Perspectives sur le code sécurisé

Le monde évolue rapidement, quelle que soit l'entreprise ou le produit, les choses deviennent de plus en plus numériques et dépendent des logiciels. Les développeurs publient du code plus rapidement que jamais, mais les équipes AppSec continuent de vérifier et de marquer 75 % du code afin de détecter les vulnérabilités courantes et faciles à prévenir.

Ne pas privilégier le code sécurisé et la sécurité en tant qu'élément fondamental du processus de développement logiciel comporte des risques considérables. En effet, le coût moyen mondial des fuites de données a augmenté l'année dernière pour atteindre 4,35 millions de dollars (rapport IBM sur le coût d'une violation de données en 2022). Les développeurs ont besoin d'une formation attrayante et innovante pour se tenir au courant des nouvelles menaces, ainsi que d'un changement culturel pour adopter une mentalité axée sur la sécurité, en collaboration avec l'équipe chargée de la sécurité.

Chez Secure Code Warrior, nous innovons constamment afin d'aider les développeurs et les organisations à acquérir les compétences nécessaires pour relever les défis de sécurité en constante évolution auxquels nous sommes confrontés aujourd'hui. Nous y parvenons grâce à des programmes de formation hautement attrayants, flexibles et faciles à gérer.

Au cours du dernier trimestre, nous nous sommes concentrés sur la création de nouvelles méthodes d'apprentissage avec Coding Labs (récemment disponible en version préliminaire), nous avons mis en place une intégration avec LMS SCORM et nous avons créé des expériences utilisateur plus accessibles et inclusives, tout en simplifiant l'expérience administrative afin de gagner du temps.

Nous allons approfondir le sujet pour obtenir plus d'informations.

Nous avons le plaisir de vous annoncer le lancement de Coding Labs : l'apprentissage de niveau supérieur.

Dans une récente enquête menée auprès des professionnels du secteur (Rapport sur l'état de la sécurité impulsée par les développeurs en 2022), 40 % des développeurs ont déclaré que leur formation n'était pas suffisamment pratique. Coding Labs aide les développeurs à améliorer leurs compétences en matière de codage sécurisé grâce à une formation pratique avec une programmation réelle et des commentaires intuitifs, le tout dans un IDE puissant et bien connu intégré au navigateur, ce qui facilite plus que jamais le passage de l'apprentissage à la pratique.

Au lieu de recevoir des conseils peu clairs et frustrants sur « ce qui est correct ou incorrect », les développeurs peuvent également être assurés qu'ils apprennent de la bonne manière et améliorent leur compréhension grâce à des commentaires en temps réel et en contexte. Coding Labs soutient les objectifs des développeurs visant à prévenir les vulnérabilités de sécurité et à améliorer la posture de sécurité de leur organisation.

Dans le cadre de la plateforme SCW, cette nouvelle expérience apporte une nouvelle perspective à la formation des développeurs. Les dirigeants peuvent créer un programme de formation qui prépare les développeurs à la réussite, avec un apprentissage accessible et réduit qui s'adapte au développeur où qu'il se trouve. Elle enseigne aux individus à surmonter une nouvelle vulnérabilité grâce à une formation guidée et accessible qui leur permettra d'accéder à des expériences plus stimulantes et pratiques, telles que celles proposées par Coding Labs. Les dirigeants peuvent être assurés que les développeurs trouveront la formation plus attrayante, plus facile à retenir et, en fin de compte, l'appliqueront au code de base afin de réduire les vulnérabilités et la nécessité de retravailler.

Coding Labs est désormais disponible en version préliminaire. Si vous êtes client SCW, veuillez contacter votre gestionnaire de compte pour obtenir plus d'informations sur la manière d'y accéder.

Vous n'êtes pas client de SCW mais souhaitez être informé de la disponibilité des Coding Labs ? Veuillez remplir le formulaire ici.

Nous vous invitons à rejoindre SCW pour découvrir les innovations de nos produits et assister à une démonstration de Coding Labs. Veuillez vous inscrire au webinaire ici.

Intégrez la formation au code sécurisé à votre LMS SCORM préféré.

Prochainement, les administrateurs SCW pourront gérer plus facilement leur programme de formation sur le code sécurisé avec leurs autres plateformes de formation sans avoir à effectuer de développement manuel. Cela permettra de gagner du temps et aidera les administrateurs à se concentrer sur des moyens plus efficaces d'améliorer leurs programmes de formation.

Si vous n'êtes pas familier avec ce terme, SCORM signifie « Shareable Content Object Reference Model » (modèle de référence pour les objets de contenu partageables) . Il s'agit d'une norme internationale pour les cours en ligne. Si votre cours est publié au format SCORM, vous pouvez être certain qu'il sera reconnu par presque tous les systèmes de gestion de l'apprentissage (LMS).

Grâce à la nouvelle intégration de SCORM LMS, vous pouvez :

• Intégrez la formation au code sécurisé directement dans votre LMS préféré afin de gérer les participants et les tâches en un seul endroit.
• Veuillez suivre les progrès et l'avancement de votre organisation.

‍

Veuillez vous assurer que votre programme SCW est directement intégré dans le flux de travail de vos développeurs préférés afin d'améliorer l'expérience utilisateur. Les paquets SCORM peuvent être téléchargés pour les cours et les évaluations, ce qui permet une intégration parfaite du LMS avec des plateformes populaires telles que SAP SuccessFactors, Workday et Cornerstone, entre autres.

L'intégration avec LMS SCORM sera disponible pour les clients en version préliminaire en octobre. Veuillez contacter votre gestionnaire de compte pour plus d'informations.

Extension de l'étendue et de la profondeur de la plateforme SCW

L'expansion continue de Secure Code Warrior de nouveaux contenus contribue à maintenir nos modules pertinents, opportuns et adaptés à ce que vous devez savoir dans le paysage actuel de la cybersécurité. Avec une ampleur et une profondeur inégalées dans le secteur, avec plus de 55 langues, il est facile de créer et de développer un programme pour former les développeurs dans un grand nombre de langages et de cadres.

Veuillez protéger les applications ABAP contenant du contenu de formation récemment publié.

À la suite de notre lancement au printemps, nous sommes ravis de proposer de nouvelles méthodes de formation pour les développeurs qui programment en ABAP, avec 6 nouveaux tutoriels et 14 missions.

Accédez à une éducation flexible et diversifiée avec de nouveaux défis et contenus.

Secure Code Warrior de publier régulièrement du contenu adapté à différents niveaux de compétence, tout en veillant à ce que nos modules de formation restent pertinents et stimulants. Ce trimestre, SCW a publié davantage de contenu pour les langages de programmation populaires, tels que :

• 33 défis RPG supplémentaires, l'une des principales demandes de nos clients
• La possibilité de créer des tournois dans les jeux de rôle
• 10 défis supplémentaires de Python Django

Tout le nouveau contenu est désormais disponible dans les groupes de défis pour jouer sur la plateforme.

Simplification de l'expérience administrative et utilisateur

La mise en place d'un programme de formation au codage sécurisé, évolutif et attrayant, est désormais plus facile que jamais grâce aux améliorations majeures apportées à la convivialité de la plateforme.

Modifiez facilement un cours publié.

Restez à jour avec les besoins en constante évolution de votre organisation et de votre programme de formation grâce à de nouvelles façons de modifier les programmes existants. Le contrôle des versions des cours permet aux administrateurs de modifier les cours existants sans avoir à en créer un nouveau. Il s'agissait de l'une des fonctionnalités les plus demandées par les clients.

Les mises à jour comprennent :

• Ajouter de nouvelles langues à un cours publié
• Ajouter/mettre à jour/supprimer des modules et du contenu d'activités dans le cours
• Ajouter/mettre à jour/supprimer les activités de fin d'année
• La plateforme conservera une version principale d'un cours afin de créer un contrôle de version de base.

