Les moteurs d'intelligence artificielle commencent à se multiplier partout, chaque nouveau modèle et chaque nouvelle version semblant apporter des capacités plus puissantes et plus impressionnantes qui peuvent être appliquées dans une variété de domaines. Un domaine qui a été suggéré comme un bon cas d'utilisation possible de l'IA est l'écriture de code, et certains modèles ont déjà prouvé leurs capacités en utilisant une multitude de langages de programmation.

Toutefois, l'hypothèse selon laquelle l'IA pourrait remplacer les ingénieurs en informatique est exagérée. Tous les modèles d'IA les plus performants aujourd'hui ont montré des limites importantes en ce qui concerne leurs prouesses en matière de programmation avancée, notamment leur tendance à introduire des erreurs et des vulnérabilités dans le code qu'ils compilent à une vitesse fulgurante. 

S'il est vrai que l'utilisation de l'IA peut aider à faire gagner du temps aux programmeurs surchargés, l'avenir sera probablement celui où les humains et l'IA travailleront ensemble, avec un personnel talentueux entièrement chargé d'appliquer une pensée critique et des compétences de précision qui garantissent que tout le code est aussi sûr que possible. Il est donc vital de pouvoir écrire du code sécurisé, repérer les vulnérabilités et s'assurer que les applications sont aussi protégées que possible bien avant qu'elles n'entrent dans un environnement de production.

Dans ce nouveau livre blanc de Secure Code Warrior, vous apprendrez.. :

• Les pièges de la confiance aveugle dans la sortie du code LLM.
• Pourquoi les développeurs compétents en matière de sécurité sont essentiels pour une "programmation en binôme" en toute sécurité avec les outils de codage de l'IA.
• Les meilleures stratégies pour perfectionner la cohorte de développeurs à l'ère de la programmation assistée par l'IA.
• Un défi interactif pour montrer les limites de l'IA (et comment vous pouvez les contourner).

‍

Plateformes d'apprentissage agiles : Le retour sur investissement de la sécurité axée sur les développeurs

Dans un paysage logiciel en évolution rapide, les développeurs sont désormais responsables de la sécurité des produits dès leur conception. Dans ce rapport conjoint de Secure Code Warrior et Accenture, nous explorons les défis liés à la formation traditionnelle en matière de sécurité et les coûts d'opportunité liés à la perturbation des flux de travail des développeurs. Entrez dans une version agile de Plateforme D'apprentissage pour un code sécurisé, qui réduit les vulnérabilités de moitié tout en améliorant la productivité. 

Dans ce livre blanc, nos experts de Secure Code Warrior et d'Accenture analysent la situation : 

• Comment calculer le retour sur investissement de l'apprentissage agile en tenant compte de facteurs tels que les licences, les salaires et le temps de remédiation. 
• Découvrez comment Accenture intègre Secure Code Warrior, transformant la formation au code sécurisé et soulignant la valeur de la formation des développeurs.
• Secure Code Warrior les utilisateurs bénéficient d'une augmentation de 148 % de la productivité des développeurs, d'une réduction du nombre de vulnérabilités et d'une accélération des cycles de publication, ce qui rend la sécurité proactive financièrement viable.

‍

Qu'est-ce que les Devlympics ?

Les Devlympics sont un événement mondial annuel tournament organisé par Secure Code Warrior sur son site agile Plateforme D'apprentissage pour tester les compétences des développeurs en matière de code sécurisé.

Pendant les 24 heures de tournament, des développeurs du monde entier ont participé à des défis de codage offensifs et défensifs dans les langages de programmation de leur choix. Les développeurs ont eu l'occasion de se mesurer à leurs pairs dans un large éventail de compétences et de s'affronter pour gagner des points et se hisser au sommet du classement.

Dans ce rapport, vous trouverez une vue d'ensemble des résultats des Devlympics 2023, ainsi qu'une analyse approfondie des forces et des opportunités mises en évidence par des centaines de développeurs à travers les défis relevés. En outre, nous avons mis en évidence les tendances pour chaque secteur, chaque langue et les CWE (Common Weakness Enumerations) les plus courants auxquels les développeurs se sont attaqués pour vous aider à passer à la vitesse supérieure dans l'apprentissage du code sécurisé.

