La Chambre de commerce établit la norme en matière de sécurité à grande échelle axée sur les développeurs

Principaux enseignements

La Chambre de commerce (KVK) a mis en place un programme de sécurité moderne, axé sur les développeurs, qui constitue un modèle pour le secteur. En partenariat avec Secure Code Warrior, la KVK a intégré des pratiques de codage sécurisé dans les workflows de développement quotidiens, mis en place un programme de certification structuré adopté par l'ensemble de l'organisation et réduit de manière significative les risques, démontrant ainsi l'efficacité d'une approche proactive de la sécurité axée sur les développeurs. Voici quelques points forts :

Nous disposions déjà d'une base solide en matière de sécurité, mais nous souhaitions aller plus loin et faire de la sécurité une seconde nature pour chaque développeur. C'est pourquoi nous avons établi un partenariat avec Secure Code Warrior fait de la formation la pierre angulaire de notre stratégie, afin de donner à nos équipes les moyens de créer des logiciels sécurisés en toute confiance dès le départ.

– Sebastiaan Rijnbout, responsable produit des services de développement

Le défi

Créer une culture de la sécurité axée sur les développeurs

La Chambre de commerce néerlandaise (KVK) joue un rôle central dans le soutien aux entrepreneurs à travers les Pays-Bas. En tant qu'organisme officiel chargé de l'enregistrement des entreprises, des personnes morales et des organisations exerçant des activités économiques, la KVK favorise la transparence et renforce l'intégrité de l'écosystème commercial. Au-delà de l'enregistrement, la KVK fournit des informations et des conseils précieux sur des sujets clés liés à l'entrepreneuriat, allant des conseils juridiques et réglementaires aux informations sur le financement, les développements actuels et la cybersécurité. En proposant des données fiables et en collaborant avec les acteurs économiques nationaux et régionaux, la KVK contribue à créer un environnement sûr et bien informé dans lequel les entrepreneurs peuvent s'épanouir. Lorsque la KVK a entrepris d'améliorer encore la sécurité des applications, elle avait déjà mis en place des mesures de sécurité fondamentales, notamment des tests de pénétration. Bien que ces mesures aient fourni des informations précieuses, la KVK a vu une opportunité d'étendre la sécurité plus tôt dans le cycle de développement et de donner aux développeurs les moyens de prendre en charge la réduction des risques.

En 2022, KVK a sélectionné Secure Code Warrior a lancé sa première initiative de formation au codage sécurisé avec une approche axée sur les développeurs. Ce qui a commencé comme une initiative locale visant à impliquer les développeurs s'est rapidement transformé en un programme interfonctionnel soutenu par la direction et le bureau du CISO, transformant le développement sécurisé d'une aspiration en une norme organisationnelle.

La solution

Construire une culture, pas seulement un programme

Avec le soutien du CISO, l'équipe Secure Software Development Lifecycle de KVK s'est associée à Secure Code Warrior définir une stratégie à l'échelle de l'organisation et Secure Code Warrior mettre en place un programme de certification obligatoire basé sur les rôles qui :

KVK a exploité la flexibilité de la plateforme Secure Code Warriorpour créer un programme de certification adapté aux besoins spécifiques de son organisation. Grâce à l'adéquation des programmes de formation à des rôles spécifiques, les nouvelles recrues commencent par suivre une formation de sensibilisation au Top 10 de l'OWASP, tandis que les ingénieurs seniors s'attaquent à des exercices avancés basés sur des scénarios correspondant à des flux de travail réels. Les développeurs de haut niveau encadrent leurs pairs, favorisent le partage des connaissances et contribuent à étendre l'expertise en matière de sécurité à l'ensemble des équipes. Le programme de KVK comprend une recertification annuelle afin de garantir que les compétences restent à jour. Sa mise en œuvre complète est en cours, l'organisation continuant à étendre sa couverture et à s'adapter à de nouveaux risques tels que les vulnérabilités liées à l'IA et les menaces émergentes.

« L'intégration des certifications dans notre processus de développement a constitué un tournant décisif », a déclaré Sebastiaan. « Cela a démontré à tous les développeurs que la sécurité est une priorité commune et fait naturellement partie intégrante de notre processus de création de logiciels. Avec Secure Code Warrior, l'apprentissage n'est pas un événement ponctuel, mais un processus continu, contextuel et parfaitement intégré à notre culture de développement quotidienne. »

Résultat : la formation a été jugée pertinente, réalisable et directement liée au travail quotidien des développeurs. Début 2024, 90 % des développeurs de KVK avaient obtenu la certification de niveau Fondation, une étape importante qui a validé à la fois la stratégie et le changement culturel vers une sécurité dirigée par les développeurs.

Les résultats

Impact réel, progrès mesurables

L'investissement de KVK dans le développement sécurisé avec Secure Code Warrior donné des résultats remarquables :

KVK utilise le SCW Trust Score®, un indice de référence qui mesure l'engagement d'une organisation en faveur de pratiques de codage sécurisées sur la base de paramètres de sécurité clés. En l'espace de six mois, le Trust Score de KVK a considérablement augmenté, plaçant l'entreprise dans les 12 % des meilleures organisations au niveau mondial.

« Le SCW Trust Score nous offre une visibilité claire et fondée sur des données concernant nos risques et la manière de concentrer nos formations là où elles sont le plus utiles », explique Sebastiaan. « Il ne s'agit pas seulement d'un indicateur de référence, mais d'une feuille de route qui nous aide à prouver nos progrès et à démontrer la valeur commerciale réelle du développement sécurisé. »

KVK, en partenariat avec Secure Code Warrior, a établi une nouvelle norme en matière de sécurité axée sur les développeurs. En combinant un leadership fort, une stratégie claire et des résultats mesurables, ils ont transformé le développement sécurisé en une compétence métier essentielle, qui répond aux exigences de conformité et sert de modèle pour le secteur. Grâce aux rapports de SCW conformes aux normes de certification ISO 27001/27002, KVK peut également valider l'efficacité de son programme lors d'audits, démontrant ainsi que le développement sécurisé n'est pas seulement recommandé, mais obligatoire.

KVK prévoit d'étendre son programme de certification au-delà de l'ingénierie pour inclure les testeurs d'assurance qualité, les DevOps et les développeurs low-code, soulignant ainsi que la sécurité est une responsabilité partagée au sein de l'organisation. L'entreprise prévoit également d'introduire le contenu axé sur l'IA/LLM de SCW afin d'aider les développeurs à coder en toute sécurité à l'aide d'outils tels que GitHub Copilot, et collabore avec SCW Professional Services pour optimiser le déploiement de Trust Agent. Ces efforts démontrent ce qu'il est possible de réaliser lorsque le codage sécurisé devient une responsabilité partagée, non seulement pour les développeurs, mais aussi pour l'ensemble de l'organisation.

« Notre partenariat avec Secure Code Warrior déroulé sans heurts et s'est avéré très productif », a déclaré Sebastiaan. « Ils nous ont aidés à mettre en œuvre et à améliorer notre programme de formation, ce qui a permis de réduire considérablement les risques et de renforcer notre culture du développement sécurisé. »

Avec Secure Code Warrior, KVK a établi une base solide pour un développement sécurisé, et ce n'est que le début.