À l'ère du DevSecOps, de la livraison continue et de la multiplication des données, les entreprises astucieuses aident les développeurs comme vous à se perfectionner pour devenir des superstars de la sécurité qui contribuent à éliminer les vulnérabilités courantes avant qu'elles n'atteignent le stade de la production. Lorsque vous produisez un code de haute qualité sans ces bogues gênants, c'est non seulement plus sûr pour l'utilisateur final, mais aussi moins de travail et de perturbations pour vous. Les chapitres suivants se concentrent sur certains des pires bogues de sécurité liés aux interfaces de programmation d'applications (API). Ces bogues sont si fréquents qu'ils figurent sur la nouvelle liste 2023 de l'Open Web Application Security Project (OWASP) des principales vulnérabilités des API. Compte tenu de l'importance des API dans les infrastructures informatiques modernes, il s'agit de problèmes critiques que vous devez à tout prix éviter dans vos applications et vos programmes.

Explorez ce tout nouveau livre électronique pour en savoir plus :

• Comment fonctionnent chacune des 10 principales vulnérabilités des API et comment un pirate peut les exploiter.
• A quoi ils ressemblent et comment vous pouvez les résoudre avec de bons modèles de codage (avec des liens vers des défis concrets et pratiques !).
• Comment gérer la sécurité au rythme de l'innovation dans votre travail quotidien.

‍

Les organisations abordent souvent la sécurité avec l'objectif de réduire leur profil de risque de manière organique - généralement en identifiant les développeurs qui peuvent devenir des champions de la sécurité. Cependant, le défi de l'identification et du développement des champions de la sécurité est de construire un programme qui peut évoluer dans le temps et donner aux développeurs les moyens de contribuer à l'amélioration de la posture de sécurité globale d'une organisation.

Dans ce rapport, vous trouverez une vue d'ensemble des résultats des Devlympics 2022, ainsi qu'une analyse approfondie des forces et des opportunités mises en évidence par des centaines de participants. En outre, apprenez comment évaluer les compétences de votre organisation et trouver des moyens d'inspirer un changement vers une sécurité axée sur les développeurs.

Contexte

Le groupe Thales est une multinationale française qui conçoit, développe et fabrique des systèmes électriques, ainsi que des dispositifs et des équipements pour les secteurs de l'aérospatiale, de la défense, du transport et de la sécurité. Viswanath S. Chirravuri est directeur technique de la sécurité des logiciels chez Thales. Viswanath, ou Vis, a commencé sa carrière dans le domaine de la sécurité en tant que programmeur. Il est aujourd'hui l'un des principaux responsables de la sécurité chez Thales, avec plus de 18 ans d'expérience dans le secteur de la sécurité, et détient plus de 30 certifications, dont CISSP, PMP et GSE. Il a formé plus de 3 000 professionnels du logiciel dans plus de 18 pays. En outre, Vis a remporté plus de 10 SANS challenge coins dans le domaine de la cybersécurité internationale tournaments (comme Netwars) et est un membre actif du GIAC Advisory Board. Nous nous sommes entretenus avec Vis pour savoir comment il a aligné les personnes, les processus et la technologie pour développer un programme d'apprentissage de code sécurisé réussi chez Thales.

Situation

Lorsque Vis a commencé à travailler chez Thales, il a conseillé aux unités commerciales de rechercher la source des vulnérabilités découvertes par le biais de tests d'intrusion comme solution possible pour réduire l'arriéré de la dette technologique. L'équipe chargée de la sécurité des applications utilisait 7 fournisseurs différents avec lesquels elle travaillait pour renforcer sa position en matière de sécurité - des outils IAST/DAST aux outils de test d'intrusion. Vis souhaitait comprendre les tendances du marché et gérer les menaces de manière évolutive afin de développer des stratégies d'atténuation grâce à une forte intégration entre les processus et la technologie. Pour ce faire, il fallait passer d'une approche purement axée sur les outils à une stratégie comportant une forte composante d'apprentissage. Il a remarqué que de nombreux développeurs n'avaient pas d'expérience ou de compétences en matière de sécurité. Son approche initiale consistait à proposer aux développeurs des formations en classe sur des sujets tels que le Top 10 de l'OWASP, mais il s'est rapidement rendu compte que cela n'allait pas s'adapter à tous les déplacements nécessaires pour enseigner en personne et à la nécessité d'atteindre des milliers de développeurs à travers le monde. Vis a noté que :

"Il y aura toujours un déséquilibre dans le rapport entre la sécurité et le développement. Même si j'avais un ratio sécurité/développeurs de 1:1, je ne pourrais pas les mobiliser en permanence. Pour tenir nos développeurs au courant des nouveaux vecteurs d'attaque, des meilleures pratiques, des nouveaux langages et des vulnérabilités récemment découvertes, nous devions être en mesure de promouvoir l'auto-apprentissage par les développeurs et leur permettre d'avancer à leur propre rythme. S'ils ont besoin d'aide, je peux les aider, mais je me suis rendu compte que je ne pouvais pas être celui qui leur apprend à corriger toutes les vulnérabilités qu'ils trouvent".