Ce que les développeurs disent des Devlympics et Secure Code Warrior

"Secure Code Warrior est une plateforme idéale pour se mesurer à d'autres participants et améliorer ses compétences.

"Secure Code Warrior adopte une approche interactive, semblable à celle de l'examen du code. 

"Secure Code Warrior est l'une des meilleures plateformes qui vous forme par le biais de concours intéressants."

"Excitant, palpitant, j'ai adoré ! 

Les développeurs aiment Secure Code Warrior

Nous avons interrogé plus de 200 participants après l'événement, et les chiffres montrent que les développeurs aiment la compétition.

Engagement des développeurs

La participation des développeurs aux Devlympics continue d'augmenter d'année en année, avec plus de 1000 développeurs participant aux 2023 tournament. Les Devlympics ont attiré l'attention du monde entier, des professionnels de la sécurité et des développeurs de divers secteurs et disciplines de programmation. Avec une participation deux fois plus importante que l'année dernière, nous constatons que les développeurs sont de plus en plus désireux d'apprendre à coder de manière sécurisée. En développant une communauté de développeurs compétents en matière de sécurité, les Devlympics continuent de mettre en évidence la valeur des développeurs en tant que première ligne de défense dans la protection de votre code contre les vulnérabilités.

‍

Industries présentes aux Devlympics

Le code sécurisé est important pour tous les secteurs, mais pour certains d'entre eux, il est absolument essentiel. Des secteurs comme la banque et les services financiers ainsi que la technologie ont occupé les premières places en ce qui concerne le nombre de développeurs participant à l'enquête. Cela montre l'importance de l'attention et de l'importance que ces secteurs accordent au code sécurisé.

‍

Langues jouées par l'industrie

Les différents secteurs utilisent une variété de langages de programmation - dont 6 catégories différentes (Web, Mobile, Front-End, API, Cloud et Mashup) avec plus de 30 langages différents disponibles. Voici quelques-uns des langages dont nous avons constaté la tendance dans différents secteurs d'activité.

‍

Ne peut pas s'arrêter, ne veut pas s'arrêter

Les joueurs des Devlympics ont passé en moyenne près de 3 heures sur la plateforme, ce qui représente un total de 4 152 heures de jeu.

Certains développeurs en tête du classement sont passés à la vitesse supérieure. Les 20 joueurs ayant le plus de temps de jeu ont joué en moyenne 14 heures sur le site tournament. C'est ça, le dévouement !

‍

Développeurs de la pile complète

Lors des Devlympics, 41 % des développeurs ont joué dans au moins deux langues différentes, et près d'un quart d'entre eux ont joué dans plus de trois langues.

Selon Stack Overflow, les développeurs qui produisent du code dans au moins deux langues sont considérés comme des développeurs complets.

Votre programme de formation garantit-il que les développeurs sont formés à toutes les technologies dans lesquelles ils codent ? Avec plus de 63 langages et frameworks différents, la plateforme Secure Code Warrior vous couvre.

‍

‍

Tendances de la pile technologique

Le code sécurisé est d'une importance primordiale pour le code accessible au public.

Dans tous les secteurs d'activité, les développeurs ont joué avec des langages Web ou API.

Java Spring et Docker Basic ont pris les premières places en tant que langages individuels les plus joués sur le site tournament.

‍

‍

‍

Communauté de champions de la sécurité

Les meilleurs des meilleurs ont participé aux Devlympics de cette année - la majorité d'entre eux sont déjà des clients de Secure Code Warrior - et les résultats en témoignent ! Dans tous les secteurs d'activité, les joueurs des Devlympics ont obtenu des résultats bien supérieurs à la référence sectorielle que Secure Code Warrior a notée pour les évaluations sur sa plateforme.

Comme nous continuons à construire notre communauté de développeurs champions de la sécurité sur la plateforme Secure Code Warrior , nous nous attendons à ce que ces chiffres deviennent de plus en plus prometteurs chaque année.

