Directeur général, président et cofondateur
Pieter Danhieux
Pieter Danhieux est directeur général, président et cofondateur de Secure Code Warrior.
En 2020, Pieter a été reconnu comme finaliste dans la catégorie Diversity Champion pour les SC Awards Europe 2020, et a reçu le Editor's Choice pour le Chief Executive Officer de l'année par Cyber Defense Magazine (CDM), le magazine électronique de sécurité de l'information le plus important de l'industrie. En 2016, il a été classé 80e sur la liste des "Coolest Tech people in Australia" (Business Insider), a reçu le titre de "Cyber Security Professional of the Year" (AISA - Australian Information Security Association) et est membre du Forbes Technology Council.
Pieter est également instructeur principal pour le SANS Institute, où il enseigne aux organisations militaires, gouvernementales et privées des techniques offensives sur la manière de cibler et d'évaluer les organisations, les systèmes et les individus pour détecter les faiblesses en matière de sécurité. Il est également membre du conseil consultatif de NVISO, une société de conseil en cybersécurité en Europe. Avant de créer sa propre entreprise, Pieter a travaillé chez Ernst & Young et BAE Systems. Il est également l'un des cofondateurs de BruCON, l'une des conférences sur le piratage informatique les plus impressionnantes de la planète.
Il a commencé sa carrière dans la sécurité de l'information très tôt et a obtenu la certification Certified Information Systems Security Professional (CISSP) en tant que l'une des personnes les plus jeunes jamais rencontrées en Belgique. En cours de route, il a obtenu toute une série de certificats de cybersécurité (CISA, GCFA, GCIH, GPEN, GWAP) et est actuellement l'une des rares personnes au monde à détenir la certification la plus élevée, celle d'expert en sécurité GIAC (GSE).
Directeur général, président et cofondateur
Les efforts déployés par le gouvernement australien pour prendre au sérieux la cybersécurité montrent que celle-ci a été classée comme un domaine à haut risque au niveau national, mais sa stratégie est-elle suffisamment ambitieuse ?
Une grande partie de l'initiative visant à « déplacer vers la gauche », c'est-à-dire à introduire des mesures de sécurité à un stade beaucoup plus précoce du processus de développement, ne va tout simplement pas assez loin.
Le dernier décret exécutif du gouvernement fédéral américain traite de nombreux aspects de la cybersécurité fonctionnelle, mais décrit pour la première fois explicitement l'impact des développeurs et la nécessité pour eux de disposer de connaissances et d'une conscience vérifiées en matière de sécurité.
Le National Institute of Standards & Technology (NIST) a publié un livre blanc actualisé qui décrit en détail plusieurs plans d'action visant à réduire les vulnérabilités logicielles et les cyberrisques.
J'aurais pu commencer cet article en présentant tous les faits et chiffres qui témoignent de la prospérité et de la forte croissance de notre start-up. Ils sont indéniablement impressionnants et notre stratégie d'entreprise continue est solide. Cependant, ces chiffres ne reflètent pas ce dont je suis le plus fier en 2019.
Nos anniversaires sont une excellente occasion de réfléchir aux résultats de notre travail, de célébrer l'équipe et d'aborder l'année à venir avec confiance. Et maintenant, sept ans après la création de l'entreprise, je me demande : avons-nous réussi ? S'agit-il déjà d'une véritable entreprise ? Bien sûr, nous avons mûri, mais j'espère sincèrement que nous ne perdrons jamais la curiosité, la passion et l'esprit geek qui nous caractérisent depuis le début.
Les développeurs professionnels souhaitent utiliser DevSecOps et écrire du code sécurisé, mais leurs organisations doivent soutenir ce changement de culture si elles souhaitent que cet effort se développe.
