Quelle place occupe le code sécurisé dans la liste des priorités de l'équipe de développement ?

Le nombre croissant d'attaques de cybersécurité, ainsi que leur sophistication croissante, ont favorisé le changement dans tous les secteurs et toutes les industries à travers le monde. Tout le monde tente de « prendre un virage à gauche », en intégrant la sécurité dans tous ses processus et procédures dès que possible. Cette situation a même donné naissance à des mouvements entièrement nouveaux visant à améliorer les cyberdéfenses, tels que DevSecOps, où la sécurité fait partie intégrante de la structure même de la création de nouveaux logiciels et applications.

Bon nombre de ces changements sont en train d'arriver aux pieds de la communauté des développeurs. Étant donné que ce sont eux qui créent, écrivent et codent de nouveaux programmes et applications, leur demander d'adopter des pratiques de codage plus sûres semble être une excellente idée. Après tout, on ne peut pas aller plus à gauche que lorsqu'on crée de nouvelles applications pour la première fois.

Cependant, quelle est l'opinion de la communauté des développeurs concernant cette responsabilité ? Après avoir été évalués traditionnellement presque exclusivement en fonction de leur rapidité à programmer, que pensent aujourd'hui les développeurs de leur nouveau rôle en tant que champions de la sécurité ? Estiment-ils que la direction de leur entreprise soutient ces efforts par une formation de qualité, de meilleures récompenses et la reconnaissance qu'ils méritent pour assumer cette nouvelle responsabilité fondamentale ?

Pour la deuxième année consécutive, nous nous sommes associés à Evans Data Corp. afin de mener une enquête approfondie auprès de la communauté mondiale des développeurs sur leurs compétences, leurs perceptions et leurs comportements en matière de pratiques de codage sécurisées, ainsi que sur leur impact et leur pertinence perçus dans le cycle de vie du développement logiciel (SDLC). Les résultats ont été assez surprenants à bien des égards.

État d'avancement de l'enquête sur la sécurité menée par les développeurs en 2022

Evans Data Corp a mené l'enquête sur l'état de la sécurité impulsée par les développeurs de Secure Code Warrior décembre 2021. Des questions ont été posées sur le codage des logiciels, la sensibilisation à la sécurité, la formation, l'assistance, les motivations et d'autres sujets à 1 200 développeurs de logiciels actifs travaillant dans la région Asie-Pacifique, en Europe et en Amérique du Nord. L'enquête a été menée en anglais et traduite lorsque cela était nécessaire afin d'obtenir une perspective mondiale précise. Parmi les personnes interrogées figuraient des développeurs qui créent de nouvelles applications, ainsi que des administrateurs de la communauté des développeurs.

Quelques découvertes surprenantes

Le lundi 11 avril, un document technique détaillé (Les défis (et les opportunités) pour améliorer la sécurité des logiciels) et un rapport (L'état de la sécurité impulsée par les développeurs, 2022) approfondissant tous les aspects de l'enquête seront publiés. Le document technique comprend notre analyse des conclusions et des préoccupations soulevées par la communauté concernant les pratiques de codage sécurisées, ainsi que des recommandations destinées aux organisations afin qu'elles forment leurs équipes de développeurs à l'amélioration de la sécurité des logiciels.

Il est probable que certains de ces défis soulèvent des questions chez tous ceux qui travaillent avec des développeurs au sein de leur organisation, ainsi que chez les membres de la communauté des développeurs elle-même ; cela a certainement été le cas pour nous.

Par exemple, seuls 14 % des personnes interrogées ont mentionné la sécurité des applications comme l'une des principales priorités actuelles. En revanche, les indicateurs plus traditionnels, tels que les performances des applications et la hiérarchisation des fonctionnalités et des rôles, sont restés leur objectif général.

La sécurité était considérée comme une priorité si faible que 67 % des développeurs interrogés ont admis qu'ils laissaient systématiquement des vulnérabilités et des exploits connus dans leur code. Ils agissaient ainsi en raison de délais très serrés, parce qu'ils privilégiaient la fonctionnalité à la sécurité, ou simplement parce qu'ils ne disposaient pas de la formation ou des connaissances nécessaires pour résoudre les problèmes de sécurité.

Dans de nombreux cas, les développeurs ont déclaré que leurs organisations ne définissaient pas ce qui constituait un code sécurisé et ne fournissaient pas la formation ou le soutien adéquats pour remédier à cette situation.

Cependant, malgré certaines conclusions négatives, il est également apparu clairement que les mentalités évoluent. La grande majorité des développeurs (66 %) s'attendaient à ce que la sécurité devienne une priorité majeure au cours des 12 à 18 prochains mois, tandis que 82 % des responsables du recrutement ayant répondu à l'enquête ont exprimé leur intérêt pour l'embauche de développeurs connaissant la sécurité plutôt que ceux qui ne la connaissaient pas.

Bien que les résultats de l'enquête indiquent clairement que la communauté des développeurs et les organisations avec lesquelles ils collaborent sont confrontées à un nombre considérable de changements, les projets à court et à long terme prennent heureusement forme rapidement.

Veuillez consulter le document technique et le rapport qui détaillent les résultats complets de l'enquête, ainsi que les commentaires des experts sur les défis liés aux pratiques actuelles de codage sécurisé et les opportunités dont les organisations peuvent tirer parti pour améliorer les compétences des développeurs en matière de sécurité et, en fin de compte, la sécurité des logiciels.

Veuillez consulter le Secure Code Warrior pour en savoir plus sur la cybersécurité et le paysage des menaces de plus en plus dangereux, et pour découvrir comment vous pouvez utiliser des technologies et des formations innovantes afin de mieux protéger votre organisation et vos clients.

‍