Principales vulnérabilités - Web et API

Les développeurs qui ont participé aux Devlympics ont montré de bons niveaux de compétence dans les catégories du Top 10 de l'OWASP pour les failles d'injection et les composants tiers vulnérables. Nous sommes optimistes et pensons que ces vulnérabilités finiront par disparaître des listes du Top 10 de l'OWASP au fil du temps.

L'assignation en masse reste un problème majeur. Le niveau de compétence des développeurs était l'un des plus faibles pour cette vulnérabilité particulière. Étant donné le manque d'outils et de tests automatisés dans ce domaine, il s'agit d'une véritable source d'inquiétude qui doit être surveillée de près. Une meilleure formation dans ce domaine permettra également d'alléger la pression exercée sur les équipes de sécurité chargées de traiter cette vulnérabilité particulière.

‍

‍

Les 25 faiblesses logicielles les plus dangereuses selon le CWE

La liste des 25 faiblesses logicielles les plus dangereuses de Common Weakness Enumeration (CWE) fournit aux développeurs une liste annuelle des faiblesses logicielles les plus courantes et les plus importantes à l'heure actuelle.

#Le n°1 CWE-787 Corruption de mémoire, le n°9 CWE-352 Falsification de requête intersite et le n°10 CWE-434 Téléchargement de fichiers ont obtenu les scores de précision les plus bas pendant les Devlympics. 

Les vulnérabilités liées à l'injection, telles que l'injection SQL #3 SWE-89, l'injection de commande OS #5 CWE-78 et le Path Traversal #8 CWE-22, ont fait partie des CWE les mieux notés lors des Devlympics. Nous nous attendons à ce que ces vulnérabilités soient moins bien classées dans les listes de l'industrie telles que le CWE Top 25 ou l'OWASP Top 10, à mesure que les compétences des développeurs s'améliorent.

‍

Faiblesse de l'ordre

‍

Conclusion

Les Devlympics 2023 démontrent que les développeurs du monde entier s'engagent et apprennent en participant au site tournament. L'impact se fera sentir au-delà de la fierté ressentie lors de la compétition, mais les scénarios du monde réel permettent de retenir facilement leurs connaissances et de passer de la pratique à l'application.

Secure Code Warrior est l'outil agile de pointe pour le code sécurisé Plateforme D'apprentissage qui permet aux développeurs d'acquérir les compétences nécessaires pour écrire du code sécurisé.

Avec Secure Code Warrior, vous pouvez organiser votre propre tournament comme les Devlympics pour vos équipes de développement. Réunissez votre équipe pour une compétition ludique et amusante où ils apprendront tout sur la localisation, l'identification et la correction des vulnérabilités des logiciels.

‍

Rejoignez la communauté grandissante

Notre vision est d'inspirer une communauté mondiale de développeurs compétents en matière de sécurité pour qu'ils adoptent une culture de codage préventive et sécurisée. Notre objectif est de renforcer la résilience en matière de sécurité en minimisant l'occurrence des attaques, des menaces et des risques, afin que vous puissiez conduire le changement, innover et accélérer. Nous pensons que le coaching et le mentorat font partie intégrante de l'adhésion à notre communauté de développeurs !

Inscrivez-vous aux Devlympics 2024 et suivez-nous sur X pour rester au courant de toutes les annonces.

‍

‍

TL;DR

Sage est une multinationale britannique de logiciels d'entreprise qui fournit aux entreprises des logiciels et des services simples et faciles à utiliser pour la paie, les ressources humaines et les finances. En 2017, elle est la deuxième société technologique du Royaume-Uni, le troisième fournisseur mondial de logiciels de planification des ressources d'entreprise et le premier fournisseur des petites entreprises, avec plus de 6 millions de clients dans le monde.

Situation 

Avant de travailler avec Secure Code Warrior, Sage a commencé à définir son réseau de champions de la sécurité pendant environ 10 ans. Malgré le solide réseau de développeurs axés sur la sécurité, la formation était sporadique et n'était pas structurée de manière à se concentrer sur la réduction des risques. 