Accédez aux cours depuis l'écran d'accueil.

L'ajout du bouton « Continuer » à la nouvelle page d'accueil affiche une liste de fiches d'activités pour aider les utilisateurs à reprendre rapidement les modules qu'ils ont commencés précédemment. Les utilisateurs peuvent également voir désormais une fenêtre sur l'écran d'accueil pour visualiser les modules incomplets.

Cela permet aux utilisateurs de reprendre efficacement là où ils se sont arrêtés s'ils doivent interrompre un cours ou une évaluation, sans perdre aucune de leurs avancées.

‍

Ces deux fonctionnalités sont disponibles pour les comptes ayant activé l'accès anticipé sur la plateforme. Veuillez contacter votre administrateur de compte si vous avez des questions concernant l'accès.

Conception inclusive et accessible

Chez Secure Code Warrior, nous croyons que le langage et le design ont le pouvoir de créer des ponts et d'améliorer la compréhension, en connectant divers groupes d'utilisateurs dans le cadre de notre mission de promotion du codage sécurisé. Notre objectif est de créer et d'offrir une expérience inclusive et accessible, et nous sommes ravis de continuer à progresser dans le domaine du design accessible.

Le chinois traditionnel est désormais disponible.

Avec l'ajout du chinois traditionnel aux langues disponibles sur la plateforme, nous continuons à créer une communauté véritablement mondiale de développeurs qui peuvent accéder aux outils dont ils ont besoin pour devenir des champions de la sécurité.

Vous pouvez accéder aux langues depuis le menu déroulant des paramètres. Le chinois traditionnel est également disponible avec des sous-titres vidéo dans notre section ressources.

Nous vous invitons à participer au webinaire ProductTalk qui se tiendra le 5 octobre 2022.

Souhaitez-vous obtenir davantage d'informations ? Nous vous invitons à participer à notre webinaire ProductTalk le 5 octobre 2022 afin d'écouter les membres de nos équipes produits présenter des mises à jour intéressantes et de nouvelles fonctionnalités, ainsi que le paysage changeant de la sécurité impulsé par les développeurs.

Veuillez vous inscrire au webinaire ici.

Souhaitez-vous essayer Secure Code Warrior vous n'avez pas encore de compte ? Veuillez vous inscrire pour un compte d'essai gratuit dès aujourd'hui pour commencer.

Voici un résumé des nouvelles fonctionnalités de ce trimestre. Suivez Secure Code Warrior Twitter pour obtenir des mises à jour sur les dernières versions et améliorations.

Après seulement quelques minutes passées à parcourir les actualités technologiques, il apparaît clairement à quel point le paysage des menaces devient préoccupant. Il semble que chaque jour apporte son lot de rapports faisant état d'une violation importante, d'une nouvelle vulnérabilité ou d'une menace grave d'exploitation active par des cyberattaquants et des criminels. Presque tous les rapports et indicateurs du secteur font état d'un nombre croissant de cybermenaces, et la plupart des experts prévoient que cette tendance se poursuivra dans les années à venir.

Pour faire face à ces nouvelles menaces, les professionnels de la sécurité informatique de première ligne sont épuisés et en sous-effectif. Malgré des salaires élevés et leur rôle pratiquement indispensable pour toute entreprise ou organisation, il n'y a jamais assez de personnel de sécurité pour tous. Dans une récente enquête menée par le Center for Strategic and International Studies, 82 % des décideurs informatiques ont déclaré que leur organisation souffrait d'une pénurie de compétences en matière de cybersécurité, et 71 % ont déclaré que cette pénurie avait causé des dommages directs et mesurables à leur organisation. Rien qu'aux États-Unis, le rapport indiquait qu'il y avait plus de 520 000 postes à pourvoir dans le domaine de la cybersécurité, alors que ce secteur ne compte qu'environ 940 000 employés.

À l'échelle mondiale, il existe actuellement environ 3,5 millions d'emplois vacants dans le domaine de la cybersécurité, ce qui signifie que même les organisations prêtes à investir des sommes considérables pour recruter et retenir des professionnels hautement qualifiés rencontrent des difficultés pour trouver des candidats adéquats. En moyenne, il faut environ 21 % de temps supplémentaire pour pourvoir un poste dans le domaine de la cybersécurité par rapport à tout autre poste, si tant est qu'il soit possible de le pourvoir.

La qualification des développeurs a été négligée pendant trop longtemps.

Nous avons observé dans de nombreux articles précédents qu'il est possible de faire appel aux développeurs pour combler certaines lacunes critiques dans les défenses de cybersécurité. Cependant, traditionnellement, les développeurs ne recevaient aucune formation en matière de cybersécurité. Leur performance professionnelle était presque exclusivement basée sur la rapidité et le temps de mise en œuvre. La sécurité était la responsabilité des équipes AppSec en aval.

Malheureusement, il ne suffit pas de changer de sujet et de demander aux développeurs de commencer soudainement à ajouter des mesures de sécurité à leurs applications et programmes. Même s'ils sont disposés à apporter ces modifications, et les enquêtes ont démontré que beaucoup d'entre eux le sont, ils ont encore besoin de formation pour y parvenir. Ils ont également besoin de l'encouragement et du soutien de la haute direction, mais le premier obstacle, et souvent le plus important, est de disposer de la possibilité d'apprendre de manière significative.

Il existe une raison pour laquelle des millions de postes hautement sécurisés et bien rémunérés dans le domaine de la sécurité informatique restent vacants à travers le monde. Si c'était un travail facile, tout le monde se lancerait dans ce domaine. Apprendre à lutter contre les menaces et à éliminer les vulnérabilités du code est difficile, et le paysage des menaces évolue constamment. Tenter d'enseigner la cybersécurité, même à des développeurs relativement experts en technologie, ne peut se faire efficacement avec une formation statique qui évolue rapidement et qui n'est pas facile à mémoriser, et aura un impact positif minimal, surtout si ces exigences s'ajoutent à leurs emplois du temps déjà surchargés.

Veuillez construire un échafaudage pour atteindre un terrain plus élevé.

Enseigner les compétences en cybersécurité à l'aide de méthodes traditionnelles revient à tenter de construire un gratte-ciel sans quitter le sol. Cela n'est pas possible, car les étudiants ne disposent pas des bases nécessaires pour maîtriser les nombreux concepts avancés d'un domaine complexe tel que la cybersécurité. Pour pallier cela, le concept d'apprentissage par échafaudage peut être utilisé.

Lorsqu'une approche progressive ou « par étapes » est utilisée pour améliorer les compétences, les thèmes plus larges sont généralement divisés en expériences ou concepts d'apprentissage distincts. Cela garantit que les étudiants peuvent maîtriser chaque concept grâce à des exercices et des instructions appropriés, en fournissant tout le soutien nécessaire pour chaque composante. Les concepts les plus récents et les plus avancés viennent s'ajouter à ceux déjà maîtrisés, de la même manière que des échafaudages physiques sont construits au fur et à mesure que le bâtiment s'élève. De cette manière, les élèves peuvent atteindre des niveaux de compréhension et d'acquisition de compétences plus élevés que ceux qu'ils pourraient maîtriser sans aide.

Et tout comme le soutien physique, ce soutien est progressivement supprimé lorsqu'il n'est plus nécessaire, les étudiants assumant une plus grande responsabilité à mesure qu'ils acquièrent de plus en plus de connaissances.

L'apprentissage par échafaudage est principalement utilisé pour réduire les émotions négatives et les perceptions de soi que les étudiants peuvent ressentir lorsqu'ils se sentent frustrés, intimidés ou découragés en essayant de réaliser une tâche difficile sans aide. Cependant, il peut également s'avérer très utile lorsqu'il s'agit d'aborder un concept extrêmement complexe tel que la cybersécurité moderne. Loin d'être une manière de traiter les développeurs comme des enfants, cette approche s'avère extrêmement utile lorsque leur expérience avec l'équipe de sécurité peut avoir le même effet frustrant et décourageant, en particulier lorsque leurs efforts sont récompensés par des corrections d'erreurs et une nouvelle série de critiques.