Au départ, les responsables du développement se sont opposés à l'investissement en temps que les développeurs devraient consacrer à l'apprentissage du code sécurisé, étant donné qu'un grand nombre d'entre eux partaient de zéro. Vis devait gérer la perception selon laquelle un engagement en faveur de l'apprentissage du code sécurisé pourrait perturber les cycles de publication des logiciels ou ralentir les sprints essentiels à la mission. Il devait trouver un moyen de motiver correctement l'organisation pour qu'elle consacre du temps à l'apprentissage agile du code sécurisé. Vis a adopté une attitude axée sur les personnes pour traiter les vulnérabilités à la source, "Les gens disent souvent que la sécurité prend du temps au développement. Pour moi, si vous développez quelque chose et que ce n'est pas sécurisé, c'est une perte de temps au départ. Vous devriez toujours développer un logiciel pour qu'il soit sûr et vous épargner le temps de devoir corriger des vulnérabilités qui auraient pu être facilement évitées. Nous devrions tous avoir pour objectif commun de livrer un code fiable".

Action

Vis avait deux objectifs principaux : sécuriser leurs logiciels et sensibiliser les équipes de développeurs de Thales à la sécurité. Il était essentiel de mettre en œuvre un programme qui permette aux développeurs d'être indépendants et de se former à leur propre rythme. La stratégie de Vis consistait à créer une communauté de sécurité au fil du temps, en s'efforçant de lier le codage sécurisé aux politiques de l'entreprise et en développant un mandat pour l'apprentissage du code sécurisé au sein de l'organisation. En encourageant une culture de la communauté qui relie les développeurs, les testeurs, les architectes et les ingénieurs, il a constaté un effet multiplicateur de la motivation. Des champions de la sécurité sont apparus, passionnés par la sécurité dans le cadre de leur travail quotidien, et ont contribué à faire connaître les pratiques de codage sécurisé dans l'ensemble de l'organisation. Vis a évalué plus d'une douzaine de fournisseurs de formation à la sécurité et est devenu un client SCW en 2019. Pour Thales, c'était un énorme avantage d'avoir un fournisseur couvrant tous les langages de programmation et les cadres dans leur environnement au lieu d'une solution fragmentaire. Vis s'est appuyé sur l'énorme volume de contenu de Secure Code Warriorpour créer des formations et des apprentissages autonomes auxquels les développeurs du programme de sécurité peuvent accéder :

"Le top 10 de l'OWASP n'est pas simplement dix choses que vous devez savoir. La profondeur et la diversité des vulnérabilités couvertes par l'OWASP, combinées au nombre de langages de programmation, peuvent être accablantes - le large éventail de défis et la couverture que nous avons sur ces sujets ont été un facteur clé dans le choix de SCW. Ils ajoutent toujours de nouvelles choses. La profondeur, la diversité des sujets, le contenu actualisé et l'accent mis sur les principes de conception de code sécurisé distinguent vraiment SCW. Avec eux, il ne s'agit pas d'une formation à usage unique, au contraire, nous avons eu l'opportunité de construire un programme continu".

Vis et son équipe ont structuré quatre niveaux de déploiement du programme d'apprentissage du code sécurisé, avec des étapes différentes pour chaque rôle d'ingénieur :

Il est important de noter que le SCW est devenu la source de vérité pour les corrections de vulnérabilités. Au lieu de s'appuyer sur des recherches Google qui pourraient vous conduire à un dépannage, Vis a publié à la fois les directives de l'équipe AppSec et celles de la bibliothèque de contenu de SCW afin que les développeurs puissent se référer à une source fiable et authentique pour les corrections de vulnérabilités dans le code. Selon Vis :

"Les développeurs ne devraient pas être libres de décider comment corriger une vulnérabilité et potentiellement introduire une nouvelle vulnérabilité dans le processus. Nous avons intégré les vidéos de SCW dans notre LMS via l'intégration SCORM de SCW pour nous assurer que les développeurs apprennent à corriger la vulnérabilité de la bonne manière. Cela nous a également permis de nous assurer que les développeurs fournissant des logiciels sécurisés étaient reconnus. Nous leur demandons d'atteindre un certain niveau de codage sécurisé et nous pouvons le suivre grâce aux vulnérabilités qu'ils résolvent et qu'ils ne réintroduisent pas. De cette manière, le travail acharné qu'ils ont accompli est reconnu et valorisé au sein de l'entreprise".

