Retour sur investissement de la sécurité axée sur les développeurs

C'est le prix à payer pour un code médiocre.

Grâce aux progrès technologiques, les développeurs peuvent désormais publier du code plus rapidement et plus facilement que jamais. Si cela peut être intéressant pour l'innovation, cela peut également représenter un défi pour la qualité et la sécurité des logiciels. Justifier les coûts liés à l'investissement dans des outils supplémentaires, des programmes de formation et l'amélioration des compétences des développeurs peut sembler être un « plus » si la vitesse de déploiement du code est maintenue, mais cela peut également être considéré comme une fonctionnalité commerciale essentielle.

Les codes de livraison plus rapides sont peut-être devenus plus faciles à utiliser, mais malheureusement, la sécurité des codes de livraison n'a pas suivi. Les organisations sont plus vulnérables que jamais aux menaces. Le coût mondial de la cybercriminalité est considérable et augmente rapidement.En effet, en 2020, le coût de la cybercriminalité a atteint environ 1 000 milliards de dollars. En moyenne, le coût d'une violation de données s'élève à 4,35 millions de dollars, et il se répartit entre les pertes commerciales liées aux clients existants et potentiels, ainsi que les ressources utilisées pour la détection, l'escalade et la reprise du travail.

Malgré ces coûts considérables, plus de la moitié des organisations n'exigent pas de leurs développeurs qu'ils suivent une formation officielle annuelle sur la sécurité du code.

Les experts en sécurité sont conscients que la recherche et la correction des vulnérabilités peuvent s'apparenter à un jeu de tape-taupe. Même si vous disposez déjà d'un programme de sécurité incluant des stratégies de correction, il existe toujours des possibilités d'amélioration. La plupart des organisations constatent que leur approche de la sécurité n'est pas aussi solide qu'elles le pensaient lorsqu'elles testent leurs capacités de reprise après sinistre ou de sauvegarde.Si le renforcement de la résilience de votre organisation face aux cyberattaques est l'une de vos priorités, il est recommandé de transférer la responsabilité de l'amélioration continue de la sécurité aux développeurs. Le moyen le plus rentable d'atténuer les risques consiste à disposer d'une équipe de développeurs expérimentés et compétents, suffisamment qualifiés pour intégrer la sécurité dès le début du développement et détecter et corriger rapidement les vulnérabilités.

Une idée fausse courante concernant la formation des développeurs est qu'il s'agit simplement d'une dépense commerciale ou d'un coût d'assurance. Klaus Klinger, évangéliste DevSecAware chez Allianz, déclare : « Tout doit commencer au niveau de la direction. Investir dans la formation des développeurs n'est pas une perte, mais un investissement dans la qualité, la productivité et la réputation de l'entreprise. »

Dans ce domaine, il peut souvent être difficile de quantifier le retour sur investissement, mais en fin de compte, ce que les organisations doivent prendre en considération, c'est la manière dont la posture de sécurité contribue à réduire les risques, à simplifier l'approche et à économiser le temps et la productivité des équipes de développeurs.

Comment quantifier le retour sur investissement des coûts liés à la cybersécurité ?

En ce qui concerne le retour sur investissement, il est essentiel de considérer deux aspects : la réduction des coûts grâce à l'atténuation des risques et l'impact de la formation à la sécurité.

Prenons un exemple courant. En raison d'une vulnérabilité ou d'une faille de sécurité, un site de commerce électronique est contraint de fermer pendant plusieurs jours pendant que l'équipe recherche le problème et une solution. Les coûts liés à l'incapacité de résoudre le problème peuvent être quantifiés en termes de perte de revenus due à l'interruption des opérations, d'impact du vol d'identifiants, de perte de confiance des clients (entraînant une baisse des ventes à long terme) et de perte de productivité globale due à la résolution du problème.

Cela se résume finalement à une analyse coûts/bénéfices. Les principaux domaines à évaluer sont le niveau de maturité de la sécurité de l'entreprise, le niveau d'acceptation des risques de l'entreprise et les domaines du code nécessitant une maintenance ou une amélioration.

Les individus se concentrent souvent sur des indicateurs inappropriés pour évaluer le succès et la valeur. Il serait peut-être préférable de moins se préoccuper du retour sur investissement initial du programme et de mesurer plutôt l'impact du programme lui-même.

Mesures visant à démontrer l'impact

Pour définir le retour sur investissement, il est nécessaire d'établir des objectifs mesurables. Cela commence par l'évaluation des connaissances des développeurs en matière de codage sécurisé et par la compréhension des domaines dans lesquels leurs compétences doivent être améliorées.