Lorsque les développeurs reçoivent des outils pour comprendre les principes fondamentaux du codage sécurisé (généralement en commençant par le Top 10 de l'OWASP), ils peuvent vérifier par eux-mêmes comment les failles de sécurité se produisent, pourquoi elles sont dangereuses et comment les corriger avant qu'elles ne se retrouvent en production. À partir de là, ils peuvent approfondir leurs connaissances en abordant des vulnérabilités plus complexes et en acquérant une expérience pratique dans la mise en œuvre de solutions appropriées. Les couches s'épaississent progressivement, et lorsqu'il s'agit de problèmes de sécurité avancés, tels qu'une architecture logicielle non sécurisée ou la création de modèles de menaces, ces avancées ne semblent plus aussi intimidantes et peuvent être abordées avec précision.

En tant qu'industrie, nous ne devons jamais attendre des développeurs qu'ils deviennent des experts en sécurité, mais les organisations peuvent adopter de nouvelles normes pour former les développeurs afin qu'ils puissent produire des logiciels de meilleure qualité. En tant qu'avantage supplémentaire pour les organisations qui travaillent dans l'ingénierie et améliorent leurs compétences, chaque étape du processus, ou chaque niveau d'échafaudage, se traduira directement par une amélioration de la cybersécurité à mesure qu'elles apprendront. Il n'est pas nécessaire d'attendre la fin d'un cours pour constater les résultats.

Il est difficile d'apprendre la cybersécurité, et il est presque impossible de la maîtriser sans une aide et une formation adéquates. L'adoption d'un programme de sécurité avec un apprentissage progressif peut vous aider à en tirer le meilleur parti, car les avantages sont visibles presque immédiatement. Les améliorations seront visibles presque immédiatement et continueront de s'améliorer au fil du temps.

Commencez à former des développeurs avec une sécurité solide grâce à notre aide ; consultez :

Cours
Missions
Formation pour développeurs

... et bien plus encore !

Responsables de la sécurité des applications, RSSI, DSI et experts en cybersécurité : j'ai eu l'occasion de m'entretenir avec un grand nombre d'entre eux, qui travaillent dans divers types d'entreprises à travers le monde, tout au long de ma carrière dans le développement de logiciels et la sécurité.

Quelle que soit la spécificité de votre situation, l'expérience de votre équipe ou le temps que vous passez dans ce monde numérique en constante évolution, un problème demeure : il est rarement possible d'impliquer positivement votre équipe de développement en matière de sécurité. La sécurité reste un sujet délicat, source de conflits entre les équipes et véritable casse-tête pour le secteur.

Cependant, la sécurité des logiciels est tout simplement trop importante pour que notre mentalité générale continue dans cette voie. Nous devons nous efforcer de changer le discours et faire de la sécurité une partie intégrante de la vie professionnelle de chaque développeur. Et je pense que l'un des meilleurs moyens d'y parvenir est de responsabiliser les développeurs et d'interagir avec eux en matière de sécurité, par exemple grâce à la gamification.

La situation actuelle

Les développeurs sortent de l'université avec très peu de connaissances pratiques sur la livraison de code sécurisé et occupent des postes où la formation à la sécurité est rarement une priorité (et lorsqu'elle l'est, elle fait généralement partie des vidéos obligatoires sur la santé et la sécurité, qui sont si ennuyeuses que personne ne se laisserait convaincre par le codage sécurisé). Très souvent, leur première expérience en matière de sécurité est un rapport sur une erreur lors d'un audit ou d'un test qui, soudainement, interrompt la publication d'une version future et devient une interruption immédiate et prioritaire de leur esprit créatif. Ils sont en désaccord avec les responsables des rapports de sécurité, et pensent donc que « sécurité » devient synonyme de « critique ». Quelle situation regrettable.

Sincèrement, il est regrettable que cette perception négative de la sécurité des logiciels soit si répandue. Après tout, certains de mes meilleurs souvenirs professionnels sont liés à l'apprentissage de la sécurité des logiciels. J'ai passé mes débuts en tant que hacker à assister à des conférences, où je pouvais non seulement mettre mes compétences à l'épreuve (et, honnêtement, me vanter un peu) devant mes pairs, mais aussi m'amuser énormément en rencontrant des personnes partageant les mêmes idées et qui appréciaient autant que moi la création de logiciels.

BruCon, DefCon, BlackHat... ces événements ont permis à des personnes comme moi de mettre à profit nos compétences dans le cadre d'une compétition amicale. Bien que je n'admettrais jamais avoir participé à des événements aussi antisociaux, certains démontrent même leurs talents de pirates informatiques en volant les téléphones d'autres participants et en affichant leurs informations sur les écrans de présentation pour que tout le monde puisse les voir. C'est devenu un jeu consistant à rechercher ces failles (en les exploitant et en les corrigeant) afin d'améliorer les logiciels. Il y a quelques années, j'ai eu le privilège de me présenter devant des centaines d'enfants au Moyen-Orient et de leur enseigner la cybersécurité. Je me souviens encore d'une élève de huit ans qui apprenait à utiliser des mots de passe par force brute et à coder en base64 tout en jouant.

La gamification est également utilisée pour enseigner les compétences en codage. Les établissements d'enseignement du monde entier utilisent cette approche pour enseigner la programmation à de très jeunes enfants, même jusqu'à l'âge de fréquenter l'école secondaire. Des enfants âgés de seulement quatre ans participent désormais régulièrement à des initiatives telles que CodeCamp, et il existe toute une série de programmes en ligne exceptionnels qui enseignent aux enfants à programmer en Python et dans d'autres langages. J'ai même acheté l'incroyable outil de codage sans écran Cubetto pour ma fille de quatre ans.

Cependant, malgré tout ce divertissement et ces progrès, il existe une lacune. Personne n'a envisagé la possibilité d'utiliser la gamification pour former les développeurs à l'écriture de code sécurisé.

Eh bien... presque personne. Il y a quelques années, j'ai réalisé que nous devions redonner à la sécurité son caractère inspirant et motiver réellement les développeurs à s'impliquer et à commencer à jouer.

Gamification : la voie la plus simple à suivre.

J'ai un profond désir d'encourager et de former les développeurs en matière de sécurité, et c'est cette passion qui m'a conduit à créer Secure Code Warrior. La sécurité des logiciels est très importante et peut s'avérer vraiment passionnante.

Je ne suis pas seul dans mes réflexions.

La gamification peut rendre même les tâches les plus banales plus amusantes et maintenir les gens suffisamment engagés pour qu'ils aient envie de continuer à jouer, à gagner et à progresser. Il suffit de considérer le succès de Pokémon Go, qui a incité même les personnes les plus sédentaires à se lever de leur canapé, à sortir à l'extérieur et à rechercher des créatures imaginaires, ou encore FitBit, qui est devenu un objectif quotidien pour de nombreuses personnes souhaitant atteindre leur nombre de pas quotidien. Un sentiment de déception peut être ressenti si ces objectifs ne sont pas atteints, si les séries sont interrompues et si les badges ne sont pas gagnés.

Revenons donc à la formation à la sécurité. Nous avons démontré auprès de nombreux clients que la gamification est essentielle pour transformer véritablement la culture de sécurité de leurs organisations, établir des ponts entre AppSec et les équipes de développement et, de manière générale, les aider à créer des logiciels de meilleure qualité.

À l'heure actuelle, la sécurité n'est pas la priorité du développeur. En ajoutant un élément convivial, compétitif et attrayant à vos méthodes d'entraînement, vous les encouragez non seulement à « jouer », mais aussi à continuer à accumuler des points, à battre des records, à améliorer leur précision et à défier leurs coéquipiers.

