Ouvrir la version PDF

Une première dans l'industrie qui quantifie l'impact de votre programme de codage sécurisé.

Les équipes logicielles des entreprises sont soumises à une pression accrue pour fournir un code de qualité et sécurisé plus rapidement et sans faille avant la production. C'est ainsi qu'est né le concept de sécurité pilotée par les développeurs, un mouvement puissant qui se traduit par une productivité accrue des développeurs, un mouvement accéléré tout au long du cycle de développement du logiciel et une innovation accrue, ce qui conduit en fin de compte à la croissance de l'entreprise. Dans le monde des programmes d'apprentissage sécurisés, même si elles suivent des programmes de code sécurisé identiques, les équipes produisent souvent un spectre d'expertise, englobant les plus performants, les moins performants et ceux qui ont besoin d'un soutien supplémentaire. Mais comment savoir à quoi ressemble une bonne performance - et par rapport à quoi ? Les organisations ont besoin d'un point de référence qui définisse la courbe en cloche du niveau de sécurité de leurs développeurs. Un score qui peut être utilisé comme mesure de base de l'état actuel de leur programme d'apprentissage de la sécurité, évaluer son efficacité et permettre aux équipes d'optimiser leurs performances.

Valeur et avantages

• Des données simples, efficaces et significatives
• Mesurer le succès du programme de sécurité
• Amélioration de la qualité des logiciels
• Amélioration des relations au sein de l'équipe
• Aperçu des compétences en matière de codage sécurisé
• Des utilisateurs engagés et des développeurs fidélisés

Établir une analyse comparative de l'état actuel de votre programme de sécurité

Comparez votre programme de sécurité à celui de vos homologues du secteur afin d'établir une norme conforme à vos objectifs commerciaux. L'utilisation de points de référence fournit une base de comparaison des performances, ce qui permet de prendre des décisions fondées sur des données et d'offrir des possibilités d'amélioration continue pour optimiser votre posture de sécurité.

Mesuré dans le contexte des pairs, de la concurrence et des organisations mondiales

Le score de confiance SCW mesure l'efficacité de votre programme de sécurité en agrégeant les niveaux de compétences individuels des apprenants, pour calculer le score de confiance de votre organisation. Avec des références adaptées aux secteurs de la banque et des services financiers, de la technologie et de l'industrie mondiale, le rapport fournit des informations sur le score de confiance de votre entreprise, la distribution des références sectorielles et la distribution des niveaux de compétences des apprenants, avec des options de forage et de filtrage personnalisables.

Faites confiance au référentiel de compétences en matière de sécurité le plus complet du secteur

Le score de confiance SCW est une solution inédite qui s'appuie sur un algorithme dynamique, tirant parti de plus de 20 millions de points de données d'apprentissage collectés auprès de plus de 600 entreprises et 250 000 apprenants. Il prend en compte un ensemble d'activités d'apprentissage réalisées au sein de notre plateforme, telles que la profondeur des connaissances acquises sur le Top 10 de l'OWASP. Ces informations inégalées aident les organisations à mesurer leurs performances par rapport à d'autres en toute confiance.

‍

Obtenir le PDF

‍

Plateformes d'apprentissage agiles : Le retour sur investissement de la sécurité axée sur les développeurs

Dans un paysage logiciel en évolution rapide, les développeurs sont désormais responsables de la sécurité des produits dès leur conception. Dans ce rapport conjoint de Secure Code Warrior et Accenture, nous explorons les défis liés à la formation traditionnelle en matière de sécurité et les coûts d'opportunité liés à la perturbation des flux de travail des développeurs. Entrez dans une version agile de Plateforme D'apprentissage pour un code sécurisé, qui réduit les vulnérabilités de moitié tout en améliorant la productivité. 

