Quelle est la position du code sécurisé dans la liste des priorités de l'équipe de développement ?

Le nombre croissant d'attaques de cybersécurité, ainsi que leur sophistication accrue, ont entraîné des changements dans tous les secteurs et industries du monde entier. Tout le monde s'efforce de « basculer vers la gauche », en sécurisant tous ses processus et procédures le plus tôt possible. Cette situation a même favorisé l'émergence de mouvements entièrement nouveaux destinés à améliorer les cyberdéfenses, tels que DevSecOps, où la sécurité est intégrée au cœur même de la création de nouveaux logiciels et applications.

Bon nombre de ces changements se font sentir au sein de la communauté des développeurs. Étant donné qu'ils sont ceux qui créent, écrivent et codent les nouveaux logiciels et applications, il semble judicieux de leur demander d'adopter des pratiques de codage plus sécurisées. Après tout, il n'est pas possible d'aller plus loin vers la gauche que lorsque de nouvelles applications sont créées pour la première fois.

Cependant, quelle est la perception de la communauté des développeurs concernant cette responsabilité ? Auparavant évalués presque exclusivement en fonction de leur rapidité à coder, que pensent aujourd'hui les développeurs de leur nouveau rôle en tant que champions de la sécurité ? Ont-ils le sentiment que la direction de leur entreprise soutient ces efforts en proposant une formation de qualité, de meilleures récompenses et la reconnaissance qu'ils méritent pour avoir assumé cette nouvelle responsabilité essentielle ?

Pour la deuxième année consécutive, nous avons collaboré avec Evans Data Corp. afin de mener une enquête approfondie auprès de la communauté mondiale des développeurs concernant les compétences, les perceptions et les comportements en matière de pratiques de codage sécurisées, ainsi que leur impact et leur pertinence perçus sur le cycle de vie du développement logiciel (SDLC). Les résultats se sont révélés assez surprenants à bien des égards.

État de l'enquête de sécurité menée par les développeurs en 2022

L'enquête Secure Code Warrior l'état de la sécurité pilotée par les développeurs a été menée par Evans Data Corp en décembre 2021. Des questions sur le codage des logiciels, la sensibilisation à la sécurité, la formation, l'assistance, les motivations et d'autres sujets ont été posées à 1 200 développeurs de logiciels actifs travaillant dans la région Asie-Pacifique, en Europe et en Amérique du Nord. L'enquête a été réalisée en anglais et traduite si nécessaire afin d'obtenir une perspective globale précise. Parmi les personnes interrogées figuraient des développeurs qui créent de nouvelles applications ainsi que des responsables issus de la communauté des développeurs.

Quelques découvertes surprenantes

Un livre blanc détaillé (Les défis (et opportunités) liés à l'amélioration de la sécurité logicielle) et un rapport (L'état de la sécurité pilotée par les développeurs, 2022) qui abordent tous les aspects de l'enquête seront publiés le lundi 11 avril. Le livre blanc comprend notre analyse des résultats et des préoccupations soulevées par la communauté concernant les pratiques de codage sécurisées, ainsi que des recommandations aux organisations pour donner aux équipes de développeurs les moyens d'améliorer la sécurité des logiciels.

Certains de ces défis sont susceptibles de soulever des questions pour tous ceux qui collaborent avec des développeurs au sein de leur organisation, ainsi que pour ceux qui font eux-mêmes partie de la communauté du développement. Ils l'ont certainement fait pour nous.

Par exemple, seulement 14 % des personnes interrogées ont indiqué que la sécurité des applications était une priorité absolue aujourd'hui. Au lieu de cela, les indicateurs plus traditionnels tels que les performances des applications et la hiérarchisation des caractéristiques et fonctionnalités sont restés au centre de leurs préoccupations.

La sécurité était considérée comme une priorité si peu importante que 67 % des développeurs interrogés ont admis qu'ils laissaient régulièrement des vulnérabilités et des exploits connus dans leur code. Ils ont agi ainsi soit en raison de délais serrés, en privilégiant la fonctionnalité plutôt que la sécurité, soit parce qu'ils ne disposaient tout simplement pas de la formation ou des connaissances nécessaires pour résoudre les problèmes de sécurité.

Dans de nombreux cas, les développeurs ont indiqué que leur organisation ne définissait pas ce qui constituait un code sécurisé et ne fournissait pas de formation ou de soutien adéquats pour remédier à cette situation.

Cependant, malgré certains résultats négatifs, il était également évident que les attitudes étaient en train de changer. La grande majorité des développeurs (66 %) s'attendaient à ce que la sécurité devienne une priorité au cours des 12 à 18 prochains mois, tandis que 82 % des responsables du recrutement qui ont répondu à l'enquête ont exprimé leur intérêt à recruter des développeurs qui s'y connaissent en sécurité plutôt que ceux qui ne le savent pas.

Il ressort clairement des résultats de l'enquête que la communauté des développeurs et les organisations avec lesquelles ils collaborent sont confrontées à des changements considérables, mais les plans pour l'avenir à court et à long terme se dessinent également rapidement.

Veuillez rester attentif à la publication du livre blanc et du rapport détaillant les résultats complets de l'enquête, ainsi que les commentaires d'experts sur les défis liés aux pratiques actuelles de codage sécurisé et les opportunités que les entreprises peuvent saisir pour améliorer les compétences des développeurs en matière de sécurité et, en fin de compte, la sécurité logicielle.

Veuillez consulter le Secure Code Warrior des pages de blog pour en savoir plus sur la cybersécurité, le paysage des menaces de plus en plus dangereuses, et pour découvrir comment vous pouvez utiliser des technologies innovantes et des formations afin de mieux protéger votre organisation et vos clients.

‍