Nous savons déjà qu'une formation réussie ressemble à ceci :

• Les développeurs peuvent travailler sur du code réel et dans leurs propres langages/cadres.
• Les défis sont courts et couvrent toutes les vulnérabilités de sécurité courantes.
• Les défis sont constamment élargis et mis à jour afin que les développeurs puissent continuer à développer leurs compétences au fil du temps.
• Les défis varient en termes de complexité, ce qui les rend attrayants tant pour les développeurs seniors que pour les moins expérimentés.
• Les développeurs et leurs responsables peuvent visualiser les progrès réalisés, y compris les défis qu'ils ont relevés, leurs points forts et leurs points faibles, le temps consacré à la formation et leur niveau de précision global.

L'un de nos principaux clients a démontré la véritable efficacité d'une plateforme ludique lors de son lancement, en offrant à ses développeurs des équipements thématiques, en proposant des récompenses exceptionnelles aux gagnants des jeux et en faisant de son tournoi une journée mémorable. Depuis lors, ils ont organisé des compétitions internationales et, à ce jour, toute leur équipe continue d'accumuler de longues heures d'entraînement.

Votre propre révolution logicielle commence ici. Le secteur bancaire australien est à l'avant-garde de l'adoption d'une formation ludique pour lutter contre les codes incorrects, avec une approche véritablement innovante qui bouleverse la formation traditionnelle (ou ennuyeuse). Il suffit de voir ce que notre client a réalisé avec son tournoi de haut niveau. Êtes-vous prêt à faire passer votre équipe au niveau supérieur avec nous ?

Nous devons nous efforcer de changer le discours et de faire de la sécurité une partie intégrante de la vie professionnelle de chaque développeur. Je pense que l'un des meilleurs moyens d'y parvenir est de responsabiliser les développeurs et d'interagir avec eux sur les questions de sécurité, par exemple grâce à la gamification.

Il existe une théorie bien connue selon laquelle les cafards peuvent survivre à pratiquement tout, même à une explosion nucléaire. Bien que cette théorie ne soit vraie que dans une certaine mesure, leur simple constitution corporelle les rend extrêmement résistants pour leur taille et difficiles à éradiquer dans la plupart des conditions.

J'ai réfléchi... Si les cafards avaient un équivalent dans le monde numérique, ce serait les vulnérabilités d'injection SQL (SQLi) dans le code. Il s'agit d'une vulnérabilité connue depuis plus de vingt ans, mais les organisations en sont victimes à maintes reprises. L'attaque généralisée et coûteuse contre Target était le résultat d'une injection SQL, tout comme un piratage électoral dans l'Illinois, où 200 000 dossiers d'électeurs ont été exposés, ce qui a conduit le FBI à recommander à tous les administrateurs informatiques de renforcer rapidement leurs pratiques de sécurité.

Le rapport Imperva sur les initiatives de renseignement en matière de piratage informatique a révélé qu'entre 2005 et 2011, les attaques SQLi ont été utilisées dans 83 % de toutes les violations de données signalées. À l'heure actuelle, les vulnérabilités par injection restent la principale menace dans le Top 10 de l'OWASP. Elles sont relativement simples, mais persistent.

Il semble surprenant que cette même vulnérabilité continue d'apparaître dans un nombre significatif d'analyses de sécurité des applications. Nous comprenons son fonctionnement et savons comment la contrer. Comment cela est-il possible ? En réalité, la sécurité de nos logiciels présente une marge d'amélioration considérable.

Le rapport de Veracode sur l'état de la sécurité des logiciels, basé sur 400 000 analyses d'applications en 2017, a révélé une statistique préoccupante : seulement 30 % des applications ont satisfait aux 10 principales recommandations de l'OWASP. Ce problème est récurrent depuis cinq ans, les injections SQL apparaissant dans près d'une application sur trois récemment analysée. Cela démontre qu'il s'agit d'un problème endémique : nous ne tirons pas les leçons de nos erreurs, et les RSSI semblent devoir mener un combat difficile pour recruter suffisamment de talents en matière de sécurité. En général, le ratio entre les spécialistes de la sécurité des applications et les développeurs est inadéquat, à savoir 1 pour 100.

Pourquoi la sécurité des logiciels est-elle d'une importance vitale ?

Il n'est pas surprenant que les talents spécialisés dans la sécurité soient rares, mais nous devons également prêter attention au fait que les développeurs ne résolvent pas les problèmes dès qu'ils surviennent et qu'ils sont manifestement mal préparés pour éviter d'introduire des vulnérabilités dès le départ. Dans le même rapport de Veracode, il a été révélé que seules 14,4 % de toutes les vulnérabilités de développement avaient fait l'objet de mesures d'atténuation documentées. En d'autres termes, la plupart des vulnérabilités ont été présentées sans aucune mesure d'atténuation de la part des développeurs. Moins d'un tiers des vulnérabilités ont été corrigées au cours des 90 premiers jours, et 42 % des vulnérabilités n'ont jamais été corrigées pendant la période de développement.

Je communique régulièrement avec des professionnels de la sécurité, des RSSI et des PDG, et j'ai remarqué que de nombreuses entreprises sont tellement frustrées par le nombre de vulnérabilités détectées qui ne peuvent être atténuées (en plus du problème connu sous le nom de faux positifs) qu'elles cessent complètement de les rechercher, croisent les doigts et espèrent que tout ira pour le mieux.

Pourquoi les professionnels de la sécurité des applications permettent-ils que cela se produise ?

Ne vous méprenez pas : les utilisateurs d'AppSec sont pleinement conscients des problèmes liés au code. Après tout, c'est l'une de leurs principales compétences qui fait d'eux une ressource si précieuse pour l'équipe. Cependant, ils sont souvent confrontés à divers obstacles.

Par exemple, un administrateur AppSec détectera un problème et demandera au développeur : « Pouvez-vous corriger le code ? ». La réponse à cette question importante varie d'une organisation à l'autre, mais en général, les développeurs s'efforcent tellement de respecter les délais de livraison stricts des fonctionnalités qu'ils n'ont tout simplement pas le temps de résoudre ces problèmes ni les outils adéquats pour les aider. Les professionnels de la sécurité des applications peuvent être capables d'identifier les vulnérabilités, mais ils n'ont souvent pas les compétences ou l'accès nécessaires pour les corriger immédiatement.

Il est également important de comprendre que chaque problème nécessite un processus consistant à trouver une solution, à la mettre en œuvre, puis à la tester. Même pour le plus petit problème rencontré dans le code, le temps nécessaire pour le résoudre, sans parler des ressources requises, est considérable. Il existe plus de 700 vulnérabilités qui peuvent être introduites dans un logiciel, et il est tout simplement impossible pour une seule personne de se prémunir contre chacune d'entre elles. C'est pourquoi la plupart des entreprises se limitent à suivre uniquement les 10 meilleures pratiques de l'OWASP. Pendant ce temps, les développeurs continuent de créer des fonctionnalités et, ce faisant, continuent d'introduire des vulnérabilités dans le code qu'ils écrivent.

Quelle est la solution ?

Le fait est que nous ne fournissons pas à nos développeurs les outils et la formation nécessaires pour favoriser le succès du codage sécurisé. Aucune réglementation n'oblige les organisations à s'assurer que les développeurs possèdent les compétences adéquates en matière de sécurité, et il est regrettable que la plupart des universités et des stages ne préparent pas non plus les jeunes développeurs à programmer de manière sécurisée.

Lorsqu'une personne souhaite piloter un avion, elle doit suivre un processus très rigoureux qui garantit sa formation, son expérience pratique, ses examens médicaux, ses connaissances en matière de sécurité et ses examens avant de pouvoir voler. Personne n'oserait imaginer se passer de cette préparation exhaustive et de la validation de ses compétences, mais c'est pourtant ce qui se produit quotidiennement dans le domaine de l'écriture de codes.