Résultats

Vis et son équipe publient une lettre d'information mensuelle sur le code sécurisé dans laquelle ils reconnaissent les meilleurs apprenants de l'entreprise. Ils utilisent SCW pour examiner les scores assessment , la participation à tournament et les défis relevés afin d'amplifier cette réussite. Cela motive les autres développeurs à apprendre eux aussi. Les indicateurs clés de performance qu'il avait initialement fixés visaient à réduire le nombre total de vulnérabilités sur une période de deux ans. Après la mise en œuvre de SCW, il a constaté une tendance à la baisse. Ces vulnérabilités ne sont pas réintroduites au niveau du code source. Vis l'explique ainsi :

"Les indicateurs clés de performance que nous présentons à notre direction reflètent le choix que nous avons fait en connaissance de cause. Nous sommes fiers d'avoir une formation au code sécurisé qui donne confiance à nos clients. Nous sommes reconnus pour notre programme complet de formation au code sécurisé et nous sommes respectés par nos clients et nos pairs. L'existence d'un tel programme ajoute beaucoup de valeur à votre entreprise.

Principaux enseignements

Vis a reconnu que les personnes, les processus et la technologie ont tous un rôle à jouer dans toute initiative de sécurité. En se concentrant sur la sécurité du logiciel, les connaissances des développeurs et le respect de la conformité, il est possible de mettre en place un apprentissage agile pour un programme de code sécurisé qui réduit les vulnérabilités dans le code source au fil du temps. Vis propose ces recommandations aux professionnels de son domaine qui cherchent à renforcer les compétences en matière de sécurité au sein des équipes de développeurs.

Définir un plan d'apprentissage agile du codage sécurisé n'est pas une tâche facile, en particulier lorsqu'il y a des exigences de conformité et des délais de publication à respecter. Mais c'est un effort qui en vaut la peine et qui produira des bénéfices tels que l'amélioration de la productivité et la réduction des risques. 

La maturité des équipes de développement en matière de sécurité est évaluée en fonction de leur capacité collective à passer à gauche et à intégrer la sécurité à toutes les étapes du cycle de vie du développement logiciel, ce qui permet aux développeurs compétents en matière de sécurité d'être la première ligne de défense pour l'identification et la correction des vulnérabilités. 

Dans ce guide, nous explorons les leçons apprises par trois clients réels de Secure Code Warrior . En vous inspirant de leur expérience, vous pourrez commencer à élaborer un plan d'apprentissage agile du code sécurisé pour votre organisation.

Découvrez :

• Quels sont les défis auxquels les organisations ont été confrontées aux différents stades de maturité de la sécurité des développeurs ?
• Quels sont les principaux enseignements tirés de cette expérience ?
• Quels résultats pouvez-vous attendre de chaque phase du parcours de maturité de la sécurité ?

Contexte

Envestnet, Inc. est une société fintech cotée en bourse avec 5,3 billions de dollars d'actifs et plus de 18,5 millions de comptes d'investisseurs. La mission d'Envestnet est de donner aux conseillers et aux prestataires de services financiers les moyens de faire du bien-être financier une réalité pour tous, grâce à une technologie, des solutions et une intelligence innovantes. Envestnet s'est imposée comme l'un des leaders du marché de la technologie de gestion de patrimoine avec sa plateforme de conseil phare qui intègre les services et les logiciels utilisés par les conseillers financiers dans la gestion de patrimoine à travers le monde.

L'engagement d'Envestnet envers les meilleures pratiques de gestion des données comprend le contrôle continu de sa plateforme de gestion de patrimoine par le biais de mesures de conformité basées sur le risque qui peuvent rapidement identifier et remédier à tout problème de conformité ou à toute défaillance potentielle. Envestnet ouvre la voie à la protection des données de ses clients en adoptant des mesures de sécurité de classe mondiale dans la prestation de ses services.