Cette semaine, nous célébrons officiellement les huit ans Secure Code Warrior. D'une part, cela représente 350 fois la durée de la mission Apollo 11 et l'équivalent de 45 000 matchs de football ou de 5 696 parties de Super Mario Odyssey jusqu'à la fin. D'autre part, cela ne représente qu'un trentième de la durée de vie d'une tortue géante (250 ans, si vous vous posez la question). Dans le monde des start-ups à forte croissance, c'est un parcours semé de nombreux rebondissements, d'enseignements et de réalisations, dont beaucoup étaient inimaginables lorsque nous avons rédigé notre plan d'affaires pour la première fois.
Laisser la sécurité des API au hasard est un moyen infaillible de provoquer des problèmes ultérieurs qui, dans le pire des cas, peuvent avoir des conséquences désastreuses et, dans le meilleur des cas, entraîner des retouches frustrantes et de mauvaises performances.
L'idée derrière les applications de suivi des contacts est solide. Si cette technologie fonctionne efficacement, elle permettrait de détecter rapidement les foyers de contamination et de procéder à des tests à grande échelle, deux éléments essentiels pour lutter contre la propagation d'un virus contagieux.
Comment les développeurs peuvent-ils écrire du code sécurisé si personne ne leur enseigne pourquoi cela est important, quelles sont les conséquences d'un code non sécurisé et, surtout, comment éviter que ces failles de sécurité ne soient intégrées dans leurs frameworks de programmation respectifs ?
Vers la fin de l'année dernière, la remarquable communauté MITRE a publié sa liste des 25 erreurs logicielles les plus dangereuses de CWE qui ont affecté le monde en 2019. La plupart d'entre elles n'étaient pas surprenantes.
Notre vision consiste à permettre aux développeurs de constituer la première ligne de défense au sein de leur entreprise en rendant la sécurité clairement visible et en leur fournissant les compétences et les outils nécessaires pour écrire un code sécurisé dès le départ.
Le jeune chercheur en sécurité Bill Demirkapi a certainement réveillé quelques souvenirs lorsqu'il a découvert d'importantes failles de sécurité dans le logiciel utilisé par son école. Je me souviens avoir été un enfant curieux qui ouvrait le capot des logiciels pour jeter un œil à l'intérieur et voir comment tout fonctionnait... et si je pouvais le casser.
Permettre aux développeurs d'écrire du code sécurisé dès le début offre aux RSSI l'opportunité de prendre un certain contrôle proactif sur les failles de sécurité. Cela permet d'apporter des améliorations rapides, simples et mesurables tant pour les équipes de sécurité que pour les équipes de développement.
Le secteur de la santé pourrait devenir le prochain « grand » champ de bataille en matière de cybersécurité, où les criminels s'attaqueraient précisément aux machines qui diagnostiquent les problèmes médicaux, dispensent les traitements et sauvent des vies.
Dans le domaine de la cybersécurité, nous agissons souvent comme des chasseurs. Nous gardons les yeux rivés sur l'horizon, à la recherche de la prochaine faille de sécurité. Cependant, cette approche proactive peut avoir pour effet inattendu de nuire à notre vigilance générale en matière de sécurité.
Ces événements consacrés aux développeurs comptent parmi mes préférés dans le calendrier. Ils constituent un rappel important de la communauté qui travaille sans relâche pour former les ingénieurs logiciels et les spécialistes et leur donner les moyens de s'engager en faveur de la sécurité dans leur travail.
Le véritable défi auquel nous sommes confrontés n'est pas de lutter contre les jeunes pirates informatiques ou les dangereux syndicats de cybercriminalité organisée... il s'agit plutôt d'amener davantage de personnes à se préoccuper du fait que des violations de la protection des données puissent se produire.
La sécurité des logiciels est toujours une priorité pour moi, tout comme le danger réel que représente notre mode de vie de plus en plus numérique lors de l'échange d'informations personnelles. Après tout, nous nous trouvons dans un domaine largement non réglementé, non supervisé et heureusement ignoré. Nous sommes dans un contexte complexe.
L'accent mis sur une approche préventive, par opposition à une approche réactive, peut ne pas être largement compris en dehors de l'équipe de sécurité, en particulier si aucun incident de sécurité grave n'est survenu.