Dans ce livre blanc, nos experts de Secure Code Warrior et d'Accenture analysent la situation : 

• Comment calculer le retour sur investissement de l'apprentissage agile en tenant compte de facteurs tels que les licences, les salaires et le temps de remédiation. 
• Découvrez comment Accenture intègre Secure Code Warrior, transformant la formation au code sécurisé et soulignant la valeur de la formation des développeurs.
• Secure Code Warrior les utilisateurs bénéficient d'une augmentation de 148 % de la productivité des développeurs, d'une réduction du nombre de vulnérabilités et d'une accélération des cycles de publication, ce qui rend la sécurité proactive financièrement viable.

‍

Évaluer votre infrastructure et vos processus pour répondre aux exigences de la norme PCI-DSS

Principales mises à jour et délais pour les nouvelles exigences de la norme PCI-DSS 4.0

La norme PCI-DSS 4.0 introduit des mises à jour visant à renforcer la sécurité des données des titulaires de cartes, en tenant compte des risques actuels et des avancées technologiques dans le secteur des cartes de paiement. Les révisions permettent aux organisations d'adopter des mesures de sécurité personnalisées si elles démontrent leur conformité avec les objectifs de sécurité, en étendant l'authentification multifactorielle à tous les accès dans l'environnement des données des titulaires de cartes, et en renforçant le cryptage sur tous les réseaux. En outre, l'accent est davantage mis sur l'analyse et l'atténuation continues des risques, ainsi que sur l'amélioration des capacités de détection et de réaction rapides aux incidents de sécurité. Ces nouvelles exigences sont assorties d'une période de transition afin de laisser aux organisations le temps d'adopter la nouvelle version tout en continuant à se conformer aux normes existantes.

Pourquoi les RSSI doivent-ils donner la priorité aux dernières mises à jour de la norme pci-dss ?

L'adhésion à ces normes actualisées est cruciale non seulement pour maintenir la conformité, mais aussi pour se protéger contre les menaces et les risques cybernétiques nouveaux et émergents. En appliquant ces normes, les organisations peuvent se prémunir contre les violations, protégeant ainsi leur réputation et évitant des amendes potentiellement élevées en cas de non-conformité.

Date d'entrée en vigueur de la norme DSS 4.0 : Mars 2024 ; actualisation en mars 2025.

La norme PCI-DSS 4.0 souligne l'importance d'intégrer des processus de sécurité continus dans les activités quotidiennes de l'entreprise.

La conformité ne peut pas être une simple question de temps assessment. Cette approche est essentielle pour les RSSI chargés de promouvoir une culture de sensibilisation à la sécurité et une gestion proactive des risques au sein de leur organisation. L'adoption de la norme PCI-DSS 4.0 contribue également à accroître la valeur de l'entreprise en créant une infrastructure de sécurité solide qui sous-tend des environnements de paiement sûrs et sécurisés.

Vos développeurs sont-ils prêts à fournir des logiciels conformes ?

Les développeurs font partie intégrante - mais souvent sous-utilisée - de l'atteinte d'un niveau d'excellence en matière de sécurité des logiciels. Il est essentiel que les développeurs comprennent l'ensemble de la norme PCI DSS 4.0 et ce qu'ils peuvent contrôler et intégrer dans le cadre de leur approche par défaut de la création d'un logiciel.

L'exigence 6 de la norme PCI DSS décrit les attentes en matière de développement et de maintenance de logiciels sécurisés.

Il s'agit d'une série d'éléments allant des normes de développement sécurisées à la formation des développeurs en passant par la gestion de la configuration et du contrôle des modifications. Toutes les organisations qui développent des logiciels utilisés dans un réseau de données de titulaires de cartes (CHD) sont tenues de se conformer à ces mandats.

Comme indiqué dans l'exigence 6.2.2, le personnel chargé du développement de logiciels travaillant sur des logiciels sur mesure et personnalisés est formé au moins une fois tous les 12 mois comme suit :

• sur la sécurité des logiciels en rapport avec leur fonction et les langages de développement.
• Y compris la conception de logiciels sécurisés et les techniques de codage sécurisées.
• Y compris la manière d'utiliser les outils de test de sécurité pour détecter les vulnérabilités dans les logiciels.