Il est nécessaire de consacrer du temps à former les développeurs à la rédaction de code sécurisé. Cependant, dans le monde actuel, où le développement de logiciels est rapide et où les développeurs et les professionnels de la sécurité compétents sont rares, cela ne semble jamais être une priorité. Il est temps de changer la donne.

Un titre récent du Forum économique mondial affirmait : « Il ne peut y avoir d'économie numérique sans sécurité », et le contenu qui l'accompagnait soulignait la nécessité de faire de la sécurité un élément fondamental de toute stratégie de transformation numérique. « La sécurité protège les entreprises, leur permettant d'innover et de créer de nouveaux produits et services. Au-delà de sa fonction défensive, la sécurité offre aux entreprises un avantage stratégique en termes de croissance. »

L'amélioration des compétences et des résultats en matière de codage sécurisé ajoutera une couche de cyberprotection puissante pour les organisations, les aidant à créer un code de meilleure qualité et plus rapide. Les développeurs n'ont pas besoin de devenir des experts en sécurité, mais ils doivent être formés de manière positive et pratique afin de constituer la première ligne de défense contre les cyberattaques. Les développeurs peuvent être les prochains héros de la sécurité et de l'innovation. Ce sont des personnes très intelligentes, qui résolvent les problèmes de manière créative et qui, en général, sont désireuses de développer leurs compétences. Tirez parti de leurs points forts en leur offrant la formation spécialisée qu'ils méritent et engagez-vous à respecter des normes de sécurité logicielle plus strictes. Veuillez consulter notre livre blanc pour plus d'informations.

Lorsqu'une personne souhaite piloter un avion, elle doit suivre un processus très rigoureux qui garantit sa formation, son expérience pratique, ses examens médicaux, ses connaissances en matière de sécurité et ses examens avant de pouvoir voler. Personne n'oserait imaginer se passer de cette préparation exhaustive et de la validation de ses compétences, mais c'est pourtant ce qui se produit quotidiennement dans le domaine de l'écriture de codes.

Il existe de nombreuses références dans la culture populaire à l'intelligence artificielle et aux robots malveillants, ainsi qu'aux appareils qui se rebellent contre leurs maîtres humains. Ces références sont imprégnées de fantaisie et de divertissement de science-fiction, mais à mesure que l'Internet des objets et les appareils connectés deviennent de plus en plus courants dans nos foyers, il convient également d'aborder la question de la cybersécurité et de la sécurité. Les logiciels sont omniprésents, et il est facile d'oublier à quel point nous dépendons des lignes de code pour réaliser toutes ces tâches intelligentes qui nous apportent tant d'innovation et de confort. Tout comme les logiciels basés sur le web, les API et les appareils mobiles, le code vulnérable des systèmes embarqués peut être exploité s'il est découvert par un attaquant dans son environnement naturel.

Bien qu'il soit peu probable qu'une armée de micro-ondes vienne asservir la race humaine (même si Bot Tesla est quelque peu préoccupant) à la suite d'une cyberattaque, il est tout de même possible que des cyberévénements malveillants se produisent. Certaines de nos voitures, certains de nos avions et certains de nos appareils médicaux s'appuient également sur des codes complexes de systèmes intégrés pour effectuer des tâches essentielles, et la possibilité que ces objets soient compromis est non seulement alarmante, mais peut également mettre des vies en danger.

Comme pour tout autre type de logiciel, les développeurs sont les premiers à manipuler le code, dès le début de la phase de création. Et, comme pour tout autre type de logiciel, cela peut constituer un terrain propice à l'apparition de vulnérabilités courantes et insidieuses qui pourraient passer inaperçues avant que le produit ne soit mis en service.

Les développeurs ne sont pas des experts en sécurité, et aucune entreprise ne devrait attendre d'eux qu'ils jouent ce rôle, mais ils peuvent être équipés d'un arsenal beaucoup plus solide pour faire face aux types de menaces qui les concernent. Les systèmes embarqués (généralement écrits en C et C++) seront de plus en plus utilisés à mesure que nos besoins technologiques continueront d'évoluer. Il est donc essentiel que les développeurs bénéficient d'une formation spécialisée en matière de sécurité sur les outils de cet environnement.

Friteuses explosives, véhicules rebelles... Sommes-nous des cibles faciles ?

Bien qu'il existe certaines normes et réglementations relatives au développement sécurisé, pour garantir notre sécurité, nous devons progresser de manière beaucoup plus précise et significative vers tous les types de sécurité logicielle. Il peut sembler farfelu d'imaginer un problème pouvant être causé par quelqu'un qui pirate une friteuse, mais cela s'est produit sous la forme d'une attaque par exécution de code à distance (qui permet à l'auteur de la menace d'élever la température à des niveaux dangereux), tout comme les vulnérabilités qui provoquent le détournement de véhicules.

Les véhicules, en particulier, sont particulièrement complexes, avec de multiples systèmes intégrés à bord, chacun d'entre eux étant chargé de microfonctions, des essuie-glaces automatiques aux capacités du moteur et du freinage. Grâce à leur combinaison avec un ensemble croissant de technologies de communication, telles que le Wi-Fi, le Bluetooth et le GPS, les véhicules connectés représentent une infrastructure numérique complexe exposée à de multiples vecteurs d'attaque. Avec 76,3 millions de véhicules connectés attendus sur les routes du monde entier en 2023, cela représente un monolithe de bases défensives pour établir une véritable sécurité.

MISRA est une organisation essentielle qui lutte contre les menaces pesant sur les systèmes embarqués et qui a élaboré des directives visant à faciliter la sécurité, la portabilité et la fiabilité du code dans le contexte des systèmes embarqués. Ces directives constituent le fil conducteur des normes que toute entreprise doit s'efforcer de respecter dans ses projets de systèmes embarqués.

Cependant, pour créer et exécuter un code conforme à cette norme de référence, il est nécessaire de disposer d'ingénieurs en systèmes embarqués qui ont confiance dans les outils (sans parler de la sécurité).

Pourquoi l'amélioration des capacités de sécurité des systèmes intégrés est-elle si spécifique ?

Les langages de programmation C et C++ sont considérés comme anciens selon les normes actuelles, mais ils restent largement utilisés. Ils constituent le cœur fonctionnel de la base de code des systèmes intégrés, et Embedded C/C++ bénéficie d'une nouvelle vie dans le monde des appareils connectés.

Bien que ces langages aient des origines assez anciennes (et présentent des comportements de vulnérabilité similaires en termes de problèmes courants, tels que les erreurs d'injection et les dépassements de tampon), pour que les développeurs réussissent à atténuer les erreurs de sécurité dans les systèmes embarqués, ils doivent travailler avec un code qui imite les environnements dans lesquels ils opèrent. Une formation générique en C sur les pratiques générales de sécurité ne sera tout simplement pas aussi efficace ni aussi facile à mémoriser que si l'on consacrait plus de temps et d'attention à travailler dans un contexte C intégré.

Avec entre une douzaine et plus d'une centaine de systèmes intégrés dans un véhicule moderne, il est essentiel que les développeurs reçoivent une formation précise sur ce qu'il faut rechercher et comment le résoudre, directement dans l'IDE.

La protection des systèmes embarqués dès leur conception est une responsabilité qui incombe à tous.

Dans de nombreuses organisations, le statu quo veut que la rapidité de développement prime sur la sécurité, du moins en ce qui concerne la responsabilité du développeur. Sa capacité à produire un code sécurisé est rarement évaluée, mais le développement rapide de fonctionnalités impressionnantes est la norme de référence. La demande en logiciels ne fera qu'augmenter, mais cette culture nous a conduits à perdre la bataille contre les vulnérabilités et les cyberattaques qu'elles permettent.

