Pourquoi nous ne devons jamais négliger le facteur humain dans la cybersécurité

Nous avons récemment eu le privilège d'assister en direct à la première intervention de notre président-directeur général, Pieter Danhieux, au Conseil technologique de Forbes. La publication expliquait en détail comment l'amélioration des compétences des développeurs en matière de création de codes plus sécurisés est essentielle pour prévenir les cyberattaques et les fuites de données. De plus, elle révélait comment ces mêmes développeurs soucieux de la sécurité peuvent contribuer à fournir un code de meilleure qualité et plus sécurisé, plus rapidement que ne le pensent de nombreux services informatiques. La nécessité d'une telle approche est sans aucun doute impérieuse. Une étude récente a révélé qu'une cyberattaque se produit désormais toutes les 39 secondes, et nous avons tous été témoins de la perturbation causée par une seule attaque réussie de ransomware sur Colonial Pipeline, qui, dans l'ensemble, n'était pas aussi destructrice que le piratage de SolarWinds.

‍

Il existe encore de nombreuses vulnérabilités courantes, car personne n'a pris la peine de montrer aux développeurs comment remplacer les modèles de codage déficients par une meilleure façon d'exécuter les mêmes fonctions, de manière plus sûre et plus sécurisée. De plus, l'impact de la correction d'un logiciel à un stade avancé de son développement est extrêmement coûteux, tant en termes d'heures investies que de retards dans la mise en œuvre. La réparation du code une fois qu'il a été mis en œuvre, en particulier après qu'un attaquant ait exploité une vulnérabilité non détectée auparavant, peut parfois coûter des millions de dollars. Et cela sans tenir compte des dommages causés à la réputation d'une entreprise à la suite d'une violation importante.

Les développeurs formés à la sécurité deviennent naturellement de meilleurs programmeurs. Il ne fait aucun doute que les RSSI ne devraient pas abandonner leurs outils de sécurité à court terme, mais s'ils adoptent une approche inclusive et préventive de la sécurité depuis le sommet de la hiérarchie, ils peuvent tirer parti de la plus grande ressource de leur entreprise, le facteur humain, en particulier lorsqu'il s'agit de protéger le codage dès le début du cycle de vie du développement logiciel.

À cette fin, voici les trois principales stratégies de haut niveau à prendre en considération.

1. Soyez proactif, non réactif

Les entreprises ont souvent tendance à être réactives, par exemple en répondant aux actions de la concurrence plutôt qu'en développant et en poursuivant une vision unique. Beaucoup adoptent également cette approche par défaut lorsqu'il s'agit de vulnérabilités de sécurité dans le code, et ne prennent la cybersécurité au sérieux que lorsqu'elles y sont contraintes à la suite d'une violation réussie. Malheureusement, à ce moment-là, le mal est déjà fait, et les amendes, les coûts de récupération, la perte de clients et la restauration de la marque ont un impact sur le bilan final. Une autre façon de réagir plutôt que d'agir consiste à recourir à l'analyse automatique ou manuelle du code pour détecter les vulnérabilités dans le code existant, plutôt que de se concentrer sur la création d'un code sécurisé dès le départ. Malheureusement, l'analyse du code n'est pas la solution idéale, ce qui signifie que plus le code comporte de vulnérabilités, plus il y a de chances que certaines d'entre elles échappent à la détection.

Ce n'est qu'en adoptant une approche proactive et en collaborant avec les développeurs pour les aider à créer un code sécurisé dès le départ qu'il est possible de mettre en place un cycle de vie de développement logiciel qui réduit considérablement le risque que les utilisateurs soient confrontés à des vulnérabilités de codage.

2. Améliorez vos compétences, sans exagérer

Une fois que vous avez décidé de fournir aux développeurs les connaissances nécessaires pour créer un code sécurisé, choisissez votre approche avec prudence. Les ateliers de formation internes qui mettent fin à la programmation frustrent autant les développeurs que les administrateurs. Les cours en présentiel qui nécessitent une présence le soir ou le week-end sont encore moins appréciés. La meilleure approche consiste à développer progressivement les compétences en codage, en fournissant des informations pertinentes étape par étape pendant le processus de codage, c'est-à-dire en améliorant les compétences sans trop distraire les développeurs ni ralentir le processus de développement.

3. Encouragez, n'assumez pas

Les développeurs ne devraient pas considérer l'amélioration des compétences en matière de sécurité comme une contrainte ou un fardeau. Les responsables doivent motiver les développeurs en leur expliquant le rôle important que joue la sécurité du code dans la réussite de l'entreprise. Il est également essentiel de souligner que les programmeurs qui maîtrisent la sécurité sont plus précieux pour l'entreprise et qu'ils bénéficieront de meilleures opportunités professionnelles à l'avenir.

L'administration Biden est la bienvenue Décret présidentiel a renforcé l'accent mis sur la cybersécurité et la nécessité « d'inclure des critères pour évaluer les pratiques de sécurité des développeurs et des fournisseurs eux-mêmes, et d'identifier des outils ou des méthodes innovants pour démontrer la conformité avec les pratiques sécurisées ». Cependant, si les outils sont essentiels, ils ne suffisent pas. Aucun outil ne supprimera complètement la capacité d'une personne à ignorer, mal interpréter, abuser ou contourner d'une manière ou d'une autre les systèmes et outils qui ont été mis en place. Afin de maximiser la sécurité de leurs entreprises, les RSSI doivent tirer parti du facteur humain et encourager les développeurs à devenir des défenseurs et des professionnels de la sécurité prêts à agir.