La norme précise en outre que la formation doit comprendre au moins les éléments suivants :

• Langages de développement utilisés
• Conception de logiciels sécurisés
• Techniques de codage sécurisé
• Utilisation de techniques/méthodes pour trouver des vulnérabilités dans le code
• Procédures visant à empêcher la réintroduction de vulnérabilités précédemment résolues

En outre, les développeurs doivent connaître TOUTES les techniques d'attaque (décrites dans l'exigence 6.2.4.), y compris une liste de catégories d'attaques conçues pour servir d'exemples :

• Les attaques par injection, y compris les attaques SQL, LDAP, XPath ou d'autres commandes, paramètres, objets, fautes ou failles de type injection.
• Attaques contre les données et les structures de données, y compris les tentatives de manipulation des tampons, des pointeurs, des données d'entrée ou des données partagées.
• Attaques contre l'utilisation de la cryptographie, y compris les tentatives d'exploitation d'implémentations cryptographiques, d'algorithmes, de suites de chiffrement ou de modes de fonctionnement faibles, peu sûrs ou inappropriés.
• Attaques contre la logique d'entreprise, y compris les tentatives d'abus ou de contournement des caractéristiques et fonctionnalités de l'application par la manipulation des API, des protocoles et canaux de communication, des fonctionnalités côté client ou d'autres fonctions et ressources du système/de l'application. Il s'agit notamment de scripts intersites (XSS) et de falsifications de requêtes intersites (CSRF).
• Les attaques contre les mécanismes de contrôle d'accès, y compris les tentatives de contournement ou d'abus des mécanismes d'identification, d'authentification ou d'autorisation, ou les tentatives d'exploitation des faiblesses dans la mise en œuvre de ces mécanismes.
• Attaques par l'intermédiaire de toute vulnérabilité "à haut risque" identifiée dans le cadre du processus d'identification des vulnérabilités, tel que défini dans l'exigence 6.3.1.

Comment Secure Code Warrior peut vous aider à atteindre la conformité PCI-DSS 4.0

L'option la plus efficace pour la formation est une approche agile Plateforme D'apprentissage où la conformité devient un produit d'un programme global d'apprentissage du code sécurisé. Plus précisément, Secure Code Warrior peut aider votre entreprise à réduire les vulnérabilités et à améliorer la productivité des développeurs par les moyens suivants :

• Fournir une compréhension solide et cohérente de la manière de préserver la sécurité des données PCI en comblant les lacunes en matière de connaissances et en fournissant une formation précise dans les langages et les cadres utilisés par vos développeurs. Pour en savoir plus, consultez notre site Plateforme D'apprentissage.
• Offrir un processus continu, mesuré et établi de vérification des compétences pour s'assurer que la formation a été assimilée et mise en pratique. En savoir plus sur nos parcours de formation au code sécurisé prêts à l'emploi pour les développeurs.
• Dispenser des formations par le biais de méthodes d'apprentissage agiles qui fournissent des micro-éclairs d'apprentissage contextuels juste à temps. Les formations génériques et peu fréquentes ne sont plus viables et n'auront pas l'impact souhaité sur la réduction des vulnérabilités. En savoir plus sur les vulnérabilités prises en charge.
• Aide à la documentation de la formation à la sécurité et des normes de codage, utile pour démontrer la conformité lors des audits PCI-DSS. Pour une analyse plus détaillée de PCI-DSS 4.0, consultez notre livre blanc, PCI DSS 4.0 Unraveled.

‍

DigitalOcean réduit sa dette de sécurité avec Secure Code Warrior

DigitalOcean offre des ressources informatiques évolutives et une suite de solutions cloud qui permettent aux développeurs de déployer, de gérer et de faire évoluer leurs applications sans effort. Les produits et services de DigitalOcean sont fournis par ses équipes de R&D qui se concentrent sur la fourniture de nouveaux produits permettant aux développeurs et aux entreprises de consacrer plus de temps à la création de logiciels qui changent le monde.

