La démonstration de la note du messager illustre la valeur du prix de la compétence « Planification » dans les conseils de conception de sécurité.

La formule fiable pour améliorer la sécurité organisationnelle consiste à encourager les développeurs à acquérir des compétences en matière de pratiques optimales de codage sécurisé, notamment celles fournies dans les architectures de référence et de base, qui constituent le parcours d'apprentissage formel dont les développeurs ont besoin. Cependant, le codage sécurisé n'est pas une solution ponctuelle, il doit devenir une pratique intégrée à l'ADN de l'organisation. Les développeurs doivent non seulement se déplacer vers la gauche ou se déplacer vers la gauche, mais aussi continuer à se déplacer vers la gauche.

Il ne suffit pas de proposer des formations. Les organisations doivent s'assurer que les développeurs ont pleinement assimilé leur travail et qu'ils l'intègrent dans leur routine quotidienne au sein du cycle de développement logiciel (SDLC), ce qui constitue une pratique exemplaire. Il est recommandé de suivre l'efficacité des employés et d'évaluer leurs progrès par rapport aux normes internes et aux références du secteur, ce qui permet de mesurer efficacement le retour sur investissement des formations.

Le Code de sécurité Warrior Messenger Score offre aux développeurs une visibilité sur l'efficacité des utilisateurs individuels et compile des données pour évaluer le système global de l'organisation. Il met en évidence les gains d'efficacité dans les programmes de haute technologie tout en identifiant les domaines nécessitant des améliorations. De plus, il facilite la conformité précise aux exigences de surveillance des pipelines, qu'elles proviennent du Règlement général sur la protection des données (RGPD), du Payment Card Industry Data Security Standard (PCI DSS), du California Consumer Privacy Act (CCPA) ou d'autres réglementations. (PCI DSS), de la loi californienne sur la protection de la vie privée des consommateurs (CCPA) ou d'autres réglementations.

Nos recherches démontrent que la formation au code sécurisé est efficace. Trust Score utilise un algorithme qui exploite plus de 20 millions de points de données d'apprentissage provenant du travail de plus de 250 000 chercheurs issus de plus de 600 organisations, démontrant ainsi son efficacité dans la réduction des vulnérabilités à faible vitesse et la manière de rendre le programme plus efficace.

La formation peut améliorer la sécurité — si les développeurs participent à des discussions entre personnes de race blanche.

Depuis de nombreuses années, dans l'industrie du logiciel, l'idéal est d'utiliser les meilleures pratiques de sécurité dès le début du cycle de vie du développement logiciel (SDLC). Il serait souhaitable d'y parvenir un jour, mais ce n'est pas une priorité aujourd'hui. Cependant, l'accélération constante du développement logiciel et la montée en puissance des cyberattaques complexes et destructrices (généralement basées sur des vulnérabilités logicielles ciblées) rendent les variables de codage sécurisé extrêmement importantes. L'Agence pour la sécurité des infrastructures et des réseaux (CISA) (CISA) place la sécurité du code au premier plan et au centre de ses préoccupations. Grâce à son initiative « Secure by Design », elle est en train de se développer pour devenir un mouvement international.

Nos recherches ont démontré que la corrélation entre les méthodes de conception sécurisée et la réduction des vulnérabilités logicielles est évidente. Nous avons analysé les données relatives à la réduction des vulnérabilités provenant de 26 % de la clientèle de SCW et avons constaté que la formation des développeurs aux logiciels de mission réduisait les vulnérabilités de 22 % à 84 %.. Cette fourchette est influencée par des variables telles que la taille des entreprises concernées (les développeurs des petites entreprises ont obtenu des résultats comparables) et le fait que les groupes d'apprentissage soient composés d'experts se concentrant sur des problèmes spécifiques (dans ce cas, l'élimination de leurs défauts est plus importante).

En comparaison, les activités des grandes entreprises sont relativement stables. Grâce à l'amélioration des compétences des développeurs en matière de sécurité, les entreprises comptant 7 000 développeurs ou plus prévoient une légère diminution des vulnérabilités, de 47 % à 53 %. Par exemple, une entreprise moyenne (qui n'est pas la plus performante sur la plateforme et qui n'est pas non plus la plus performante par rapport à la référence) ayant un nombre important de développeurs a vu ses vulnérabilités diminuer de 53 %.

Bien entendu, la formation la plus efficace ne sera pas celle qui adopte une approche générale et uniforme. Elle doit être adaptée à l'environnement de travail des développeurs et à leur type de développement.