Découvrez comment Derek Fisher, responsable de la sécurité des produits chez Envestnet et auteur de "The Application Security Handbook", a travaillé avec Secure Code Warrior pour développer une approche holistique visant à réduire les vulnérabilités grâce à l'activation du code sécurisé agile pour ses équipes de développeurs. Derek travaille dans le domaine de la sécurité des applications depuis plus de dix ans, où il a vu de nombreux succès et échecs en matière de sécurité. Il apporte son expertise unique dans le développement d'un environnement d'apprentissage du code sécurisé pour les développeurs d'Envestnet.

Situation

Lorsque Derek a pris ses fonctions dans le domaine de la sécurité des applications, il souhaitait aller plus loin que le top 10 de l'OWASP et la formation de base en matière de conformité. L'entreprise disposait de certains processus SDLC sécurisés, mais ils étaient largement axés sur la recherche de vulnérabilités, sans nécessairement les traiter à la source.

Selon Derek, "nous connaissons tous assez bien la formation annuelle sur la conformité à laquelle nous sommes tous soumis dans n'importe quelle organisation. C'est généralement ce que j'appelle "la mort par Powerpoint", un tas de diapositives et peut-être une page assessment à la fin... c'est vraiment inefficace et cela prend beaucoup de temps. Nous avions des formations, mais elles étaient basées sur la conformité habituelle, avec quelques formations spécifiques à la sécurité basées sur des diapositives et des enregistrements audio. Nous avons remarqué que les développeurs n'étaient pas très impliqués et qu'ils n'apprenaient pas grand-chose de ce matériel, et nous avons donc dû changer de stratégie".

Cette ancienne stratégie consistant à former simplement les développeurs par le biais d'une formation passive, axée sur la conformité à l'OWASP, était particulièrement pénible pour Derek et son équipe, car ils ne pouvaient pas mesurer l'impact de la formation, de sorte qu'ils se sont retrouvés à consacrer de plus en plus de temps à la gestion des vulnérabilités.



Derek a reconnu qu'il était important d'examiner la source des vulnérabilités - le code non sécurisé envoyé en production par les développeurs - et qu'il ne suffisait pas d'ajouter d'autres outils pour résoudre le problème.

Au lieu de cela, Derek et son équipe se sont concentrés en 2020 sur l'atténuation des vulnérabilités, dans le but d'écrire un code plus sûr dès le départ. Derek et son équipe ont adopté une stratégie de "déplacement vers la gauche" pour traiter les vulnérabilités et y remédier beaucoup plus tôt dans le cycle de développement durable, lorsqu'il est beaucoup moins coûteux d'y remédier.

Mais d'abord, ils devaient s'attaquer au faible engagement historique des développeurs sur les App Sectraining existants. Il voulait éviter d'appliquer une mentalité de "case à cocher" à sa stratégie d'apprentissage du code sécurisé et offrir aux développeurs d'Envestnet une expérience d'apprentissage du code sécurisé plus efficace et plus agile.

"Une fois que j'ai vu SCW et ce qu'il peut faire, j'ai su qu'une approche plus pratique et plus interactive était la bonne pour nous. Je voulais que les ingénieurs et les développeurs sortent de cette formation avec une connaissance plus pratique des problèmes réels. Nous voulions créer une mémoire musculaire : "Voilà quelque chose que j'ai déjà vu en formation, je sais comment aborder ce problème de codage que je vois". La plateforme Secure Code Warrior nous a permis de fournir ce type d'environnement dans lequel les ingénieurs et les développeurs peuvent se mettre au travail et vraiment comprendre quelles sont les bonnes pratiques de codage sécurisé, à quoi ressemblent les mauvaises et comment résoudre rapidement les vulnérabilités."

Derek Fisher, responsable de la sécurité des produits chez Envestnet

Action

Derek tenait particulièrement à mettre en œuvre une stratégie de ceinturage récompensant l'amélioration des compétences en matière de code sécurisé par des certifications. Le programme à quatre niveaux se concentre sur la construction d'une base solide de sensibilisation à la sécurité (niveaux 1 et 2) et ouvre ensuite la voie aux développeurs pour qu'ils deviennent des champions de la sécurité (niveaux 3 et 4). Cela a permis de résoudre le problème de l'impossibilité de mesurer comment les développeurs retenaient les concepts de code sécurisé tout en garantissant que les développeurs sensibilisés à la sécurité disposaient d'un plan de carrière leur permettant d'améliorer leurs compétences en relevant des défis plus complexes en matière de sécurité.