Si les développeurs ne sont pas formés, ce n'est pas de leur faute, et c'est une lacune que quelqu'un de l'équipe AppSec doit aider à combler en recommandant les programmes d'amélioration des compétences appropriés et accessibles (sans parler des programmes évaluables) pour toute la communauté des développeurs. Dès le début d'un projet de développement logiciel, la sécurité doit être l'une des principales considérations, afin que tous, en particulier les développeurs, reçoivent ce dont ils ont besoin pour remplir leur rôle.

Familiarisez-vous avec les problèmes de sécurité des systèmes intégrés.

Le débordement de tampon, les failles d'injection et les erreurs de logique métier sont des erreurs courantes dans le développement de systèmes intégrés. Lorsqu'elles sont enfouies au plus profond d'un labyrinthe de microcontrôleurs dans un seul véhicule ou appareil, elles peuvent constituer un problème majeur en matière de sécurité.

Le débordement de tampon est particulièrement fréquent. Si vous souhaitez en savoir plus sur la manière dont il a contribué à compromettre la friteuse dont nous avons parlé précédemment (qui permettait l'exécution de code à distance), veuillez consulter ce rapport dans CVE-2020-28592.

Il est temps de se mettre au travail sur une vulnérabilité de type « buffer overflow » dans du code C/C++ embarqué réel. Relevez ce défi pour voir si vous pouvez localiser, identifier et corriger les modèles de codage déficients qui conduisent à cette erreur insidieuse :

Comment cela s'est-il passé ? Veuillez consulter www.securecodewarrior.com pour une formation précise et efficace sur la sécurité des systèmes intégrés.

Cet article a été initialement publié sur DevOps.com. Il a été mis à jour et modifié.

Tout comme « blockchain », « big data » et « disruption numérique », le terme « DevOps » est un autre mot à la mode actuellement utilisé dans les services informatiques des grandes organisations.

Beaucoup ont identifié (à juste titre) la nécessité d'accélérer les cycles de vie du développement logiciel ; un processus plus précis, étroitement aligné sur les objectifs commerciaux, permettant un flux de travail et une collaboration plus clairs entre les équipes de développement et les équipes opérationnelles. Le DevOps est, par essence, un développement « agile », conçu et préparé pour répondre aux besoins des entreprises modernes, qui innovent constamment et se déploient rapidement. Pour les professionnels de la sécurité, il s'agit d'une initiative remarquable : nous pouvons intégrer la sécurité dans le processus beaucoup plus tôt, ce qui réduit le coût de la correction des erreurs et évite d'éventuelles catastrophes à l'avenir.

Le problème est que peu d'entreprises réussissent réellement à mettre en œuvre le DevOps. Sans le soutien, l'attention et la compréhension nécessaires à l'échelle de l'entreprise, celle-ci peut rapidement devenir un gouffre financier... vous savez, l'un de ces projets dont il est préférable de ne pas discuter.

Alors, quel est le problème ? Il s'agit d'un débat intéressant, et il existe plusieurs façons d'aborder DevOps qui, selon moi, faciliteront considérablement la navigation. Un programme efficace va au-delà de quelques nouveaux outils, titres et réunions d'équipe sophistiqués. Cela ne sera pas toujours facile, mais prendre le temps de corriger une stratégie qui ne fonctionne pas (ou de la mettre en œuvre correctement dès le départ) sera beaucoup moins pénible à long terme. En fin de compte, cela se traduira par des logiciels plus sûrs et de meilleure qualité.

Nous allons l'analyser :

Veuillez détacher les cordons du tablier « Agile ».

Il existe une idée quelque peu erronée selon laquelle une organisation doit choisir entre Agile ou DevOps, en établissant une voie ou une autre, pour ne pas regarder en arrière.

Le fait est que le processus de développement fonctionne mieux lorsque les deux sont considérés et mis en œuvre comme un tout. DevOps n' est pas une réinvention du développement agile, mais plutôt une extension de celui-ci. Les rouages ont tendance à se gripper lorsque l'on attend du processus qu'il se déroule exactement comme Agile, ou complètement différemment d'Agile.

Agile soutient le principe des équipes interfonctionnelles, car il rassemble dès le début des concepteurs, des évaluateurs et des développeurs et s'engage à ouvrir des voies de communication tout au long d'un projet. Son objectif est de mettre fin au travail en silos et de réduire la double gestion, qui sont également des avantages du processus DevOps. Cependant, DevOps va plus loin et intègre les systèmes, la sécurité et les opérations afin d'offrir un ensemble de compétences solides et complètes dans le but final de fournir un logiciel complet et fonctionnel au client.

Au cours des inévitables difficultés liées au passage à un processus davantage axé sur le DevOps, le risque d'un développement isolé peut réapparaître. Souvent, l'équipe Agile d'origine travaille en équipe, tandis que les ajouts en matière de sécurité et d'opérations continuent de se faire une place dans la machine ; personne ne sait vraiment comment les inclure, ce qu'ils devraient faire et quels sont leurs objectifs généraux.

Le DevOps ne peut fonctionner sans objectifs clairement définis, une intégration interfonctionnelle et une communication directe avec toutes les parties. Il ne fait aucun doute qu'une période d'adaptation sera nécessaire, qui exigera une gestion minutieuse des changements, mais obtenir l'adhésion de tous aux améliorations apportées par la fonctionnalité DevOps représente déjà la moitié du chemin.

De plus en plus (heureusement), DevOps met également davantage l'accent sur les meilleures pratiques de sécurité dans le cadre du processus, démystifiant ainsi cette étape et réduisant le fossé entre l'équipe de sécurité et, disons, tous les autres. Comme je l'ai déjà mentionné, il reste encore un long chemin à parcourir avant que les développeurs puissent programmer en toute sécurité dès le début, mais la mise en œuvre réussie des méthodologies DevOps constitue une excellente base sur laquelle développer les compétences en matière de sécurité de l'équipe de développement.

L'automatisation n'est pas la solution idéale (et n'est pas la plus sûre).

Une autre caractéristique de la méthodologie DevOps est, dans une certaine mesure, l'automatisation du processus de développement logiciel. Les principes de l'intégration continue et de la livraison continue (CI/CD) constituent les fondements de ce concept et, comme vous pouvez l'imaginer, ils dépendent largement des outils.

Les outils sont remarquables, vraiment. Ils peuvent apporter une rapidité sans précédent au processus de livraison des logiciels, car ils gèrent le référentiel de code, les tests, la maintenance et les éléments de stockage avec une relative fluidité.

Cependant, même si les robots pourraient un jour nous priver de tous nos emplois et nous emprisonner, ils ne l'ont certainement pas encore fait. La forte dépendance aux outils et à l'automatisation laisse une marge d'erreur. Il est possible que les analyses et les tests ne détectent pas tout, que le code ne soit pas vérifié et que cela pose d'énormes problèmes de qualité (sans parler des problèmes de sécurité) à l'avenir. Il suffit d'une seule porte dérobée pour qu'un pirate en profite et vole des données, et renoncer à l'élément humain dans le contrôle de la qualité et de la sécurité peut avoir des conséquences désastreuses.

Le « juste milieu » consiste à trouver un équilibre entre les personnes et les outils. Les outils doivent servir d'aide à une équipe en laquelle vous avez confiance pour atteindre les objectifs du projet. Vous devriez :

• Veuillez prévoir suffisamment de temps pour que les personnes se familiarisent avec la chaîne d'outils DevOps choisie.
• Concentrez-vous sur une collaboration efficace (et sur la manière dont les outils peuvent la soutenir)
• Veuillez aborder toute lacune dans le processus, qu'elle soit liée aux compétences/connaissances ou aux outils.

En résumé, ne vous contentez pas de « vous préparer » et d'espérer que tout se passe bien.

DevOps n'est pas un terme à la mode, c'est une culture. Cultivez-vous la vôtre ?

