À quel rang figure le code sécurisé dans la liste des priorités de l'équipe de développement ?

L'augmentation et la sophistication des cyberattaques entraînent des changements dans tous les secteurs et toutes les industries à travers le monde. Tout le monde s'efforce de « se déplacer vers la gauche » et d'intégrer la sécurité dans tous les processus et procédures dès que possible. Cette situation favorise également l'émergence d'un mouvement entièrement nouveau visant à renforcer la cyberdéfense. La sécurité est intégrée dans la structure même de la création de nouveaux logiciels et applications, tels que DevSecOps.

La plupart de ces changements concernent la communauté des développeurs. Étant donné que ce sont eux qui créent, développent et codent les nouveaux logiciels et applications, il semble judicieux de les encourager à adopter des méthodes de codage plus sécurisées. En effet, le déplacement vers la gauche n'est possible que lors de la création initiale d'une nouvelle application.

Cependant, comment la communauté des développeurs perçoit-elle cette responsabilité ? Traditionnellement, les développeurs ont été évalués uniquement sur leur rapidité de codage. Comment perçoivent-ils aujourd'hui leur nouveau rôle de champions de la sécurité ? De plus, est-ce que la direction de leur entreprise soutient ces efforts en leur offrant une formation de qualité, une rémunération adéquate et une reconnaissance appropriée pour avoir accepté cette nouvelle responsabilité importante ?

Pour la deuxième année consécutive, nous avons mené une enquête exhaustive auprès de la communauté mondiale des développeurs, en partenariat avec Evans Data Corp., sur les compétences, les connaissances et les comportements en matière de codage sécurisé, ainsi que sur leur impact et leur pertinence dans le cycle de vie du développement logiciel (SDLC). Les résultats ont été très surprenants à bien des égards.

État actuel de la recherche en matière de sécurité axée sur les développeurs en 2022

L'enquête « Secure Code Warrior's Developer-Driven Security Landscape » a été menée en décembre 2021 par Evans Data Corp.Elle a interrogé 1 200 développeurs de logiciels en activité dans la région Asie-Pacifique, en Europe et en Amérique du Nord sur le codage logiciel, la sensibilisation à la sécurité, la formation, le soutien, la motivation et d'autres questions. L'enquête a été menée en anglais et traduite si nécessaire afin d'obtenir une perspective mondiale précise. Les répondants comprenaient non seulement des développeurs créant de nouvelles applications, mais aussi des responsables au sein de la communauté des développeurs.

Quelques découvertes remarquables

Un livre blanc détaillé explorant tous les aspects de l'enquête (les défis (et opportunités) pour améliorer la sécurité des logiciels) et un rapport (« L'état actuel de la sécurité pilotée par les développeurs », 2022) seront publiés le lundi 11 avril.Ce livre blanc présente une analyse des résultats de l'enquête et des préoccupations exprimées par la communauté concernant les pratiques de codage sécurisé, ainsi que des recommandations à l'intention des organisations pour aider les équipes de développement à améliorer la sécurité des logiciels.

Parmi ces défis, certains soulèvent des questions non seulement pour les personnes qui travaillent avec des développeurs au sein de leur propre organisation, mais également pour celles qui font partie de la communauté des développeurs. En effet, cela nous concernait également.

Par exemple, seuls 14 % des répondants ont cité la sécurité des applications comme leur priorité absolue pour aujourd'hui. Au contraire, les indicateurs plus traditionnels, tels que les performances des applications et la hiérarchisation des fonctionnalités, restent au centre des préoccupations générales.

La priorité accordée à la sécurité était très faible, 67 % des développeurs interrogés ayant déclaré laisser quotidiennement des vulnérabilités et des exploits connus dans leur code. Les raisons invoquées étaient les délais serrés, la priorité accordée aux fonctionnalités plutôt qu'à la sécurité, ou simplement le manque de formation et de connaissances nécessaires pour résoudre les problèmes de sécurité.

Dans de nombreux cas, les développeurs indiquent que leur organisation n'a pas défini les composants d'un code sécurisé et ne fournit pas la formation et le soutien appropriés pour changer la situation.

Cependant, malgré certains résultats négatifs, il était évident que les attitudes étaient en train de changer. La majorité des développeurs (66 %) s'attendaient à ce que la sécurité devienne une priorité au cours des 12 à 18 prochains mois. Parallèlement, 82 % des responsables du recrutement ayant répondu à l'enquête ont indiqué qu'ils étaient intéressés par le recrutement de développeurs ayant des connaissances en sécurité plutôt que de développeurs sans ces connaissances.

Les résultats de l'enquête indiquent clairement que la communauté des développeurs et les organisations avec lesquelles elle collabore sont confrontées à des changements importants. Heureusement, les plans à court et à long terme pour l'avenir prennent rapidement forme.

Nous vous invitons à consulter notre livre blanc et notre rapport détaillant les résultats de notre enquête sur les défis actuels liés aux pratiques de codage sécurisé, ainsi que les opportunités dont disposent les organisations pour améliorer les compétences des développeurs en matière de sécurité et, à terme, la sécurité des logiciels.

Veuillez vérifier Secure Code Warrior Sur notre blog, vous pourrez approfondir vos connaissances sur la cybersécurité et les menaces de plus en plus dangereuses, et découvrir comment mieux protéger votre organisation et vos clients grâce à des technologies et des formations innovantes.

‍