Cette année, le PCI Security Standards Council a publié une série de nouvelles directives en matière de sécurité logicielle dans le cadre de son PCI Software Security Framework. Cette mise à jour vise à harmoniser les meilleures pratiques en matière de sécurité logicielle avec les méthodes modernes de développement logiciel.
L'avènement de la coqueluche numérique du moment - le métavers - ajoute une vaste surface d'attaque pour les vulnérabilités au niveau du code et l'ingénierie sociale. Et nous ne sommes tout simplement pas prêts à nous battre sur ce nouveau terrain de jeu qui se nourrit de poudre aux yeux.
Étant donné que les directeurs informatiques développent de manière proactive leurs compétences agiles au sein de l'entreprise, des connaissances solides en programmation constitueront un atout pour l'innovation, et leur absence pourrait être un obstacle.
Dans un rapport récemment publié par le Huawei Cyber Security Evaluation Centre britannique, d'importants problèmes de sécurité ont été identifiés dans les processus de développement logiciel de Huawei. Cependant, il s'agit d'un problème qui peut être résolu.
Bien que les initiatives réglementaires s'amélioreront et se développeront sans aucun doute au fil du temps, si les entreprises réagissent de manière précipitée dès maintenant et commencent immédiatement à mettre en place des formations, elles risquent de ne pas être suffisamment préparées pour l'avenir.
Seules quelques entreprises réussissent véritablement leur mise en œuvre DevOps. Cependant, un soutien adéquat, une maintenance appropriée et une bonne compréhension de l'ensemble de l'entreprise peuvent transformer votre processus.
La récente attaque contre les référentiels GitHub met en évidence un problème bien connu dans le secteur de la sécurité : la plupart des développeurs ne sont tout simplement pas suffisamment sensibilisés à la sécurité, et des données précieuses peuvent être compromises à tout moment.
Il existe de nombreuses solutions permettant de détecter les failles de sécurité dans le code, mais le service de sécurité doit accorder davantage d'importance à la formation des développeurs afin qu'ils respectent les directives de sécurité qui leur évitent de commettre ces erreurs.
Avec l'introduction du RGPD et une stratégie révisée à la suite d'une attaque en plusieurs étapes, au cours de laquelle les données sensibles de nombreuses personnalités publiques, ainsi que celles des serveurs du gouvernement fédéral allemand, ont été compromises, il est clair que la sensibilisation et les mesures appropriées en matière de cybersécurité sont une priorité absolue pour les dirigeants de la région DACH.
La notion de ce qui constitue un codage sécurisé fait l'objet d'un débat. Des études récentes menées en collaboration avec Evans Data ont mis en évidence cette perception. L'enquête « State of Developer-Driven Security 2022 » examine les principales conclusions et expériences de 1 200 développeurs actifs et met en lumière leurs attitudes et leurs défis en matière de sécurité.
Notre vice-présidente chargée de la réussite client, Fatemah Beydoun, a récemment présenté son exposé intitulé « Mentorat pour l'avenir : comment nous pouvons tous mieux encourager les talents féminins dans le domaine de la cybersécurité » devant un public très réceptif. Elle a joué un rôle déterminant dans la promotion de changements positifs dans le secteur de la cybersécurité.
Alors que la programmation sécurisée dans le secteur tertiaire doit devenir une composante obligatoire de l'ingénierie logicielle, certaines universités sont à l'avant-garde lorsqu'il s'agit d'offrir des formations de premier ordre et de donner la priorité à la sécurité dès le début du processus de développement.
Les RSSI et les DSI créatifs et inspirants ont le pouvoir d'innover et de façonner notre monde numérique, mais ils peuvent également contribuer de manière significative à la transformation de la culture de sécurité d'une entreprise.
VxWorks n'est certes pas un terme familier pour le consommateur moyen, mais ce logiciel profite chaque jour à de nombreuses personnes comme vous et moi. Et nous sommes désormais confrontés à la possibilité que des centaines de millions d'appareils fonctionnant avec VxWorks soient menacés.