Situation

DigitalOcean a connu une croissance rapide au fil des ans, et ses équipes d'ingénieurs se sont agrandies pour soutenir cette croissance, ce qui a entraîné des défis en matière de sécurité. Avec des équipes plus nombreuses, DigitalOcean a cherché des moyens de s'assurer que ses développeurs étaient capables d'identifier les schémas courants apparaissant lors des revues de conception, afin de pouvoir les empêcher de manière proactive de se reproduire. En fin de compte, ils voulaient un programme qui leur permettrait de développer leurs compétences en matière de sécurité des logiciels et qui les mettrait dans un état d'esprit proactif et offensif lorsqu'il s'agit de sécuriser le code.

"Nous avions besoin d'une solution spécifique aux développeurs, pratique et axée sur les risques auxquels notre organisation était confrontée.

Action

L'équipe de sécurité des produits de DigitalOcean se concentre sur la gestion holistique des vulnérabilités et avait besoin d'une solution pratique qui permettrait aux développeurs d'apprendre, de tester et d'appliquer leurs connaissances - essentiellement en développant leur muscle de sécurité pour les questions pertinentes à leur organisation.

En utilisant Secure Code Warrior, ils ont personnalisé le bon programme de codage sécurisé qui se concentre sur les vulnérabilités spécifiques qu'ils ont identifiées comme prévalentes au cours de leurs examens de sécurité et de conception.

L'élaboration de programmes à partir de ces éléments de base a fourni à leurs équipes de développement une base solide pour se concentrer sur les problèmes identifiés. Le site agile Secure Code Warrior Plateforme D'apprentissage a permis aux développeurs d'examiner et d'identifier le code présentant des vulnérabilités, et de comprendre l'impact du code en "voyant la vulnérabilité en mouvement" grâce à des modules d'apprentissage. Cette combinaison s'est avérée efficace pour renforcer la position et la base de connaissances des développeurs en matière de sécurité.

Résultats

L'un des résultats les plus notables a été la capacité à renforcer rapidement et régulièrement les pratiques de codage sécurisées, ce qui a conduit à une diminution marquée de la dette de sécurité au sein des équipes. Dans l'ensemble, DigitalOcean a constaté que les équipes formées avec SCW étaient non seulement plus aptes à identifier et à atténuer les problèmes de sécurité, mais qu'elles avaient également la confiance nécessaire pour repousser les limites de l'innovation sans compromettre la sécurité.

Cette réduction de la dette de sécurité s'est traduite par une augmentation de la productivité et de l'efficacité, car les développeurs ont passé moins de temps à corriger les failles de sécurité et plus de temps à se concentrer sur le développement de nouvelles fonctionnalités et d'améliorations. L'amélioration de la posture de sécurité de ces équipes a également permis à DigitalOcean de fournir à ses clients des produits de meilleure qualité et plus sûrs, renforçant ainsi son avantage concurrentiel dans le secteur.

Prochaines étapes

Pour l'avenir, DigitalOcean se réjouit du potentiel de SCW Trust Score pour améliorer encore ses capacités de formation et d'analyse comparative en matière de sécurité. SCW Trust Score permettra à DigitalOcean d'établir des comparaisons détaillées entre les équipes et les départements, fournissant une image claire de leur posture de sécurité globale.
En continuant à évoluer et à s'adapter au paysage de la sécurité en constante évolution, DigitalOcean est convaincu que ses équipes d'ingénieurs et de développeurs continueront non seulement à réduire la dette de sécurité, mais aussi à utiliser le surplus de sécurité qu'ils gagnent avec Secure Code Warrior pour repousser les limites de la productivité, de la vélocité et de l'innovation des développeurs.

