7 conseils AppSec du directeur de la sécurité produit de Snowflake

Lors de l’AWS re:Invent de cette année, Mic McCully, Field CTO chez Snyk, a échangé avec Jacob Salassi, directeur de la sécurité produit chez Snowflake. Ils ont discuté des moyens mis en œuvre par Snowflake pour surmonter divers défis de sécurité en combinant les bons processus, des changements de culture d’entreprise et des partenaires technologiques (dont Snyk !). Découvrez les pratiques mises en place par Jacob et son équipe pour créer un programme de sécurité applicative efficace.

Comment Snowflake a mis en place les bonnes pratiques AppSec

En tant qu’entreprise soumise à des réglementations, qui traite des données sensibles et travaille avec des clients de premier plan — notamment des organismes gouvernementaux —, l’équipe Snowflake savait que la sécurisation de ses applications était indispensable. Mais pour y parvenir, Jacob et son équipe devaient relever plusieurs défis, comme obtenir l’adhésion des développeurs et instaurer des processus cohérents. Au cours de son échange avec Mic à l’AWS re:Invent, Jacob a partagé plusieurs conseils pour surmonter ces difficultés, tirés de son expérience avec l’équipe Snowflake.

Commencez par faire preuve d’empathie

Avant tout, un programme de sécurité applicative nécessite l’implication des développeurs. Après tout, les équipes de développement connaissent leurs applications mieux que quiconque et peuvent appliquer les bonnes pratiques de sécurité plus tôt dans le cycle de développement.

Pour obtenir l’adhésion des développeurs, l’équipe Snowflake a dû commencer par faire preuve d’empathie : comprendre le quotidien du développement, ainsi que les possibilités et les défis auxquels les développeurs sont confrontés. Comme l’explique Jacob : « J’ai toujours pensé qu’il était important d’aborder [l’AppSec] du point de vue d’un développeur. »

Mettez en place une boucle de rétroaction

Pour rendre cette collaboration entre développement et sécurité efficace, l’équipe de Jacob savait qu’elle devait créer un espace dédié aux échanges. Elle a organisé des activités de concertation : points hebdomadaires, sondages, échanges individuels et activités de création de communauté. Jacob a résumé l’approche de son équipe en matière de retours : « Il vous incombe toujours de montrer que vous avez écouté. »

Misez sur l’excellence en ingénierie

L’équipe de Jacob a également décidé de créer un programme de Security Champions. Mais elle a d’abord défini clairement ce que les développeurs pouvaient faire et ce qui devait plutôt être pris en charge par d’autres.

Jacob explique : « Un aspect très important de notre approche : nous parlons d’excellence en ingénierie, et nous essayons de moins parler de sécurité. Quand on dépasse les limites de l’excellence en ingénierie pour entrer dans le domaine de la sécurité, il faut se demander : “Est-ce que je devrais demander à un développeur de s’en charger ? Ou faire appel à un ingénieur sécurité ?” Nous nous demandons surtout : “Jusqu’où peut-on aller avec un développeur ? Et où se situe la limite ?” »

Renforcez la responsabilisation

Autre conseil de Jacob : donnez aux équipes les moyens de corriger les problèmes de sécurité dans leur propre travail, au-delà de la sécurisation de leur code interne et tiers. Dans cette optique, son équipe a commencé à promouvoir une approche d’infrastructure as code (IaC).

Comme il l’explique : « Je pense que tout le monde ici comprend que les développeurs sont responsables des bugs dans leur dépôt. Mais combien pensent qu’ils sont aussi responsables des bugs sur le serveur ? Moi, oui. Beaucoup d’entre vous ont probablement déjà vu des équipes d’exploitation ou d’autres ingénieurs sécurité intervenir sur des serveurs de production qu’ils n’ont pas du tout contribué à créer. Vous ne savez pas ce que c’est, vous ne l’avez pas construit, et vous devez maintenant intervenir en production pour modifier des packages… Pour nous, l’enjeu est donc de faire passer tout cela dans le code. »

Créez des formations ciblées

Jacob a également souligné l’importance de proposer des formations périodiques adaptées à chaque équipe. Il a déclaré : « Les formations doivent être adaptées aux rôles et tenir compte du contexte. Ne vous attendez pas à obtenir beaucoup de valeur en présentant les mêmes diapositives à toutes les équipes. »

Soignez l’expérience de sécurité dans son ensemble

L’équipe de Jacob s’est également attachée à créer une expérience de sécurité fluide pour les développeurs, en leur proposant le parcours le plus simple pour réaliser les tâches liées à la sécurité. Pour cela, elle a adopté une stratégie agile en matière de fournisseurs, notamment les corrections automatisées de PR de Snyk pour le code interne et la gestion de projets avec JIRA.

Comme l’explique Jacob : « Nous consacrons beaucoup de temps à faire en sorte que toutes les informations dont ils ont besoin soient directement sous leurs yeux, sans qu’ils aient à quitter leur environnement habituel pour résoudre le problème en question. »

Documentez, documentez, documentez

Pour conclure, Jacob a rappelé combien il est important de documenter toutes les activités de sécurité applicative afin d’éclairer les échanges et les décisions à venir. Il a déclaré : « J’ai toujours pensé que l’AppSec n’avait pas suffisamment conservé ses propres artefacts… Ce sont des données précieuses qu’il faut structurer et pérenniser. »

Comment Snyk aide Snowflake à atteindre ces objectifs

Atteindre ces objectifs représentait un défi de taille. L’équipe de sécurité produit de Snowflake a donc fait appel à Snyk dans le cadre de ses initiatives de sécurité applicative. Snyk lui a fourni les outils nécessaires pour réussir, notamment :

• Des outils pensés pour les développeurs et adaptés à leurs workflows existants

• La correction du code interne et tiers directement depuis les interfaces CLI des développeurs

• Une intégration fluide avec les autres outils de leur environnement, dont JIRA

• La détection des vulnérabilités dans les dépendances des images de base et les commandes Dockerfile

Pour en savoir plus sur le partenariat entre Snowflake et Snyk, écoutez l’intégralité de l’échange entre Jacob et Mic lors de l’AWS re:Invent 2023.

Play Video