Le point de départ consiste à prendre des décisions stratégiques sur la manière de mettre en place un programme de formation plus complet en mesurant le niveau de participation. Le plus important est de mesurer l'efficacité. Commencez par examiner le nombre de vulnérabilités détectées dans le cycle de vie du développement logiciel à l'aide d'analyses de code, de programmes de prime aux bogues ou de tests de vulnérabilité existants avant de lancer le programme dans chaque équipe.L'un des moyens les plus simples de vérifier que le programme de formation produit les résultats escomptés consiste à mesurer la réduction globale des vulnérabilités introduites dans la base de code.

‍

Questions clés pour l'évaluation du retour sur investissement :‍

1. Simplifiez-vous votre approche ?

Utilisez-vous davantage d'outils pour résoudre les problèmesou vous attaquez-vous à leur cause profonde ? L'ajout d'outils supplémentaires à votre pile technologique peut créer une approche de type « fromage suisse » qui consiste à rechercher et à corriger les vulnérabilités. De plus, cela augmente les coûts d'exploitation sans avoir beaucoup d'impact sur le code, qui est souvent à l'origine de nombreuses vulnérabilités. Les outils d'analyse et de test d'intrusion doivent absolument faire partie de votre arsenal, mais ils ne doivent pas constituer votre dernière ligne de défense.

2. L'efficacité et la productivité sont-elles en augmentation ?

Le temps consacré à l'examen minutieux et à la refonte du code envoyé par AppSec peut considérablement réduire la productivité. Il est possible de réduire les interventions d'urgence en accordant aux équipes de développeurs les autorisations nécessaires pour qu'elles puissent s'exercer elles-mêmes et en leur apportant le soutien requis. La formation au code sécurisé doit constituer un bon point de référence pour évaluer l'impact positif des programmes de sécurité.

3. Réduisez-vous les risques ?

Identifier et résoudre les vulnérabilités peut s'apparenter à la résolution d'un puzzle complexe. Parfois, cela peut nécessiter plusieurs jours, semaines, voire mois pour aboutir à une solution efficace. AppSec permet aux développeurs d'appliquer des mesures correctives directement à la source, ce qui leur permet de se concentrer sur la surveillance des risques et le renforcement de la posture de sécurité de l'organisation.

4. La vitesse est-elle augmentée tout en maintenant la qualité ?

Une livraison rapide n'est pas toujours la meilleure solution. Résoudre les problèmes et introduire des vulnérabilités dans le code peut entraîner de nombreux problèmes à l'avenir et accumuler une dette technique. Dans ce cas, une réflexion à court terme n'est pas la solution. Il est possible de réduire les risques en protégeant le code dès le début afin d'éviter que les problèmes ne s'aggravent par la suite.

Indicateurs recommandés à suivre :

• Participation - Combien de temps consacrez-vous à la formation et quel est le niveau de participation des développeurs ? Suivent-ils le programme de formation, passent-ils les évaluations et participent-ils aux tournois ?
• Technologie - Quels sont vos points forts ? Quels sont les domaines qui, selon vous, nécessitent des améliorations ?
• Réduction des vulnérabilités - Avez-vous constaté une réduction significative des vulnérabilités lors de la révision du code ? Les retouches nécessaires dans AppSec sont-elles en diminution ?
• Productivité - Combien de temps faut-il pour résoudre un problème ? Avez-vous déjà constaté une amélioration de la productivité ou de la vitesse grâce à la réduction des vulnérabilités ?

Déplacement vers la gauche pour créer de la valeur

Les violations de sécurité et les vulnérabilités augmentent rapidement chaque année. Il est essentiel de commencer par le code et de mettre en place à l'avance une approche globale de la sécurité. Cela offre les avantages suivants :

• Au lieu d'investir dans des outils qui ne résolvent qu'une partie du problème, nous réduisons la complexité en investissant dans notre ressource la plus importante : notre personnel.
• AppSec améliore l'efficacité et l'impact global en limitant les retouches et les modifications généralement identifiables. Le code a été déployé.
• En atténuant les risques et en assurant la conformité réglementaire, vous pouvez éviter des amendes coûteuses, la perte de confiance des clients ou, dans le pire des cas, les coûts liés à une violation des données.

Évitez les décisions à court terme et les corrections hâtives. Elles peuvent entraîner une dette technique et des coûts supplémentaires à l'avenir. Tirez parti de la puissance de l'amélioration technologique pour élaborer des plans à long terme qui permettent aux développeurs de constituer la meilleure ligne de défense contre les vulnérabilités et la cybercriminalité. Vous pourrez ainsi constater directement leur impact et les économies réalisées.

‍