Sage a reconnu qu'il était important de consacrer du temps à l'établissement de relations et à l'intégration de la sécurité sur une période de temps avec une approche flexible. Le programme de Sage a lié ses objectifs à la réduction des risques et à l'impact matériel de ce programme. Lors du pilotage du programme avec certaines unités commerciales, l'accent a été mis sur la manière de mesurer la réduction des risques et de la répercuter sur l'entreprise afin d'obtenir l'adhésion des développeurs et de la direction générale. 

Action

Mads Howard, responsable de la sécurité centrée sur les personnes chez Sage, a travaillé avec des développeurs pour comprendre les profils des champions de la sécurité. Elle a rencontré des développeurs dans chaque unité opérationnelle et a mené des entretiens avec eux pour comprendre ce qui les motive, comment ils aiment apprendre et quelles sont les limites qu'ils voient dans leur travail. Avec son équipe, elle s'est efforcée d'établir des relations avec les développeurs et leurs chefs d'équipe, et a insisté sur l'importance de faire preuve de souplesse dans leur approche.

Mads met l'accent sur l'établissement de relations,

"Nous avons passé beaucoup de temps à établir des relations avec les chefs d'équipe de développement, les chefs d'équipe d'ingénierie et les chefs de produit - les personnes qui contrôlent le temps consacré à l'éducation pendant les cycles de sprint.

Selon Mads, il s'agissait également d'étendre leur réseau de champions de la sécurité,

"Le réseau des champions de la sécurité a été considéré comme un élément clé de ce programme. Pour que les produits puissent passer par ce programme, nous avons dû prendre au sérieux le rôle d'un champion de la sécurité et lui fournir une solide formation en la matière. 

L'objectif des équipes de sécurité globale de Sage était de mettre en œuvre un programme de contrôle de la sécurité qui prenne en compte les besoins d'apprentissage des développeurs dans un environnement technologique complexe et de choisir un partenaire qui travaille en parallèle avec leurs outils de sécurité existants pour aider à la gestion des vulnérabilités. 

Il était important que l'éducation soit considérée comme un aspect important d'un programme de contrôle de sécurité mature. Ils se sont concentrés sur la mesure de la réduction des risques : 

• Amélioration de la note de risque
• Âge de la vulnérabilité Réduction de l'arriéré de vulnérabilités
• Temps de résolution
• Pas de vulnérabilités fermées vs. vulnérabilités ouvertes
• Nombre de problèmes par ligne de code écrit par Sage (pas de tiers)

Pour Mads,

"La prochaine étape pour Sage en tant qu'entreprise est de démontrer que l'amélioration des compétences par le biais d'un programme de codage sécurisé intégré dans les flux de travail des développeurs permet de réduire les risques de manière mesurable".

Résultats

Mads a souligné l'importance du partenariat et des conseils que Secure Code Warrior lui a fournis, à elle et à son équipe,

"Je dirais honnêtement que nous n'aurions pas été en mesure d'aller aussi loin et de construire une sorte de programme qui a ce niveau de maturité en termes de différentes couches ou d'équipe de développement à travers différentes technologies sans le soutien de Secure Code Warrior." 

Une fois que Mads et son équipe ont terminé leurs entretiens et obtenu l'adhésion des développeurs, elle a commencé à mettre en œuvre Secure Code Warrior dans le cadre d'un programme plus large de culture de la sécurité. 

Les résultats, selon Mads, sont les suivants,

"Sage compte aujourd'hui plus de 200 champions de la sécurité inscrits au programme, et si un champion de la sécurité consacre 3,5 heures par semaine (ou 10 % de son temps) à l'acquisition de compétences, il peut plaider en faveur d'un programme de codage sécurisé, d'une formation continue et de la valeur qu'il leur apporte." 

