Pourquoi il est essentiel de ne jamais sous-estimer le facteur humain dans le domaine de la cybersécurité

Nous avons récemment eu le plaisir de voir la première publication du Forbes Technology Council par notre président-directeur général, Pieter Danhieux, en ligne. L'article expliquait en quoi le renforcement des compétences des développeurs pour créer un code plus sécurisé est essentiel pour prévenir les cyberattaques et les violations de données. De plus, il a révélé comment ces mêmes développeurs soucieux de la sécurité peuvent contribuer à fournir un code de meilleure qualité et plus sécurisé, plus rapidement que ne le pensent de nombreux services informatiques. La nécessité de cette approche est certainement impérieuse. Une étude récente a révélé qu'une cyberattaque se produit désormais toutes les 39 secondes, et nous avons tous été témoins des perturbations causées par une seule attaque de ransomware réussie sur le pipeline Colonial, qui, dans l'ensemble, n'était pas aussi destructrice que le piratage de SolarWinds.

‍

De nombreuses vulnérabilités courantes persistent car personne n'a jamais pris la peine de montrer aux développeurs comment remplacer les mauvais modèles de codage par une meilleure méthode d'exécution des mêmes fonctions, de manière plus sûre et plus sécurisée. Et l'impact de la correction d'un logiciel à un stade avancé de son développement est extrêmement coûteux, à la fois en termes d'heures passées et de retards de déploiement. Corriger le code une fois qu'il a été déployé, en particulier lorsqu'un attaquant a exploité une vulnérabilité non découverte auparavant, peut parfois coûter des millions de dollars. Cela ne tient pas compte de l'atteinte à la réputation d'une entreprise à la suite d'une violation majeure.

Les développeurs formés à la sécurité deviennent naturellement de meilleurs codeurs. Les RSSI ne devraient certainement pas abandonner leurs outils de sécurité de sitôt, mais en adoptant une approche de sécurité inclusive et préventive depuis le sommet, les RSSI peuvent tirer parti de la plus grande ressource de leur entreprise, le facteur humain, en particulier lorsqu'il s'agit de sécuriser le codage dès le début du cycle de développement logiciel.

Pour ce faire, voici les trois principales stratégies de haut niveau à considérer.

1. Soyez proactif, pas réactif

Les entreprises tombent fréquemment dans le piège de la réactivité, par exemple en réagissant aux actions de la concurrence au lieu de développer et de poursuivre une vision unique. Beaucoup adoptent également cette approche lorsqu'il s'agit de failles de sécurité dans le code, ne prenant la cybersécurité au sérieux que lorsqu'elles y sont contraintes à la suite d'une violation réussie. Malheureusement, à ce moment-là, le mal est déjà fait : les amendes, les frais de recouvrement, la perte de clients et la restauration de la marque ont des répercussions sur les résultats financiers. Une autre forme de réaction plutôt que d'action consiste à s'appuyer sur l'analyse automatique ou manuelle du code pour détecter les vulnérabilités dans le code existant au lieu de se concentrer sur la création d'un code sécurisé dès le départ. Malheureusement, la numérisation du code n'est pas une solution parfaite, ce qui signifie que plus le code contient de vulnérabilités, plus il y a de chances que certaines d'entre elles passent à travers.

Seulement en adoptant une approche proactive et en collaborant avec les développeurs pour les aider à créer un code sécurisé dès le départ, vous pourrez établir un cycle de vie de développement logiciel qui réduit considérablement la possibilité que des vulnérabilités de codage soient divulguées aux utilisateurs.

2. Veuillez améliorer vos compétences, sans exagérer.

Une fois que vous avez décidé de fournir aux développeurs les connaissances nécessaires pour créer du code sécurisé, choisissez judicieusement votre approche. Les ateliers de formation internes qui interrompent le codage frustrent aussi bien les développeurs que les managers. Les cours hors site qui nécessitent une participation le soir ou le week-end sont encore moins populaires. La meilleure approche consiste à développer progressivement les compétences en matière de codage, en fournissant des informations pertinentes étape par étape pendant le processus de codage, ce qui permet essentiellement d'améliorer les compétences sans distraire les développeurs de manière significative ni ralentir le processus de développement.

3. Encouragez, ne présumez pas

Les développeurs ne doivent pas percevoir le renforcement des compétences en matière de sécurité comme une contrainte ou une corvée. Les responsables doivent inspirer les développeurs en expliquant le rôle important que joue le code sécurisé dans le succès de l'entreprise. Il est également essentiel de faire comprendre que les codeurs sécurisés sont plus précieux pour l'entreprise et bénéficieront d'opportunités de carrière élargies à l'avenir.

L'administration Biden est bien accueillie Décret exécutif a mis davantage l'accent sur la cybersécurité et sur la nécessité « d'inclure des critères pour évaluer les pratiques de sécurité des développeurs et des fournisseurs eux-mêmes, et d'identifier des outils ou des méthodes innovants pour démontrer la conformité aux pratiques sécurisées ». Cependant, si les outils sont essentiels, ils ne suffisent pas. Aucun outil ne supprimera complètement la capacité d'un individu à ignorer, à mal comprendre, à abuser ou à contourner les systèmes et les outils mis en place. Pour optimiser la sécurité de leurs entreprises, les RSSI doivent tirer parti du facteur humain et encourager les développeurs à devenir des partisans et des praticiens volontaires de la sécurité.