La gestion du changement est difficile, même dans les meilleures conditions. La crainte de l'inconnu peut empêcher même les membres les plus brillants de l'équipe de développer leurs compétences et d'élargir leurs horizons.

Il est important de noter que le simple fait de déclarer « adoptons DevOps » et de demander à l'équipe des opérations de changer de bureau ne suffira pas à mettre en œuvre comme par magie un processus efficace. Beaucoup se sentiront désorientés et les membres de l'équipe qui travaillent depuis longtemps seront mécontents. Il est essentiel de communiquer clairement les attentes et de « montrer l'exemple ». DevOps représente à la fois un mouvement culturel et une méthodologie de développement, et une équipe doit incarner une mentalité interfonctionnelle et collaborative.

À quoi ressemble une culture DevOps de qualité ?

• Les personnes ont le pouvoir d'apporter leur expérience à un processus, pas seulement aux dirigeants.
• Communication ouverte, honnête et respectueuse entre les équipes
• Chaque personne assume la responsabilité de l'objectif général qui consiste à intégrer la qualité et la sécurité dans le processus de développement.
• Tous sont d'accord avec la définition de DevOps dans l'entreprise, la feuille de route et le comment, le quoi et le pourquoi du rôle de chaque personne.

Depuis des années, j'insiste sur l'importance de créer des cultures de sécurité positives au sein des équipes de développement, et DevOps ne fait pas exception.

Les outils, les connaissances et le soutien appropriés sont indispensables pour mettre en œuvre les meilleures pratiques en matière de sécurité, réduire le nombre de vulnérabilités découvertes et sensibiliser l'équipe à l'importance de protéger nos données. Avec DevOps, il est essentiel de poser les bases culturelles d'un changement positif : veiller à ce que chacun comprenne son rôle, sa valeur et ses attentes, les objectifs généraux du projet et les étapes du processus.

Avez-vous maîtrisé cela ? Excellent. Maintenant, changeons d'approche, mettons l'accent sur la sécurité et faisons de DevSecOps le plan définitif pour l'excellence logicielle.

Ennuyeux, ennuyeux, ennuyeux ! C'est l'une des principales réponses que vous entendrez de la part des développeurs chaque fois que vous mentionnerez la formation au code sécurisé. Chez Secure Code Warrior qu'il doit y avoir une meilleure solution. C'est pourquoi nous avons collaboré avec Evans Data Corp. pour mener une étude primaire sur les attitudes des développeurs envers le codage sécurisé, les pratiques de code sécurisé et les opérations de sécurité (téléchargez votre copie du document technique). ici).

Dans le prochain article intitulé « Passer de la réaction à la prévention : le visage changeant de la sécurité des applications », les développeurs ont été interrogés sur leurs principaux problèmes avec la formation actuelle en matière de code sécurisé, et la réponse a été révélatrice.

Formation qui décourage les développeurs

Quarante pour cent des développeurs interrogés ont estimé que le codage sécurisé était enseigné de manière abstraite. Quarante pour cent ont estimé que la formation était trop théorique, sans rapport avec leur travail et insuffisamment pratique. 30 % ont identifié un manque de formation dans la langue : le cadre dans lequel ils travaillent quotidiennement. Cela est préoccupant, car cela indique que la formation actuelle sur le codage sécurisé n'est pas pertinente d'un point de vue contextuel et n'a aucun lien significatif avec le travail quotidien des développeurs.

Pour de nombreux développeurs, le principal défi consiste à rester vigilant lors d'activités monotones et sans intervention, qui ne sont ni efficaces ni motivantes pour faire de la sécurité une priorité .

La formation dans le vide empêche les développeurs d'établir des liens cognitifs entre le laboratoire et le monde réel.

Trois éléments que les développeurs attendent de la formation en sécurité du code :

1. De manière écrasante, les développeurs affirment vouloir une formation plus pratique et plus pertinente du point de vue du contexte de leur travail quotidien.
2. 65 % des développeurs affirment qu'il est nécessaire de renforcer la formation sur les vulnérabilités spécifiques au langage et le Top 10 de l'OWASP.
3. 75 % des développeurs interrogés préfèrent une formation structurée et pratique.

Formation destinée à assister les développeurs

En matière de formation pratique, les développeurs apportent un certain niveau d'expérience et de connaissances existantes. Cela souligne la nécessité d'un apprentissage « progressif ». Il s'agit d'une formation structurée (ou structurée) visant à tirer parti des connaissances déjà acquises par le développeur. La formation en échafaudage active et améliore toute expérience antérieure tout en permettant de développer de nouvelles compétences par petites étapes. Cela en fait le moyen idéal pour apprendre sur le terrain.

Transmettre des compétences durables

En ce qui concerne la formation à la sécurité pour les développeurs, nous savons que ces derniers préfèrent la méthode d'apprentissage par la pratique à la monotonie de l'apprentissage statique basé sur la théorie. À cet égard, il est essentiel d'apprendre à programmer en toute sécurité dans un environnement contextuel et hyper-pertinent. En tant que leader du changement en matière de codage sécurisé, Secure Code Warrior une formation pratique et contextuelle sur les langages et les cadres de programmation pertinents, avec des défis similaires à ceux auxquels les développeurs sont confrontés dans le monde réel. Le contenu pédagogique comprend plus de 5 500 défis et missions couvrant plus de 147 types de vulnérabilités différentes, dont les plus importantes de l'OWASP Top 10, de l'OWASP Mobile Top 10, de l'OWASP API Security Top 10 et du CWE/SANS Top 25.

Si vous souhaitez découvrir l'impact potentiel sur vos équipes et leur capacité à fournir plus rapidement un code sécurisé, veuillez réserver une démonstration dès maintenant.

Partout dans le monde, les entreprises sont en pleine transformation. Avec une forte concentration sur les activités qui privilégient le numérique, il est juste de dire que la plupart des organisations sont, en fait, des entreprises de logiciels. Les grandes entreprises comptent parmi leur personnel d'importantes équipes de développement, chargées du développement et de la mise en œuvre constants de fonctionnalités dans un environnement DevOps agile. Cette offre de fonctionnalités doit suivre le rythme de l'innovation et des attentes des clients, de sorte que, trop souvent, la sécurité est considérée comme un obstacle plutôt que comme une nécessité. Cependant, alors que notre dépendance vis-à-vis des logiciels atteint son paroxysme (et, par conséquent, notre exposition à d'éventuelles violations et risques en matière de cybersécurité), cette situation ne peut perdurer.

Les équipes de sécurité ne s'agrandissent pas et, même si elles le pouvaient, leur expérience est limitée. Un ratio supérieur à 1 pour 100 n'est tout simplement pas suffisant ; les experts en sécurité interne ne peuvent être considérés comme la seule solution pour contrer le problème des cybermenaces.

Notre webinaire, présenté par Stephen Allor, directeur de Secure Code Warrior Amérique), et Russ Wolfe, doyen de la cybersécurité chez Capital One, explore les défis actuels auxquels est confronté DevOps et ce que les institutions financières telles que Capital One entreprennent pour impliquer et améliorer les compétences de leurs équipes de développement en matière de codage sécurisé, en favorisant efficacement une culture de sécurité positive et en réussissant leur « virage à gauche ».