Avec l'adhésion des dirigeants et des objectifs mesurables en matière de réduction des risques, Mads a pu commencer à mesurer le succès non seulement en fonction du nombre de personnes sur une plateforme et des heures de jeu, mais aussi en fonction du temps nécessaire pour corriger les vulnérabilités, de l'âge des vulnérabilités, puis en comparant avec les nouvelles fonctionnalités qui ont été développées pour les clients afin d'obtenir un point de vue holistique sur la réduction des vulnérabilités. Pour une équipe, l'impact ressenti a été énorme, avec une réduction de 82 % du temps moyen pour corriger une vulnérabilité.. 

Toutefois, Howard a ajouté que ce qui importait le plus était ce qui n'était pas quantifiable, à savoir l'engagement et la volonté des équipes de s'impliquer dans le programme.

Principaux enseignements

L'expérience de Sage souligne la pertinence d'une formation à la sécurité bien planifiée et exécutée, l'importance d'une approche flexible et intégrée - une leçon à retenir pour toute organisation visant à mettre en place un programme de codage robuste et sécurisé. Selon Mads, il est important de se rappeler que c'est en travaillant avec les développeurs, et non contre eux, que l'on peut mettre en œuvre un programme de contrôle de la sécurité efficace et intégrer la sécurité dans la culture de l'entreprise. 

• La création d'une culture de la sécurité ne se fait pas du jour au lendemain. Il est important de consacrer du temps à l'établissement de relations et à l'intégration de la sécurité sur une certaine période, et d'y consacrer des ressources. 
• Reliez tout à la réduction des risques et concentrez-vous sur l'impact matériel d'un programme de codage sécurisé.
• Concentrez-vous sur la manière dont vous pouvez mesurer cette réduction des risques pour la répercuter sur l'entreprise, afin que le programme soit perçu comme ayant un impact et une réussite tant par les développeurs que par les dirigeants. 

Pour les développeurs qui souhaitent devenir des champions de la sécurité, elle et son équipe ont également donné ce conseil : 

• Créez autour de vous un réseau de personnes intéressées par la sécurité et participez à des conférences et à des exposés. Passez du temps à vous informer sur les sujets qui vous intéressent. 
• Gardez à l'esprit que la culture d'une organisation ne changera pas du jour au lendemain et qu'il faudra du temps pour qu'elle se développe et mûrisse. 

‍

Transcription de la vidéo

La formation traditionnelle au code sécurisé fait bâiller vos développeurs. N'est-ce pas ?

Grâce à l'approche d'apprentissage agile des guerriers du code sécurisé, les développeurs apprennent rapidement grâce à des micro-coupures courtes d'une formation très pertinente juste à temps.

Coding labs, notre expérience d'apprentissage IDE simulée, change la donne Avec coding labs, vos développeurs apprennent par la pratique dans un environnement IDE entièrement interactif qui s'exécute dans un navigateur.

Les développeurs écrivent du code et corrigent les vulnérabilités du monde réel.

Les laboratoires de codage les invitent automatiquement à fournir un retour d'information contextuel en temps réel, dont ils ont besoin. Cette approche d'apprentissage pratique à l'intérieur de l'IDE simulé maintient leur engagement et est beaucoup plus pertinente pour leur travail quotidien. Il en résulte des gains de productivité mesurables en termes de réduction des risques, d'évitement des reprises coûteuses et de correction plus rapide des vulnérabilités.

Les laboratoires de codage sont très différents des autres options de formation à la sécurité. Ils n'exigent pas des développeurs qu'ils créent de nouvelles machines virtuelles.

Il offre une formation pratique avec l'interface utilisateur que les développeurs connaissent et apprécient.

Il fait progresser les développeurs en leur suggérant des extraits de code et en leur apportant des réponses pas à pas adaptées à leurs erreurs.

Et il épargne aux développeurs les cours inefficaces et les occasions orientées vers la conformité. C'est pourquoi les clients de Secure Code Warrior constatent des gains de productivité deux à trois fois mesurables en termes de réduction des risques, d'évitement des reprises coûteuses et de correction plus rapide des vulnérabilités.

Réservez une démonstration pour voir les laboratoires de codage en action dès aujourd'hui.

‍

La conformité est le résultat d'une bonne sécurité, et non l'inverse. Si les développeurs apprennent et appliquent activement les concepts dans leur travail quotidien, la sécurité se développera de manière holistique dans la culture de l'entreprise.