‍

Secure Code Warrior réduit les vulnérabilités là où elles commencent - au niveau du code. Notre site agile Plateforme D'apprentissage permet aux développeurs d'apprendre comme ils le souhaitent, avec le contenu de vulnérabilité le plus complet et le plus fiable de l'industrie aujourd'hui.

‍

Le groupe IAG est à l'origine de nombreuses compagnies d'assurance de premier plan dans la région Asie-Pacifique, souscrivant des polices pour des millions de clients pour un montant d'environ 11,4 milliards de dollars australiens de primes par an. Bianca Wirth est responsable de l'éducation et de la sensibilisation à la sécurité pour le groupe IAG. Très sensible à la nécessité d'une sensibilisation et de pratiques de sécurité rigoureuses au sein de l'équipe de développement, elle a entrepris de créer un environnement véritablement innovant et optimal dans lequel l'équipe pourrait apprendre des techniques de codage sécurisées vitales.

ENTER : Jeu de codes

Le défi

Les développeurs sont souvent pressés par le temps, avec de multiples livrables et projets en cours. Cependant, se tenir au courant des meilleures pratiques en matière de sécurité est de la plus haute importance pour toute organisation, et encore plus pour une organisation qui doit protéger des millions de profils de données sensibles de clients contre les pirates informatiques. Bianca et son équipe se sont fixé des objectifs clairs pour renforcer leurs initiatives en matière de cybersécurité. Ils ont déterminé que la priorité était de minimiser la surface d'attaque des applications développées par l'IAG, et qu'il fallait pour cela former les développeurs à identifier et à corriger les vulnérabilités critiques et à haut risque. Il existe certainement des formations longues sur le codage sécurisé ( courses ), mais elles peuvent être laborieuses, fastidieuses, et éloigner le personnel clé des projets de développement avec des délais de livraison stricts, ce qui crée une pression dans l'ensemble de l'entreprise. La nécessité d'améliorer rapidement les compétences de l'équipe de développement, avec un impact minimal sur la charge de travail et les opérations, est devenue évidente. Et avec des développeurs répartis entre l'Australie et la Nouvelle-Zélande, chacun travaillant sur des systèmes qui n'étaient pas nécessairement les mêmes, ce n'était pas une mince affaire.

"Cette année, j'ai apporté une modification à notre code source qui a supprimé une vulnérabilité d'injection SQL. C'est à Game of Codes que l'on doit cette prise de conscience. Le simple fait de garder à l'esprit la sécurité du codage est utile. La compétition est un bon moyen de pousser les gens à faire de leur mieux... parce que, soyons honnêtes, la sécurité n'est pas le sujet le plus agréable pour tout le monde, c'est donc un bon moyen d'impliquer les gens." R, développeur IAG

La mise en œuvre

Bianca a élaboré une stratégie de déploiement d'une expérience de formation gamifiée, en travaillant en collaboration avec son équipe et Secure Code Warrior à la mise en œuvre de tournaments et d'une formation visant à promouvoir les compétences de leurs développeurs internes. Pour ce faire, il était essentiel de mettre en place une stratégie de communication solide, ainsi que de répondre aux différentes motivations et personnalités du personnel lorsqu'il s'agit d'adopter une toute nouvelle plateforme et de l'utiliser à son plein potentiel :

"Nous avons élaboré un plan de communication qui indique comment nous allons communiquer au personnel et aux principales parties prenantes les points à connaître et les messages clés, ainsi que les incitations que nous leur offrons pour qu'ils réagissent également. La plupart des gens apprécient vraiment l'expérience des jeux. Cela dépend simplement de leur personnalité, de leur motivation et de ce qui les anime. C'est pourquoi nous essayons de répondre à toute une série de motivations différentes. Pour certains, ce sont les prix qui les intéressent, pour d'autres, c'est l'aspect de l'accomplissement qui est en soi un facteur suffisant", a-t-elle déclaré

Bianca et IAG ont présenté de manière experte le site Secure Code Warrior's gamified Plateforme D'apprentissage, transformant leur tournament en une expérience de compétition amusante annoncée comme le "Jeu des codes", avec le personnel placé dans des maisons à thème médiéval (avec des marchandises de marque pour les joueurs) s'affrontant dans une bataille digne de son homonyme produite par HBO.

