Pourquoi nous ne devons jamais négliger le facteur humain dans le domaine de la cybersécurité

Nous avons récemment eu le plaisir de voir la première contribution du comité technologique de Forbes de notre président-directeur général, Pieter Danhieux, être publiée en direct. Cet article expliquait en détail comment la formation continue des développeurs à la création de codes plus sécurisés est essentielle pour prévenir les cyberattaques et les violations de données. Il montrait également comment ces mêmes développeurs sensibilisés à la sécurité peuvent contribuer à fournir des codes de meilleure qualité et plus sécurisés plus rapidement que ne le pensent de nombreux services informatiques. La nécessité de cette approche est indéniable. Une étude récente a révélé qu'une cyberattaque se produit désormais toutes les 39 secondes, et nous avons tous constaté les perturbations causées par une seule attaque réussie par ransomware contre le pipeline Colonial, qui n'a finalement pas été aussi destructrice que le piratage de SolarWinds.

‍

De nombreuses failles de sécurité courantes persistent, car personne n'a pris la peine de montrer aux développeurs comment remplacer les mauvais modèles de codage par une méthode plus efficace permettant d'exécuter les mêmes fonctions de manière plus sûre et plus sécurisée. De plus, les conséquences de la réparation d'un logiciel à un stade avancé de son développement sont extrêmement coûteuses, tant en termes d'heures de travail que de retards dans la mise à disposition. La correction du code après le déploiement, en particulier après qu'un pirate informatique a exploité une faille de sécurité jusque-là inconnue, peut parfois coûter des millions de dollars. Et cela sans même tenir compte de l'atteinte à la réputation d'une entreprise après une violation grave.

Les développeurs formés à la sécurité deviennent naturellement de meilleurs programmeurs. Bien entendu, les RSSI ne doivent pas abandonner trop rapidement leurs outils de sécurité, mais en adoptant une approche inclusive et préventive de la sécurité, ils peuvent tirer parti de la plus grande ressource de leur entreprise, à savoir le facteur humain, en particulier lorsqu'il s'agit de coder de manière sécurisée dès le début du cycle de développement logiciel.

À cette fin, voici les trois stratégies principales que vous devriez prendre en considération.

1. Soyez proactif, non réactif

Les entreprises tombent souvent dans le piège de la réactivité, par exemple en réagissant aux activités de leurs concurrents au lieu de développer et de poursuivre une vision unique. Beaucoup adoptent également cette approche lorsqu'il s'agit de failles de sécurité dans le code et ne prennent la cybersécurité au sérieux que lorsqu'elles y sont contraintes à la suite d'une violation réussie. Malheureusement, le mal est déjà fait. Les amendes, les coûts de restauration, la perte de clients et la restauration de la marque ont tous un impact négatif sur les résultats financiers. Une autre forme de réaction plutôt que d'action consiste à s'appuyer sur l'analyse automatique ou manuelle du code pour trouver les vulnérabilités dans le code existant, plutôt que de se concentrer sur la création d'un code sécurisé. Malheureusement, l'analyse du code n'est pas une solution parfaite. En effet, plus le code contient de failles de sécurité, plus il y a de chances que certaines d'entre elles passent inaperçues.

Ce n'est qu'en adoptant une approche proactive et en collaborant avec les développeurs pour les aider dès le début à créer un code sécurisé que vous pourrez mettre en place un cycle de développement logiciel qui réduira considérablement le risque que des vulnérabilités de codage soient exposées aux utilisateurs.

2. Améliorer ses qualifications, sans exagérer

Une fois que vous avez décidé de fournir aux développeurs les connaissances nécessaires pour créer un code sécurisé, choisissez votre approche avec soin. Les ateliers de formation internes qui interrompent le processus de programmation peuvent être source de frustration tant pour les développeurs que pour les responsables. Les cours hors site, qui doivent être suivis le soir ou le week-end, sont encore moins appréciés. La meilleure approche consiste à développer progressivement les compétences en programmation. Fournissez des informations pertinentes étape par étape pendant le processus de codage, essentiellement sous forme de formation continue, sans trop distraire les développeurs ni ralentir le processus de développement.

3. Créer des incitations, ne pas présumer

Les développeurs ne devraient pas considérer les améliorations en matière de sécurité comme une sanction ou une corvée. Les responsables doivent inspirer les développeurs en leur expliquant le rôle important que joue un code sécurisé dans la réussite de l'entreprise. Il est également essentiel de faire comprendre que les programmeurs qui veillent à la sécurité sont plus précieux pour l'entreprise et bénéficieront à l'avenir de meilleures opportunités de carrière.

L'administration Biden est la bienvenue Le décret exécutif a mis davantage l'accent sur la cybersécurité et la nécessité « d'inclure des critères d'évaluation des pratiques de sécurité des développeurs et des fournisseurs eux-mêmes et d'identifier des outils ou des méthodes innovants pour vérifier la conformité aux pratiques de sécurité ». Les outils sont certes indispensables, mais ils ne suffisent pas. Aucun outil ne pourra jamais empêcher complètement une personne d'ignorer, de mal comprendre, d'utiliser à mauvais escient ou de contourner d'une manière ou d'une autre les systèmes et outils mis en place. Afin de maximiser la sécurité de leurs entreprises, les RSSI doivent tirer parti du facteur humain et encourager les développeurs à devenir des défenseurs et des praticiens volontaires dans le domaine de la sécurité.