sécurité tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.