Vous découvrirez :

• Si vous êtes confronté au « trou noir » des connaissances en matière de sécurité
• Pourquoi la sécurité était plus solide il y a plusieurs décennies qu'aujourd'hui
• L'approche traditionnelle de la sécurité des applications comme simple « case à cocher » pour la conformité et pourquoi cela est, au mieux, superficiel
• La raison pour laquelle les évaluations de la qualité des applications doivent inclure la sécurité comme critère de référence ; une application non sécurisée ne peut être considérée comme étant de haute qualité, indépendamment de sa conception ou de ses caractéristiques.
• Pourquoi l'industrie n'a-t-elle pas intégré la sécurité des logiciels dans la mentalité et la culture du développeur moyen (et pourquoi cela doit changer)
• Comment le manque de compétences partagées en matière de codage sécurisé conduit à la réapparition répétée des mêmes vulnérabilités
• Pourquoi les outils d'analyse des applications ne détectent-ils pas toutes les vulnérabilités et pourquoi est-il préférable de les éviter en faisant appel à des ingénieurs/développeurs en sécurité suffisamment formés ?
• Le problème des vulnérabilités croissantes dans les logiciels et leur cause profonde
• Pourquoi est-il nécessaire de modifier l'approche, et non l'étudiant, pour parvenir à une véritable atténuation des risques ?
• Pourquoi la plupart des formations en matière de sécurité ne tiennent-elles pas compte des points forts des développeurs et du type de formation dont ils ont besoin pour exceller ?
• Les raisons pour lesquelles l'ingénierie logicielle, la conformité aux normes et les attentes en matière de construction sont inférieures à celles d'autres branches de l'ingénierie, et comment nous sommes à l'avant-garde dans la recherche de solutions à ce problème.
• Comment Russ Wolfe et son équipe de Capital One ont conçu un programme de certification basé sur une formation ludique et gamifiée qui maintient l'intérêt des développeurs, leur permet d'apprendre à partir de code source réel et d'atteindre des points de référence en matière de meilleures pratiques de sécurité.
• Comment ce programme de certification favorise la participation, la rétention d'informations et l'apprentissage continu
• Comment les incitations aident les développeurs à progresser dans leur formation, à améliorer rapidement leurs compétences et à se conformer à la politique de sécurité clé
• Comment les évaluations contribuent à identifier les champions de la sécurité et à encourager la participation à la formation.

Nous vous invitons à visionner notre webinaire à la demande et à découvrir les avantages de la transition vers la gauche et de fournir aux développeurs les outils et les connaissances nécessaires pour coder de manière sécurisée dès le début, en mettant l'accent sur les pratiques de sécurité positives.

Découvrez ce que des institutions financières telles que Capital One entreprennent pour impliquer et améliorer les compétences de leurs équipes de développement en matière de codage sécurisé, en favorisant efficacement une culture de sécurité positive et en réussissant à « virer à gauche ».

Le nombre croissant d'attaques de cybersécurité, ainsi que leur sophistication croissante, ont favorisé le changement dans tous les secteurs et toutes les industries à travers le monde. Tout le monde tente de « prendre un virage à gauche », en intégrant la sécurité dans tous ses processus et procédures dès que possible. Cette situation a même donné naissance à des mouvements entièrement nouveaux visant à améliorer les cyberdéfenses, tels que DevSecOps, où la sécurité fait partie intégrante de la structure même de la création de nouveaux logiciels et applications.

Bon nombre de ces changements sont en train d'arriver aux pieds de la communauté des développeurs. Étant donné que ce sont eux qui créent, écrivent et codent de nouveaux programmes et applications, leur demander d'adopter des pratiques de codage plus sûres semble être une excellente idée. Après tout, on ne peut pas aller plus à gauche que lorsqu'on crée de nouvelles applications pour la première fois.

Cependant, quelle est l'opinion de la communauté des développeurs concernant cette responsabilité ? Après avoir été évalués traditionnellement presque exclusivement en fonction de leur rapidité à programmer, que pensent aujourd'hui les développeurs de leur nouveau rôle en tant que champions de la sécurité ? Estiment-ils que la direction de leur entreprise soutient ces efforts par une formation de qualité, de meilleures récompenses et la reconnaissance qu'ils méritent pour assumer cette nouvelle responsabilité fondamentale ?

Pour la deuxième année consécutive, nous nous sommes associés à Evans Data Corp. afin de mener une enquête approfondie auprès de la communauté mondiale des développeurs sur leurs compétences, leurs perceptions et leurs comportements en matière de pratiques de codage sécurisées, ainsi que sur leur impact et leur pertinence perçus dans le cycle de vie du développement logiciel (SDLC). Les résultats ont été assez surprenants à bien des égards.

État d'avancement de l'enquête sur la sécurité menée par les développeurs en 2022

Evans Data Corp a mené l'enquête sur l'état de la sécurité impulsée par les développeurs de Secure Code Warrior décembre 2021. Des questions ont été posées sur le codage des logiciels, la sensibilisation à la sécurité, la formation, l'assistance, les motivations et d'autres sujets à 1 200 développeurs de logiciels actifs travaillant dans la région Asie-Pacifique, en Europe et en Amérique du Nord. L'enquête a été menée en anglais et traduite lorsque cela était nécessaire afin d'obtenir une perspective mondiale précise. Parmi les personnes interrogées figuraient des développeurs qui créent de nouvelles applications, ainsi que des administrateurs de la communauté des développeurs.

Quelques découvertes surprenantes

Le lundi 11 avril, un document technique détaillé (Les défis (et les opportunités) pour améliorer la sécurité des logiciels) et un rapport (L'état de la sécurité impulsée par les développeurs, 2022) approfondissant tous les aspects de l'enquête seront publiés. Le document technique comprend notre analyse des conclusions et des préoccupations soulevées par la communauté concernant les pratiques de codage sécurisées, ainsi que des recommandations destinées aux organisations afin qu'elles forment leurs équipes de développeurs à l'amélioration de la sécurité des logiciels.

Il est probable que certains de ces défis soulèvent des questions chez tous ceux qui travaillent avec des développeurs au sein de leur organisation, ainsi que chez les membres de la communauté des développeurs elle-même ; cela a certainement été le cas pour nous.

Par exemple, seuls 14 % des personnes interrogées ont mentionné la sécurité des applications comme l'une des principales priorités actuelles. En revanche, les indicateurs plus traditionnels, tels que les performances des applications et la hiérarchisation des fonctionnalités et des rôles, sont restés leur objectif général.

La sécurité était considérée comme une priorité si faible que 67 % des développeurs interrogés ont admis qu'ils laissaient systématiquement des vulnérabilités et des exploits connus dans leur code. Ils agissaient ainsi en raison de délais très serrés, parce qu'ils privilégiaient la fonctionnalité à la sécurité, ou simplement parce qu'ils ne disposaient pas de la formation ou des connaissances nécessaires pour résoudre les problèmes de sécurité.

Dans de nombreux cas, les développeurs ont déclaré que leurs organisations ne définissaient pas ce qui constituait un code sécurisé et ne fournissaient pas la formation ou le soutien adéquats pour remédier à cette situation.

Cependant, malgré certaines conclusions négatives, il est également apparu clairement que les mentalités évoluent. La grande majorité des développeurs (66 %) s'attendaient à ce que la sécurité devienne une priorité majeure au cours des 12 à 18 prochains mois, tandis que 82 % des responsables du recrutement ayant répondu à l'enquête ont exprimé leur intérêt pour l'embauche de développeurs connaissant la sécurité plutôt que ceux qui ne la connaissaient pas.

Bien que les résultats de l'enquête indiquent clairement que la communauté des développeurs et les organisations avec lesquelles ils collaborent sont confrontées à un nombre considérable de changements, les projets à court et à long terme prennent heureusement forme rapidement.

Veuillez consulter le document technique et le rapport qui détaillent les résultats complets de l'enquête, ainsi que les commentaires des experts sur les défis liés aux pratiques actuelles de codage sécurisé et les opportunités dont les organisations peuvent tirer parti pour améliorer les compétences des développeurs en matière de sécurité et, en fin de compte, la sécurité des logiciels.

Veuillez consulter le Secure Code Warrior pour en savoir plus sur la cybersécurité et le paysage des menaces de plus en plus dangereux, et pour découvrir comment vous pouvez utiliser des technologies et des formations innovantes afin de mieux protéger votre organisation et vos clients.

‍