Nous devons nous efforcer de changer le discours et de faire de la sécurité une partie intégrante de la vie professionnelle de chaque développeur. Je pense que l'un des meilleurs moyens d'y parvenir est de renforcer les compétences des développeurs en matière de sécurité et d'interagir avec eux, par exemple par le biais de la gamification.
C'est cette période particulière de l'année (du moins pour nous) où je réfléchis à notre dernier tour autour du soleil et à ce qui a été accompli au cours des 365 derniers jours pour nous préparer à une nouvelle année pleine de croissance, d'enseignements et d'imprévisibilité inévitable.
Ne pensez-vous pas qu'il est temps de revoir notre approche de la sécurité ? Il est si facile de changer la conversation et de rendre les choses un peu plus positives (sans parler du plaisir !) pour les deux parties, en particulier pour l'équipe de développement.
Que vous formiez les cadres supérieurs à la cybersécurité ou que vous aidiez les développeurs à acquérir des compétences en programmation JAVA ou C# sécurisées, il y a ici de la place pour la créativité, la gamification et le plaisir.
Le 23 juin est une date importante dans le calendrier des passionnés de technologie, car elle marque la Journée internationale des femmes dans l'ingénierie. C'est l'occasion pour nous de mettre en lumière la contribution des femmes au développement de logiciels.
Le secteur de la sécurité informatique n'est pas particulièrement réputé pour ses sentiments chaleureux et flous, ses observations insolites et ses commentaires sur la vie, mais peut-être qu'avec l'âge, je réfléchis davantage à l'influence que nous pouvons tous avoir sur le monde.
Compte tenu de l'augmentation des cyberattaques qui touchent tous les types d'entreprises dans tous les secteurs, le risque de violations de données coûteuses, embarrassantes et ayant un impact négatif sur les résultats financiers est bien réel. Le problème ne diminue pas, il se développe comme une tumeur.
Dans notre secteur, de nombreux experts en sécurité ont commencé à prédire les principaux problèmes pour l'année à venir. Étant donné que plus de cinq milliards d'enregistrements de données confidentielles ont été volés en 2019, nous avons estimé qu'il serait plus pertinent de prédire ce qui ne se produira pas dans un avenir proche dans le domaine de la cybersécurité.
En contribuant à définir les responsabilités de nos applications et logiciels au sein d'une hiérarchie stricte et en appliquant ces directives avec le minimum de droits, nous pouvons garantir que nos applications et logiciels survivent et prospèrent malgré les menaces auxquelles ils sont exposés.
Le plan de mobilisation pour la sécurité des logiciels open source représente une avancée positive pour la sécurité axée sur les développeurs. Cependant, nous devons tous faire le point et évaluer honnêtement si notre organisation est suffisamment mature et si nos équipes de développement possèdent le niveau adéquat de sensibilisation et de compétences en matière de sécurité pour mettre en œuvre les stratégies de défense les plus récentes et les plus efficaces.
Le panel « Leaders in AppSec » a abordé des thèmes importants tels que l'utilisation optimale du budget AppSec d'une entreprise et a répondu à plusieurs questions pertinentes du public. Il a offert une véritable source d'inspiration qui aidera les spécialistes de la sécurité à développer des programmes viables au sein de leurs organisations.
Plus ma fille et l'entreprise grandissent, plus je me rends compte qu'il existe de nombreuses similitudes entre le parcours d'une start-up et celui de nouveaux parents. Je suis actuellement dans ma quatrième année dans les deux cas.
Nous ne recevons ni conseils réalistes ni solutions rapides pour lutter contre les attaques incessantes qui menacent la cybersécurité moderne. Bien entendu, chaque faille de sécurité est différente, et il existe de nombreux vecteurs d'attaque qui peuvent être exploités dans les logiciels vulnérables. Les recommandations générales applicables seront limitées, mais l'approche fondée sur les meilleures pratiques semble de moins en moins pertinente.