Ils l'ont testé dans le cadre d'un petit projet pilote et ont sollicité les réactions des développeurs concernés. Les réactions ont été très positives. Derek l'a noté,

"Vous n'obtenez pas toujours un retour d'information positif - je ne saurais trop insister sur ce point - chaque fois que vous obtenez un retour d'information positif sur une formation, c'est inhabituel. C'est un bon indicateur que c'est le bon outil".

Envestnet a organisé son premier tournament au printemps 2021 et a noté des résultats plus positifs du point de vue de l'engagement des développeurs. Derek a ensuite lancé une série de courses intégrés dans leur LMS pour les développeurs DB, Front End, API et Cloud. Au moment où Envestnet a organisé son deuxième tournament à l'automne 2021, le nombre total de développeurs participants avait doublé.

Selon Derek, Envestnet a constaté une forte traction avec tournaments parce que,

"Nous savons tous que la compétition est une source de motivation. Nous voulons tous nous assurer que nos pairs reconnaissent nos performances dans certains domaines et cela motive vraiment les gens à participer et à obtenir de bons résultats sur ces sites tournaments. Cela et l'intégration avec nos outils de développement nous ont vraiment montré la valeur de Secure Code Warrior."

Derek et l'équipe ont également travaillé à l'intégration de Secure Code Warrior avec Jira, de sorte que lorsque certaines vulnérabilités apparaissent de manière répétée, le développeur peut accéder à des conseils de remédiation immédiats directement dans son ticket Jira, sans quitter son environnement familier. Les développeurs disposaient ainsi d'un contexte précieux et d'une formation à la demande sur la manière de remédier à cette vulnérabilité, là où c'était nécessaire et au moment de l'impact. L'équipe de Derek a également travaillé avec Secure Code Warrior pour sponsoriser un événement de la Journée de la sécurité, ce qui a permis d'élargir le soutien du PDG et de renforcer l'importance de l'ingénierie et de la sécurité dans le succès d'Envestnet. Grâce à ce type de soutien de la part des dirigeants et des développeurs, Envestnet a pu étendre son programme jusqu'à ce qu'il soit devenu ce qu'il est aujourd'hui. Aujourd'hui, Envestnet a inscrit au programme tous les champions de la sécurité qu'elle a identifiés et 60 % de l'ensemble de l'équipe a obtenu la certification de niveau 1 ou 2.

Résultats

Envestnet a notamment mesuré son succès en examinant les équipes qui avaient suivi l'expérience d'apprentissage du SCW et en déterminant si elles produisaient moins de vulnérabilités et/ou si elles les corrigeaient plus rapidement. Ce qu'ils ont trouvé est impressionnant :

• Les développeurs formés au SCW ont corrigé 2,7 fois plus de vulnérabilités que leurs pairs.
• 100 développeurs formés au SCW ont corrigé 450 vulnérabilités en peu de temps.
• 1 200 développeurs formés par le SCW ont permis à Envestnet d'augmenter la remédiation de 120% dans leur file d'attente respective.
• En un an, sur deux lignes de produits, les développeurs formés au SCW ont résolu les problèmes liés aux vulnérabilités à raison de 4,5 par développeur, contre 1,82 par développeur pour leurs homologues qui n'ont résolu que les vulnérabilités.
• Tous les champions de la sécurité ont suivi leur programme de certification en 2022.
• 60 % des développeurs sensibilisés à la sécurité ont suivi les niveaux 1 et 2.


Principaux enseignements

Derek donne ce conseil à ceux qui commencent leur parcours d'apprentissage du code sécurisé :

"Notre travail en matière de sécurité consiste à réduire les risques au sein de l'organisation. C'est notre vrai nord et c'est ce que nous nous efforçons toujours de faire. Une vulnérabilité critique peut ne pas représenter le risque le plus élevé ou l'impact le plus important pour votre organisation. Il peut s'agir de deux vulnérabilités moyennes, d'une faible et d'une forte, réunies pour créer une chaîne qui a beaucoup plus d'impact. Plus les vulnérabilités s'accumulent au fil du temps, plus le risque augmente. Avec Secure Code Warrior, vous pouvez garder une longueur d'avance et adopter une approche proactive pour atténuer cette chaîne potentielle de vulnérabilités grâce à un apprentissage agile du code sécurisé".

