Passer d'une approche réactive à une approche proactive grâce à un codage sécurisé piloté par l'homme

Les 10 mêmes vulnérabilités logicielles ont causé plus de failles de sécurité au cours des 20 dernières années que tout autre. Pourtant, de nombreuses entreprises optent toujours pour des mesures correctives après une violation ou un événement, tout en confondant les conséquences humaines et commerciales de tout cela. Mais aujourd'hui, une nouvelle étude indique une nouvelle direction, dirigée par l'homme.

‍Ce qui suit présente les conclusions d'une étude menée par Secure Code Warrior avec Evans Data Corp intitulée « Shifting from reaction to prevention : The changing face of application security » (2021) explorant les attitudes des développeurs à l'égard du codage sécurisé, des pratiques de code sécurisées et des opérations de sécurité. Téléchargez le livre blanc ici.

‍‍Dans l'étude qui sera bientôt publiée, les développeurs et les responsables du développement ont été interrogés sur les activités qu'ils associent au codage sécurisé. Les trois réponses les plus fréquentes étaient les suivantes :

• Utilisation d'outils d'analyse sur les applications déployées.
• Vérification manuelle du code pour détecter les vulnérabilités.
• Pratique active et continue de l'écriture de logiciels protégés contre les vulnérabilités.
  ‍

Alors, qu'est-ce que cela nous apprend ? Deux des trois réponses les plus fréquentes sont toujours axées sur les approches réactives, la première dépendant de l'outillage (scanners), et la seconde du fait que le développeur (c'est-à-dire l'homme) effectue des vérifications manuelles, dans les deux cas après le code est écrit. Les vulnérabilités détectées à l'aide de ces méthodes doivent être renvoyées à l'équipe de développement pour être retravaillées, avec des répercussions sur les délais et les coûts des projets.

Dans le même temps, deux des trois activités proposées font appel à l'élément humain, ce qui témoigne de la perception croissante de la sécurité en tant que problème humain. Mais de toutes les activités nominées, la plus révélatrice est la troisième, qui identifie le facteur humain un logiciel écrit qui est protégé contre les vulnérabilités en premier lieu. Cela met en évidence un changement vers la gauche : une approche proactive et préventive qui intègre la sécurité dans les logiciels dès le début du cycle de vie de développement logiciel.

Réactif peut être cher

Selon une étude d'IBM*, il est trente fois plus coûteux de corriger des vulnérabilités dans le code postérieur à la publication que si elles étaient détectées et corrigées au début. Il s'agit d'une puissante incitation à adopter une nouvelle approche proactive et plus humaine de la défense de la sécurité logicielle, qui permet aux développeurs de coder de manière plus sécurisée, dès le départ.

C'est ce que l'on pourrait appeler défense dirigée par l'homme. Mais pour que les développeurs commencent à se préoccuper de la sécurité, celle-ci doit faire partie intégrante de leur façon de penser et de coder au quotidien. Il s'agit d'un appel en faveur de nouvelles approches de formation qui soient très pertinentes pour le travail quotidien des développeurs et les incitent à vouloir apprendre, ce qui n'est pas le cas des modèles de formation actuels.

Pour créer une culture de sécurité proactive, une nouvelle formation est nécessaire pour :

• fait du codage sécurisé une expérience positive et engageante pour les développeurs qui améliorent leurs compétences en matière de sécurité logicielle
• encourage les développeurs à envisager leurs tâches de codage quotidiennes dans une optique de sécurité
• intègre le codage sécurisé à leur flux de travail quotidien
  

Lorsque ces fils de discussion sont réunis, les vulnérabilités sont évitées dès le départ, ce qui permet aux équipes d'expédier code de qualité plus rapidement, en toute confiance. La bonne nouvelle, c'est qu'il existe déjà une plateforme d'apprentissage qui « commence à gauche » dans le processus de développement logiciel, une plateforme qui donne déjà aux développeurs les compétences et les outils nécessaires pour créer du code de qualité dès le début.
‍‍

‍

*IBM Software Group ; réduction des défauts de code pour améliorer la qualité des logiciels et réduire les coûts de développement
https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html