Pourquoi il est essentiel de ne pas négliger le facteur humain dans la cybersécurité

Nous avons récemment été très enthousiasmés par la première publication du Forbes Technology Council, une diffusion en direct par Peter Dunhu, président-directeur général. Cette publication expliquait en détail que l'amélioration des compétences des développeurs pour créer un code plus sécurisé était essentielle pour prévenir les cyberattaques et les fuites de données.De plus, il a démontré comment ces mêmes développeurs soucieux de la sécurité peuvent fournir un code de meilleure qualité et plus sûr, plus rapidement que ne le pensent la plupart des services informatiques. La nécessité d'adopter cette approche est indéniable. Une étude récente a révélé qu'actuellement, une cyberattaque se produit toutes les 39 secondes et quechacun a pu constater à quel point une seule attaque réussie par un ransomware peut semer le chaos, comme dans le cas de Colonial Pipeline.Dans l'ensemble, cela n'a pas eu un impact aussi dévastateur que le piratage de SolarWinds.

‍

La persistance de nombreuses vulnérabilités courantes est due au fait que personne n'a pris la peine de montrer aux développeurs comment remplacer les modèles de codage inadéquats par des méthodes plus sûres et plus efficaces pour obtenir les mêmes fonctionnalités.De plus, la correction d'un logiciel à un stade avancé du développement a un coût élevé, tant en termes de temps que de retard de mise en œuvre. Après le déploiement du code, la correction de celui-ci, en particulier après qu'un pirate ait exploité une vulnérabilité jusque-là inconnue, peut coûter plusieurs millions de dollars. Cela ne tient pas compte des dommages causés à la réputation des entreprises victimes d'une violation grave.

Les développeurs ayant suivi une formation en sécurité deviennent naturellement d'excellents codeurs. Il est vrai que le RSSI ne doit pas abandonner immédiatement les outils de sécurité, mais en adoptant une approche inclusive et préventive de la sécurité, impulsée par la direction, le RSSI peut tirer parti de la plus grande ressource de l'entreprise : le facteur humain. Cela vaut particulièrement pour le codage sécurisé dès les premières étapes du cycle de vie du développement logiciel.

À cette fin, voici les trois principales stratégies à retenir.

1. Agissons de manière proactive plutôt que de manière réactive.

Les entreprises tombent souvent dans le piège de la réaction a posteriori, en répondant aux actions de leurs concurrents plutôt qu'en développant et en poursuivant leur propre vision. De plus, de nombreuses entreprises adoptent cette approche par défaut en ce qui concerne les vulnérabilités de sécurité dans le code et ne prennent la cybersécurité au sérieux que lorsqu'elles y sont contraintes à la suite d'une violation réussie. Malheureusement, les dommages sont alors déjà causés, et les amendes, les coûts de restauration, la perte de clients et la restauration de l'image de marque ont tous un impact négatif sur les bénéfices.Au lieu de se concentrer sur la création d'un code sécurisé dès le départ, il est également possible d'utiliser des analyses de code automatiques ou manuelles pour détecter les vulnérabilités du code existant. Malheureusement, l'analyse de code n'est pas une solution parfaite. En effet, plus le code contient de vulnérabilités, plus il est probable que certaines d'entre elles échappent à la détection.

En adoptant une approche proactive et en collaborant avec les développeurs pour les aider à créer dès le départ un code sécurisé, il est possible d'établir un cycle de vie du développement logiciel qui réduit considérablement le risque d'exposition des utilisateurs aux vulnérabilités de codage.

2. Améliorer ses compétences, sans excès

Une fois que vous avez décidé de fournir aux développeurs les connaissances nécessaires pour créer un code sécurisé, veuillez choisir judicieusement votre approche. Les ateliers de formation en interne qui empêchent les développeurs de coder peuvent être source de frustration tant pour les développeurs que pour les responsables. Les cours hors site qui nécessitent une participation en soirée ou pendant le week-end sont encore moins populaires. La meilleure approche consiste à acquérir progressivement des compétences en codage. Fournissez des informations pertinentes au fur et à mesure du processus de codage, ce qui permet d'améliorer les compétences de base sans distraire les développeurs ni ralentir le processus de développement.

3. Veuillez ne pas présumer que vous offrez des incitations.

Les développeurs ne doivent pas considérer l'amélioration de leurs compétences en matière de sécurité comme une punition ou une tâche fastidieuse. Les responsables doivent motiver les développeurs en leur expliquant le rôle essentiel que joue le code sécurisé dans la réussite de l'entreprise. Il est également important de leur faire comprendre que les codeurs sécurisés ont plus de valeur pour l'entreprise et que cela leur ouvrira davantage de perspectives de carrière à l'avenir.

L'administration Biden a été accueillie favorablement. Décret présidentiel L'importance accordée à la cybersécurité s'accroît, et il devient de plus en plus nécessaire « d'intégrer des critères d'évaluation des pratiques de sécurité des développeurs et des fournisseurs eux-mêmes, et d'identifier des outils et des méthodes innovants permettant de démontrer la conformité aux pratiques sécuritaires ».Cependant, si les outils sont indispensables, ils ne suffisent pas à eux seuls. Aucun outil ne permet d'éliminer complètement la capacité des individus à ignorer, mal interpréter, détourner ou contourner de toute autre manière les systèmes et outils mis en place. Pour optimiser la sécurité des entreprises, les RSSI doivent tirer parti du facteur humain et encourager les développeurs à soutenir et à mettre en œuvre activement la sécurité.