最佳早午餐：我们的 AppSec 领导者分享他们的智慧

Tout au long de ma carrière en tant que professionnel de l'AppSec, j'ai eu la chance de rencontrer et de travailler avec certains des talents les plus incroyables de l'industrie, chacun d'entre eux contribuant à sécuriser et à renforcer les réseaux de code de plus en plus nombreux dans le monde. À ce stade de mon parcours (avec un peu plus de connaissances et beaucoup moins de cheveux !), on me demande souvent de m'adresser aux futures stars de la sécurité des logiciels, et c'est un travail que j'adore. Cependant, je comprends également à quel point il est important d'être visible en tant que leader et mentor pour ceux qui cherchent à se tenir debout et à s'épanouir dans leur rôle.

Récemment, j'étais à Londres avec une partie de l'équipe d'AppSec. Secure Code Warrior et nous avons organisé un brunch dans le but de réunir une poignée de superstars de l'AppSec pour un réseautage, des idées et une ou deux pâtisseries. Devant plus de soixante invités, ils ont transmis leur riche expertise dans le cadre d'un panel d'experts, suscitant l'enthousiasme de tous quant à l'avenir de la sécurité des applications.

Abordant des questions brûlantes telles que la manière de tirer le meilleur parti du budget AppSec d'une organisation, ainsi que plusieurs questions curieuses de l'auditoire, le panel a livré une véritable magie matinale qui aidera sans aucun doute les responsables de la sécurité, les spécialistes et leurs développeurs à mettre en place des programmes viables au sein de leurs organisations.

Nous avons eu le privilège d'accueillir les leaders suivants pour le panel " Tools Vs. People : Votre budget AppSec est-il suffisant pour les deux ?

• Vincent Gilbert, RSSI, Société Générale
• C̩dric Levy-B̩ncheton, PDG, Cetome
• Reena Shah, responsable de la culture et de la sensibilisation en matière de sécurité et de protection de la vie privée, M&G Prudential
• Lee Thurlow, directeur mondial de l'AppSec, Pearson
• Lewis Bramfitt, directeur général, Bramfitt Lab.

Chaque intervenant a fait part de ses réflexions sur le paysage des outils AppSec (spoilers : avec de nombreuses organisations générant autant de logiciels, il peut s'agir d'un champ de mines pour sélectionner les outils qui exécutent toutes les fonctions dont vous avez besoin. Après tout, aucun outil unique ne peut tout couvrir).

Reena Shah a également soulevé un point intéressant. En quelques années seulement, nous avons constaté un changement positif dans la perception de l'AppSec au sein des grandes organisations, ce qui a permis à un élément essentiel de commencer à prendre forme - l'investissement dans le personnel pour maintenir les meilleures pratiques et la culture de la sécurité :

"Je pense que les choses évoluent. Lorsque j'ai commencé il y a quatre ans, il était très difficile d'obtenir un budget et une équipe pour la culture et la sensibilisation à la sécurité. Aujourd'hui, je constate que ce n'est plus un défi pour moi. Il m'est très facile de dire "voici le budget dont j'ai besoin, voici les personnes dont j'ai besoin pour réduire les risques". Je constate un changement radical, et je pense que c'est parce que le conseil d'administration - et la direction - comprennent à quel point il est important de fournir des fonds pour nous aider à réduire les incidents de sécurité". Et d'ajouter.

Vous pouvez regarder l'intégralité du panel dès maintenant :

Pour moi, il est incroyablement rafraîchissant de voir l'avenir de l'AppSec incorporer un accent sur la bonne formation et les connaissances pour les développeurs en première ligne, leur permettant de former une défense solide contre les vulnérabilités séculaires qui font toujours leur mauvaise tête.

Les outils fournissent un certain niveau de soutien, mais il est vraiment temps de regarder les choses en face. Nous devons simplement cesser de répéter les mêmes erreurs.

Fermer la boucle d'erreur AppSec

Dans le cadre du brunch Leaders in AppSec, j'ai également fait une présentation sur la manière dont nous pouvons résoudre le problème coûteux et permanent de l'apparition répétée des mêmes vulnérabilités de sécurité. Les outils peuvent les trouver, mais ils ne font pas grand-chose pour les prévenir. Les développeurs doivent recevoir une formation adéquate pour empêcher leur apparition.

Et nous, les développeurs, sommes une drôle de bande. Certaines formations sont beaucoup plus efficaces que d'autres lorsqu'il s'agit d'engagement et de fidélisation. Vous pouvez visionner l'intégralité de ma présentation ici :

L'accent mis sur la formation à la sécurité, la sensibilisation générale et une culture positive entre les développeurs et l'AppSec est comme de la kryptonite pour un attaquant. Ces petites portes dérobées se ferment, ces moyens faciles d'accéder à nos données se tarissent, et les super-héros de la sécurité travaillent ensemble pour faire de la sécurité un synonyme de qualité logicielle.

Lentement, mais sûrement, nous y arrivons.