Pourquoi il est essentiel de ne pas négliger l'aspect humain de la cybersécurité

Nous avons récemment eu le plaisir de découvrir le premier d'entre eux. Il a été rédigé par Pieter Danhieux, président et PDG de Forbes Technology Council Post. Dans cet article, il explique en détail à quel point il est important d'améliorer les compétences des développeurs afin de créer un code plus sécurisé pour prévenir les cyberattaques et les violations de données. De plus, nous avons appris comment des développeurs bien informés en matière de sécurité peuvent aider à fournir rapidement un code plus performant et plus sécurisé que ne le pensent de nombreux services informatiques.La nécessité d'une telle approche est indéniable .Selon une étude récente , une cyberattaque se produit désormais toutes les 39 secondes.Nous avons tous été témoins des ravages causés par une seule attaque de ransomware réussie . Colonial Pipeline, dans un contexte plus large, n'a pas été aussi dévastateur que le piratage de SolarWinds.

‍

De nombreuses vulnérabilités courantes persistent. En effet, personne n'a montré aux développeurs comment remplacer les modèles de codage incorrects par des méthodes plus sûres et plus sécurisées permettant d'obtenir les mêmes fonctionnalités. De plus, corriger un logiciel à un stade avancé du développement entraîne des coûts considérables en termes de temps et de retard de déploiement. Après le déploiement, la modification du code peut parfois coûter des millions de dollars, en particulier lorsque des attaquants exploitent des vulnérabilités jusque-là inconnues. Cela ne tient pas compte de l'atteinte à la réputation de l'entreprise causée par une violation de sécurité majeure.

Les développeurs ayant reçu une formation en sécurité deviennent naturellement de meilleurs codeurs. Bien entendu, le RSSI ne doit pas renoncer immédiatement aux outils de sécurité. Cependant, en adoptant une approche globale et préventive de la sécurité, le RSSI peut tirer parti de la plus grande ressource de l'entreprise : son personnel. Cela est particulièrement vrai en ce qui concerne le codage sécurisé dès le début du cycle de vie du développement logiciel.

À cet effet, les trois stratégies principales à garder à l'esprit sont les suivantes.

1. Veuillez agir de manière proactive plutôt que de manière réactive.

Par exemple, les entreprises tombent souvent dans le piège de la réaction a posteriori, en répondant aux actions de leurs concurrents au lieu de développer et de poursuivre une vision unique. De plus, de nombreuses entreprises adoptent cette approche en matière de vulnérabilité des codes de sécurité et ne prennent la cybersécurité au sérieux que lorsque des violations de sécurité se produisent et deviennent inévitables. Malheureusement, à ce stade, les dommages causés par les amendes, les coûts de restauration, la perte de clients et la restauration de la marque ont déjà eu un impact négatif sur les bénéfices.Une autre forme de réponse possible consiste à se concentrer sur la création d'un code sécurisé dès le départ, plutôt que de se fier à l'analyse automatique ou manuelle du code pour détecter les vulnérabilités existantes. Malheureusement, l'analyse du code n'est pas une solution parfaite. En effet, plus le code comporte de vulnérabilités, plus le risque d'en manquer certaines est élevé.

En adoptant une approche préventive et en collaborant avec les développeurs pour les aider à créer un code sécurisé dès le départ, il est possible de mettre en place un cycle de vie du développement logiciel qui réduit considérablement le risque d'exposition des utilisateurs à des vulnérabilités de codage.

2. Améliorez vos compétences, mais ne vous surmenez pas.

Si vous avez décidé de fournir aux développeurs les connaissances nécessaires pour créer du code sécurisé, veuillez choisir judicieusement votre approche. Les ateliers de formation internes qui interrompent le codage sont source de frustration tant pour les développeurs que pour les gestionnaires. Les cours de formation externes qui nécessitent une participation le soir ou le week-end sont encore moins populaires. La meilleure approche consiste à développer progressivement les compétences en codage. Fournissez les informations pertinentes étape par étape au cours du processus de codage. Cela permettra aux développeurs d'améliorer leurs compétences de base sans être distraits ni ralentir le processus de développement.

3. Veuillez offrir des incitations, sans faire de suppositions.

Les développeurs ne doivent pas considérer l'amélioration des technologies de sécurité comme une sanction ou une contrainte. Les responsables doivent inspirer les développeurs en leur expliquant le rôle essentiel que joue le code sécurisé dans la réussite de l'entreprise. Il est également important de faire comprendre aux codeurs sécurisés qu'ils apportent une valeur ajoutée à l'entreprise et qu'ils bénéficieront à l'avenir de meilleures opportunités de carrière.

Bienvenue de l'administration Biden Décret présidentiel L'accent mis sur la cybersécurité et la nécessité d'inclure « des critères permettant d'évaluer les pratiques de sécurité des développeurs et des fournisseurs eux-mêmes et d'identifier des outils ou des méthodes innovants pour démontrer la conformité avec ces pratiques » ont pris de l'importance. Cependant, si les outils sont indispensables, ils ne suffisent pas à eux seuls. Aucun outil ne peut ignorer les systèmes et outils existants, Le CISO doit donc s'assurer que les développeurs et les fournisseurs comprennent et respectent les exigences de sécurité.