Découvrez comment Netskope a tiré parti de la flexibilité du contenu de Secure Code Warrioret de l'approche interactive et pratique de l'apprentissage pour créer une approche programmatique de la sécurité axée sur les développeurs, tout en répondant aux exigences de conformité de leur secteur.

Pour lancer le mois de la sensibilisation à la cybersécurité, ce webinaire abordera les sujets suivants :

• Les principaux moteurs de l'activité de Netskope et la manière dont ils ont élaboré un dossier commercial pour le SCW et l'apprentissage agile du code sécurisé.
• Quelles actions ont été entreprises pour lancer le programme et quels étaient leurs objectifs ?
• Comment établir un partenariat avec les développeurs et mesurer leur engagement comme un facteur de réussite ?
• Comment le programme Warrior de Netskope a doublé la participation à la formation du SCW en deux ans

Le concept de "déplacement vers la gauche" fait partie du discours du secteur de la cybersécurité depuis le début des années 2000. La menace imminente de cyberattaques à grande échelle a nécessité une stratégie de défense au fur et à mesure que l'empreinte numérique du monde se développait.

Pourtant, près de vingt ans après que le mouvement "shift left" a promis de révolutionner la fourniture de logiciels sécurisés, nous sommes toujours confrontés à un déluge de codes non sécurisés, à de faibles niveaux de sensibilisation à la sécurité au sein des organisations et à la cybercriminalité qui en découle et dont le volume et la puissance augmentent d'année en année. D'ici 2025, on estime que les cyberattaques coûteront au monde 10,5 billions de dollars américains par an.

Le fossé des compétences en matière de cybersécurité ne cesse de se creuser, si bien que nous manquons de personnel de sécurité expérimenté depuis un certain temps. Bien qu'il s'agisse d'un point critique pour la plupart des responsables de la sécurité et des RSSI, nous ne pouvons tout simplement pas nous permettre d'attendre patiemment un changement miraculeux des circonstances. L'approche actuelle est défectueuse, et nous devons revitaliser et utiliser les ressources que nous avons sous les yeux, et la relève est vraiment possible sous la forme de développeurs compétents en sécurité.

Dans ce livre blanc, l'expert en sécurité et Secure Code Warrior CTO & Co-Founder Matias Madou, Ph.D. discutera :

• Les six piliers dont vous avez besoin pour mettre en place une formation et une habilitation efficaces en matière de sécurité pour votre cohorte de développement.
• Leçons tirées de l'expérience de dix cadres qui mettent en œuvre des programmes de sécurité au niveau de l'entreprise.
• Les pièges les plus courants à éviter sur la voie du succès.

‍

À l'ère du DevSecOps, de la livraison continue et de la multiplication des données, les entreprises astucieuses aident les développeurs comme vous à se perfectionner pour devenir des superstars de la sécurité qui contribuent à éliminer les vulnérabilités courantes avant qu'elles n'atteignent le stade de la production. Lorsque vous produisez un code de haute qualité sans ces bogues gênants, c'est non seulement plus sûr pour l'utilisateur final, mais aussi moins de travail et de perturbations pour vous. Les chapitres suivants se concentrent sur certains des pires bogues de sécurité liés aux interfaces de programmation d'applications (API). Ces bogues sont si fréquents qu'ils figurent sur la nouvelle liste 2023 de l'Open Web Application Security Project (OWASP) des principales vulnérabilités des API. Compte tenu de l'importance des API dans les infrastructures informatiques modernes, il s'agit de problèmes critiques que vous devez à tout prix éviter dans vos applications et vos programmes.

Explorez ce tout nouveau livre électronique pour en savoir plus :

• Comment fonctionnent chacune des 10 principales vulnérabilités des API et comment un pirate peut les exploiter.
• A quoi ils ressemblent et comment vous pouvez les résoudre avec de bons modèles de codage (avec des liens vers des défis concrets et pratiques !).
• Comment gérer la sécurité au rythme de l'innovation dans votre travail quotidien.

‍