Au début de cette année, le PCI Security Standards Council a publié la version 4.0 de sa norme PCI DSS (Payment Card Industry Data Security Standards). Bien que les entreprises ne soient tenues de se conformer pleinement aux exigences de la version 4.0 qu'à partir de mars 2025, cette mise à jour est la plus complète à ce jour et oblige la plupart des entreprises à examiner (et probablement à mettre à jour) des processus de sécurité complexes et des éléments de leur infrastructure technologique. Cela s'ajoute à la mise en œuvre de formations sur la sensibilisation à la sécurité basées sur les rôles et de formations régulières sur la programmation sécurisée pour les développeurs.
La stratégie nationale de cybersécurité de la CISA représente la meilleure opportunité dont nous disposons pour améliorer les normes logicielles en général et enfin inaugurer une nouvelle ère de développeurs compétents en matière de sécurité.
Il semble inévitable que la technologie d'IA de type LLM modifie notre approche de nombreux aspects du travail, et pas seulement du développement logiciel, mais nous devons prendre du recul et considérer les risques qui se cachent derrière les gros titres. En tant qu'outils d'aide à la programmation, leurs faiblesses sont peut-être leur caractéristique la plus « humaine ».
Nous avons annoncé la conclusion de notre cycle de financement de série C et levé 50 millions de dollars pour la prochaine phase de notre mission : aider davantage d'entreprises pionnières à exploiter le potentiel de leur cohorte de développement dans la lutte contre les failles de sécurité courantes.
Immédiatement après l'annonce de notre financement de série C, j'ai le plaisir de vous informer d'une nouvelle étape importante pour notre entreprise. Synopsys, leader du marché dans le domaine de la sécurité, a accueilli une innovation passionnante dans sa gamme de produits : la formation Synopsys Developer Security Training, Secure Code Warrior par Secure Code Warrior .
Le plan stratégique pour la cybersécurité entraîne des changements significatifs dans la manière dont la plupart des entreprises abordent la cybersécurité, et les développeurs occupent une position unique pour contribuer à la réalisation de ces nouveaux objectifs.
Aujourd'hui marque notre neuvième anniversaire, et je reste extrêmement fier et reconnaissant de nos réalisations et de notre position durable dans le domaine de la cybersécurité, alors que le secteur continue d'évoluer rapidement.
Une faille de sécurité critique, CVE-2024-3094, a été découverte dans la bibliothèque de compression de données XZ Utils, utilisée par les principales distributions Linux, et introduite par une porte dérobée par un acteur malveillant. Ce problème grave permet l'exécution potentielle de code à distance et représente un risque important pour les processus de développement logiciel. La faille affecte les premières versions (5.6.0 et 5.6.1) de XZ Utils dans Fedora Rawhide. Les entreprises sont invitées à mettre en œuvre des correctifs de toute urgence. Cet incident souligne le rôle crucial des bénévoles de la communauté dans la maintenance des logiciels open source et met en évidence la nécessité d'améliorer les pratiques de sécurité et les contrôles d'accès au sein du cycle de développement logiciel.
L'équipe fondatrice de Secure Code Warrior restée soudée et a mené le navire pendant toute une décennie à travers chaque leçon, chaque triomphe et chaque revers. Nous sommes en pleine expansion et prêts pour notre prochain chapitre, SCW 2.0, en tant que leader du marché dans le domaine de la gestion des risques pour les développeurs.
Le codage Vibe est comparable à une fête étudiante, et l'IA est au cœur de toutes les festivités, le tonneau. Il est très agréable de se laisser aller, de faire preuve de créativité et de voir où votre imagination peut vous mener, mais après quelques verres, il est sans aucun doute plus prudent à long terme de consommer avec modération (ou d'utiliser l'IA).
Le monde de la cybersécurité va-t-il trop vite en matière d'IA agentique ? L'avenir de la sécurité de l'IA est là, et il est temps pour les experts de passer de la réflexion à la réalité.