Le site tournament a même été porté sur la scène internationale, avec le lancement prochain d'un match Australie/Nouvelle-Zélande. Cela donne à l'IAG l'occasion d'identifier les principaux champions de la sécurité dans les deux pays et de s'assurer que les équipes se perfectionnent ensemble.

Le résultat

Game of Codes est en fait un programme de formation spécialisé. Son déploiement sous la forme d'un site interactif et amusant ( tournament ) a permis au personnel de rester engagé de diverses manières, mais l'aspect pratique essentiel de l'exercice est resté le même : donner aux développeurs les compétences nécessaires pour identifier et contrecarrer les vulnérabilités à haut risque dans les applications développées par l'IAG.

En s'assurant que les développeurs et les équipes de sécurité travaillent avec un état d'esprit axé sur la sécurité, et qu'ils sont équipés pour non seulement identifier, mais aussi corriger les vulnérabilités dès le début, l'IAG prévoit une réduction des exercices coûteux de tests de pénétration et de la pression exercée sur l'équipe qui les exécute.

Outre la poursuite du développement de cette compétence vitale, Game of Codes a également contribué à l'établissement de relations, en insufflant un sentiment de camaraderie et de compétitivité amicale entre les équipes impliquées, tout en aidant les individus à se sentir plus confiants dans leurs capacités de codage sécurisé lorsqu'ils les voient mesurées dans un environnement de notation à l'adresse suivante : tournament .

Bianca a déclaré que le soutien interne au programme était immense, avec un accueil positif de la part de la direction. Cela a également conduit à la mise en place d'un programme d'ambassadeurs, dans le cadre duquel les personnes désireuses de promouvoir le programme et de défendre la sécurité au sein de l'organisation pouvaient s'impliquer :

"Ce fut une formidable exposition pour certains développeurs et une excellente promotion de leurs compétences. Ils en tirent également des avantages dans leur propre travail, ce qui est important".

Loin d'être "un simple jeu" ou un moyen plus agréable pour les chefs de service de brûler les étapes de la formation à la conformité, Game of Codes offre une solution attrayante et à forte rétention qui transforme rapidement les novices en champions de la sécurité, ce qui est essentiel pour minimiser le risque d'une violation à grande échelle.

Et le conseil ultime, de la part de Bianca elle-même :

"Si vous mettez en place un programme et que vous vous attendez à ce que les gens l'utilisent, cela ne fonctionnera pas. Vous devez concevoir un programme autour duquel vous initiez et motivez le changement de comportement. Ce que nous avons construit, c'est essentiellement un programme de gestion du changement pour les développeurs, axé sur la sécurité".

"Après avoir suivi les sessions de formation sur Game of Codes, je constate que je m'intéresse davantage à la sécurité et à la réflexion sur la sécurité lors de la création de tests d'automatisation.Je suis un testeur senior dans une équipe agile et ces sessions de formation m'ont motivé à en apprendre davantage sur les tests de sécurité et à y penser comme une spécialisation possible." A, testeur senior de l'AIG

FAITS RAPIDES 

• Outre la ludification de l'apprentissage, l'IAG utilise également Secure Code Warrior comme outil de test des compétences dans le cadre du recrutement de développeurs.
• Ils sont en train de déployer le programme à 100 % de leur équipe de développement, 55 % d'entre eux étant déjà actifs dans le système.  
• Ils ont développé un ensemble d'indicateurs internes clés leur permettant de mesurer le succès du programme en minimisant les risques et en réduisant les coûts au fil du temps.
  ‍