• Ne vous contentez pas de tester les vulnérabilités et d'en rendre compte - cela ne fait que créer du bruit pour vos développeurs.
• Au contraire, l'AppSec doit être un partenaire des développeurs et s'assurer de leur adhésion avant de mettre en œuvre une stratégie d'apprentissage sécurisé du code.
• Rome ne s'est pas construite en un jour. Votre programme devra évoluer en fonction de l'évolution de votre profil de risque, de votre entreprise et de votre technologie et de vos outils
• La stratégie à long terme la plus efficace consiste à améliorer le niveau de sécurité des personnes qui vous entourent afin de réduire le nombre total de vulnérabilités créées.

TL;TR

À propos de Colgate-Palmolive

Colgate-Palmolive Company est une marque de produits de grande consommation connue et appréciée dans tous les foyers du monde. Bien qu'elle ait plus de deux siècles d'existence, elle est une entreprise innovante en pleine croissance qui s'appuie sur le numérique pour réimaginer un avenir plus sain pour les personnes, leurs animaux de compagnie et la planète.

Situation

Colgate-Palmolive, comme presque toutes les autres organisations, subit une transformation numérique pour mieux servir ses clients, ce qui a conduit à un changement dans la façon dont l'organisation aborde la sécurité des applications.

Alex Schuchman, RSSI chez Colgate-Palmolive, l'explique ainsi :

"Il est très important pour nous de protéger les données de nos clients et donc d'instaurer la confiance, non seulement dans nos produits, mais aussi dans les interactions numériques que nos clients ont avec nous."

Mais pour Alex, le défi consistait à sécuriser la source première des violations potentielles des données des clients, à savoir le code lui-même.

"Travailler du côté de la création d'applications m'a été très utile lorsque je suis passé à mon rôle de RSSI. Je comprends la douleur de recevoir des tickets en retour de l'AppSec ou la frustration de manquer des délais à cause de la reprise du travail. Par conséquent, mon objectif en tant que RSSI n'est pas seulement d'accroître la sécurité dans le cycle de vie du développement logiciel, mais aussi de rationaliser sa mise en œuvre."

Action

Colgate-Palmolive a relevé ce défi en divisant sa formation à la sécurité en petits morceaux. Les développeurs ont ainsi pu l'intégrer dans leur flux de travail, au lieu de la formation longue et monolithique à la conformité à laquelle ils étaient habitués. En tirant parti de l'approche agile et contextuelle de Secure Code Warriorpour l'apprentissage du code sécurisé, les développeurs ont pu comprendre les vulnérabilités dans le contexte de leurs projets réels, ce qui a entraîné un plus grand engagement et une rétention à long terme des compétences en matière de codage sécurisé.

"Je voulais mettre en place ces meilleures pratiques tout en maintenant l'engagement des développeurs", explique Alex. "Nous avons toujours imposé des parties essentielles du programme, mais le fait de garder la formation gérable et d'écouter les commentaires des développeurs a contribué à la réussite du programme."

Colgate-Palmolive a mis en place un flux de travail Okta qui gère le dépôt GitHub, permettant uniquement aux développeurs qui ont passé des évaluations SCW spécifiques d'accéder aux demandes d'extraction, comme le montre le diagramme ci-dessous.

Résultats

Selon Alex, "Nous avons compris que pour optimiser le succès, nous devions faire participer nos développeurs dès le départ. Nous nous sommes donc assurés que les développeurs savaient qu'ils joueraient un rôle essentiel dans la réussite du programme. En conséquence, nous avons constaté que les relations entre notre équipe de sécurité et nos développeurs étaient bien meilleures, et nous avons vraiment eu l'impression de travailler en équipe dans le cadre du programme. Nous continuons à développer et à mettre à l'échelle le programme de maturité de la sécurité, en nous appuyant sur le succès que nous avons déjà connu.

Principaux enseignements

1. Définissez clairement les objectifs du programme et mettez l'accent sur la contribution et l'engagement des développeurs. Les développeurs sont plus susceptibles d'adhérer à un programme d'apprentissage du code sécurisé qui est intégré à leur flux de travail et aux outils de développement qu'ils utilisent tous les jours.
2. L'utilisation d'un outil SSO tel qu'Okta pour gérer le dépôt de code incite l'équipe. Seuls les développeurs ayant obtenu une note de passage sur les sites SCW courses et assessment sont autorisés à faire des demandes d'extraction.  
3. Au fil du temps, créez une culture de la sécurité qui favorise une relation de travail solide entre les équipes d'AppSec et de développement.

‍

Rejoignez-nous pour une conversation avec Vis Chirravuri et découvrez comment il a développé des approches en matière de personnel, de processus et de technologie pour son programme d'apprentissage du code sécurisé.