Les entreprises doivent d'abord établir les compétences de base que les développeurs doivent posséder, afin que l'écriture de code sécurisé devienne aussi naturelle que l'écriture de code. Les compétences qui peuvent améliorer la pratique doivent inclure des opérations agiles évoluant dans des scénarios réels, afin qu'elles correspondent au type de travail effectué et au langage utilisé. De plus, elles doivent être inspirantes et pouvoir être intégrées dans le programme de formation de leur calendrier de travail.

Pour les développeurs, cette technologie ne se limite pas à l'intégration de code de programmation. Ils ont besoin de vérifier les assistants intelligents et les contenus créés par des tiers, tels que les référentiels open source. Les développeurs ont adopté avec enthousiasme les modèles d'IA générés par le bio-modèle, et ils saluent généralement leur capacité à les aider à créer plus de code plus rapidement.Cependant, bien que 76 % des personnes interrogées dans le cadre de l'enquête Snyk aient déclaré que le code généré par l'IA était plus approprié que celui généré par des humains, 56,4 % ont indiqué que l'IA produisait parfois ou souvent des erreurs. La même enquête a révélé que 80 % des développeurs ignoraient les stratégies de sécurité du code généré par l'IA, ce qui indique que les problèmes liés au code généré par l'IA ne sont pas résolus.

En adoptant la méthodologie Secure-by-Design, les développeurs, en collaboration avec l'équipe de sécurité plutôt que séparément, résoudront ces problèmes dès le début du cycle de vie du développement logiciel (SDLC), avant que le code ne soit déployé et corrigé.

Le score Messenger évalue l'efficacité des individus et des entreprises.

Il est également essentiel de dispenser une formation continue. Les entreprises doivent adopter une culture axée sur la sécurité, qui s'applique à tous les niveaux, du sommet à la base. Elle s'améliore grâce à la mise en œuvre des meilleures pratiques de sécurité tout au long du cycle de vie du développement logiciel (SDLC). La technologie et la cybercriminalité ne cessent d'évoluer ; la cybersécurité ne doit pas non plus rester immobile. Pour proscSoftware, les développeurs formés à la sécurité constituent la pierre angulaire.

C'est pourquoi SecreminctrictrencTrics n'est plus valable. Zazagen est aussi important que la formation elle-même. Le score de confiance permet non seulement de comprendre l'efficacité des développeurs individuels et de l'organisation dans son ensemble, mais aussi de permettre à l'organisation d'approfondir l'analyse des données d'efficacité, en se concentrant sur des langages, des équipes de développement ou des catégories de logiciels spécifiques. Les données issues des « conclusions sur l'efficacité » et des « résumés » individuels sont également utiles, car elles permettent d'identifier les domaines à améliorer, par exemple lorsque la formation n'a pas eu l'impact escompté sur le travail quotidien des développeurs. Les données issues des « conclusions sur l'efficacité » et des « résumés » individuels sont également utiles, car elles permettent d'identifier les domaines à améliorer, par exemple lorsque la formation n'a pas l'impact escompté sur le quotidien des développeurs.

Le Trust Score permet aux organisations d'évaluer l'efficacité de leurs développeurs, de vérifier s'ils ont acquis et utilisent les compétences de sécurité nécessaires, et ainsi de confirmer qu'ils sont qualifiés. Il peut permettre aux organisations de donner en toute confiance à des développeurs qualifiés l'accès à leurs données les plus sensibles et à des autorisations logicielles critiques, tout en refusant l'accès à certains développeurs qui utilisent des outils mais ne sont pas encore prêts.

Une culture de la sécurité en constante évolution

La cybersécurité n'est pas seulement une question de sécurité. Il s'agit d'un enjeu commercial qui affecte l'intégrité de l'actif le plus précieux de nombreuses organisations : leurs données. Les violations graves peuvent nuire au fonctionnement et à la réputation d'une organisation, voire compromettre sa viabilité. Les organismes de surveillance des pipelines ne négligent pas l'importance de la cybersécurité. Ils appliquent des réglementations de plus en plus strictes et se montrent disposés à avertir les responsables de la sécurité informatique et autres cadres supérieurs, voire à engager des poursuites pénales, comme dans les cas suivants : Uber et SolarWinds.

Dans le contexte actuel, il est essentiel de promouvoir une culture de la sécurité au sein des entreprises. De plus, étant donné que de nombreux collaborateurs précieux de l'entreprise ont supprimé leurs données, applications et services, le codec Safire est un élément central de cette culture. Des formations et des compétences ciblées peuvent être intégrées à la réflexion culturelle. Associées à des formations permettant de modifier les variables culturelles, elles peuvent aider les organisations à renforcer leur attitude en matière de sécurité.

Le programme de sécurité axé sur les développeurs est estimé. Il est mentionné dans le rapport Messenger Score.