Une nouvelle étude d’ESG révèle les grandes tendances de la sécurité des applications

Le « shift left » est devenu le graal des équipes de sécurité, mais les organisations peinent encore à mettre en œuvre avec succès certains des processus clés de sécurité des applications qu’il implique.

Une nouvelle étude sur les tendances de la sécurité des applications en 2020, parrainée par Snyk et menée par Enterprise Strategy Group (ESG), révèle que si les développeurs sont effectivement davantage responsables des tests de sécurité de leurs applications, ils ne disposent tout simplement ni des connaissances ni des bons outils pour le faire.

Les grandes tendances de la sécurité des applications qui méritent toujours notre attention

Le dernier rapport d’ESG met en lumière plusieurs tendances en matière de sécurité des applications :

1. Les développeurs peinent toujours à corriger les problèmes : 29 % des personnes interrogées affirment que leurs équipes de développement ne disposent tout simplement pas des connaissances nécessaires pour corriger les problèmes détectés.

2. Les outils existants freinent le développement : 26 % des personnes interrogées estiment que leurs outils de test actuels compliquent le travail et ralentissent les cycles de développement.

3. Les développeurs adoptent peu les outils existants : 24 % déplorent que leurs développeurs n’utilisent tout simplement pas efficacement les outils de test dans lesquels ils ont investi.

4. Le manque d’intégrations met les organisations en difficulté : 23 % déclarent que leurs outils s’intègrent mal aux outils de développement et de DevOps.

5. La formation des développeurs à la sécurité doit encore progresser : seuls 15 % affirment que tous leurs développeurs suivent une formation officielle à la sécurité.

Les développeurs peinent à utiliser leurs outils de test de sécurité des applications

La meilleure solution ou le meilleur outil de « shift left » ne sera guère efficace si les développeurs qui doivent l’utiliser ne l’adoptent pas.

Près d’un quart des personnes interrogées (24 %) estiment que leurs développeurs n’utilisent tout simplement pas efficacement les outils de test de sécurité des applications dans lesquels leur organisation a investi. D’autres difficultés mentionnées par les personnes interrogées expliquent ces graves problèmes d’adoption : 26 % jugent que leurs outils de test actuels compliquent le travail et ralentissent le développement, tandis que 23 % déclarent qu’ils s’intègrent mal aux outils de développement et de DevOps.

On attend des développeurs qu’ils détectent, priorisent et corrigent les problèmes de sécurité, mais ils ont besoin d’outils adaptés à leurs besoins pour y parvenir. Sans cela, toute démarche de shift left est vouée à l’échec.

Pour aider les développeurs à prioriser le backlog de sécurité, lisez cet article inspirant de Guy Podjarny, fondateur de Snyk.

Les équipes de sécurité doivent faire évoluer leur accompagnement des développeurs

Bien sûr, fournir aux développeurs des outils adaptés à leurs besoins n’est qu’une partie de la solution. Comme le souligne le rapport, les développeurs sont également de plus en plus responsables de la mise en production du code et ont donc besoin de conseils et de formations de la part des équipes de sécurité. Bénéficient-ils réellement de cet accompagnement ?

L’un des constats préoccupants du rapport est que les développeurs ne sont pas correctement formés. Certes, la plupart des organisations imposent une certaine formation AppSec à leurs développeurs, mais 35 % des personnes interrogées affirment que moins de la moitié de leurs équipes de développement suivent effectivement une formation officielle. Seuls 15 % déclarent que tous leurs développeurs y participent.

Cela fait écho à de nombreux conseils du livre d’O’Reilly sur la sécurisation des bibliothèques Open Source. Découvrez ce résumé et accédez à un exemplaire gratuit du livre.

Réussir son « shift left »

Aujourd’hui, la plupart des entreprises s’appuient sur la technologie et les logiciels pour se démarquer sur leurs marchés et rester compétitives. Le rythme de développement n’a donc jamais été aussi important.

Les processus de sécurité traditionnels ne peuvent pas suivre le rythme de cette innovation rapide. Les contrôles de sécurité imposés aux différentes étapes du pipeline de livraison ralentissent le développement et finissent par être ignorés. C’est pour répondre à ce défi que sont nés les concepts de DevSecOps et de shift left de la sécurité, qui consiste à intervenir dès les premières étapes du développement et à confier davantage de responsabilités aux développeurs. Ils sont depuis devenus des bonnes pratiques incontournables.

Mais pour réussir le shift left, il ne suffit pas de remettre aux développeurs une liste de problèmes à corriger ou de leur fournir un outil conçu pour l’équipe de sécurité. Ils ont besoin d’outils adaptés à leurs besoins et d’un accompagnement continu de l’équipe de sécurité.

C’est précisément la mission de Snyk.