L’évolution de l’AppSec en 2021 : le point de vue de Reddit

Alors que les organisations continuent de s’appuyer sur les logiciels pour leurs processus métier essentiels, la sécurité des applications est plus que jamais un enjeu crucial. Snyk a récemment organisé une table ronde avec Reddit pour parler de la sécurité des applications en 2021.

Dans cet article, nous revenons sur la discussion entre Guy Podjarny, président et cofondateur de Snyk, et Spencer Koch, « Security Wizard » chez Reddit. Reddit compte plus de 600 ingénieurs et son équipe de sécurité s’appuie sur la sécurité de Snyk Open Source, la gestion des vulnérabilités de Snyk Container, la sécurité de Snyk Infrastructure as Code et l’API Snyk pour déployer l’AppSec dans plus de 1 000 dépôts.

L’impact de la taille de l’organisation sur l’AppSec

Les objectifs de la sécurité des applications restent les mêmes, quelle que soit la taille de l’organisation :

• Définir les exigences de sécurité

• Détecter les vulnérabilités avant leur exploitation et empêcher qu’elles se reproduisent

• Améliorer l’expérience des développeurs grâce aux données et aux tests de sécurité

Cela dit, Koch estime que la mise en œuvre de l’AppSec dépend de la taille de l’organisation et de l’équipe de sécurité.

« À mon avis, la différence entre une grande et une petite organisation tient à la façon dont vous choisissez de concentrer vos efforts pour accomplir le travail », explique Koch. « Le travail reste le même, que vous soyez dans une grande entreprise ou une petite start-up. Vous devez adapter votre approche à la manière dont vous déployez les ressources dont vous disposez. »

Par exemple, les petites équipes n’ont ni le temps ni les ressources nécessaires pour mettre en place des outils de sécurité qui exigent un travail d’ingénierie sur mesure. Elles doivent privilégier un outil, open source ou commercial, qui peut être déployé rapidement et géré de manière centralisée, tout en répondant à la plupart de leurs besoins — avec des ressources limitées.

À l’inverse, une grande organisation peut choisir des outils de sécurité mieux adaptés à ses exigences métier et à la diversité de ses cas d’usage, même si cela demande davantage d’efforts au départ et par la suite. Les grandes organisations disposent non seulement de budgets plus importants, mais aussi souvent de plusieurs niveaux d’approbation et de gestion, ce qui peut prolonger la mise en œuvre de plusieurs mois, voire davantage. Elles veulent souvent s’assurer de faire le bon choix dès le départ, même si cela prend plus de temps — et c’est compréhensible ! Toutefois, ne sous-estimez jamais l’intérêt d’itérer rapidement et d’essayer de nouvelles solutions pour vérifier leur efficacité : chaque organisation est différente.

Gérer la fragmentation des piles technologiques

La plupart des organisations doivent décider si elles laissent les développeurs libres d’adopter les technologies de leur choix ou si elles imposent des restrictions sur les nouveaux langages, frameworks et autres outils au moyen d’un modèle de gouvernance strict. Si une plus grande liberté accordée aux développeurs peut sembler souhaitable, chaque technologie supplémentaire risque de fragmenter davantage la pile technologique, d’augmenter le nombre de composants d’infrastructure et d’alourdir la charge de maintenance pour les équipes d’ingénierie.

« On entend aujourd’hui dire que l’AppSec est morte, mais ce n’est pas le cas », affirme Koch. « Les jeux politiques en entreprise ne vont pas disparaître, et plusieurs unités métier voudront continuer à faire les choses à leur manière. La fragmentation des piles technologiques et la multiplication de produits concurrents resteront donc des problèmes. Les ingénieurs AppSec veilleront à ce que les contrôles déployés fonctionnent comme prévu et répondent aux objectifs généraux de sécurité des systèmes d’information. »

Avec une pile technologique fragmentée, de nombreuses grandes entreprises ne profitent pas des économies d’échelle, car cela entraîne toujours une charge supplémentaire pour les développeurs et les ingénieurs en sécurité. Par exemple, la mise en place de contrôles de sécurité peut nécessiter de nombreux outils et processus d’analyse statique ou d’analyse du code pour assurer la compatibilité avec différents ensembles de technologies. Les entreprises doivent donc décider combien elles sont prêtes à investir pour maintenir des piles technologiques non standard, d’autant que les fonctions liées au développement, comme la sécurité, entraînent une charge supplémentaire. 

Les entreprises doivent trouver un équilibre entre la liberté des développeurs de choisir leurs technologies et l’augmentation potentielle de la charge liée à la sécurité des applications, à la dette technique et à l’infrastructure de support. Pour cela, elles peuvent harmoniser les processus et favoriser leur cohérence. Chaque organisation a ses priorités : il s’agit donc d’évaluer les avantages et les inconvénients en gardant à l’esprit le long terme.

L’importance d’outils de sécurité des applications adaptés aux développeurs

Pour favoriser l’adoption, il est essentiel que les développeurs — et les autres équipes qui contribuent à la réussite de l’entreprise — constatent que les outils de sécurité tiers fluidifient leur processus de développement et améliorent la qualité de leurs produits. Ils choisiront ainsi d’adopter ces outils non pas parce que l’organisation les y oblige, mais parce qu’ils sont faciles à utiliser, intuitifs et bénéfiques dans leurs workflows existants.

« Snyk a toujours eu pour vocation de créer des outils pour les développeurs tout en s’attaquant aux enjeux de sécurité », explique Podjarny. « Pour que les développeurs adoptent la sécurité, il faut les placer au centre de la démarche, tout en trouvant un équilibre qui réponde aussi aux exigences des équipes de sécurité des applications. »

Pour de nombreuses équipes de sécurité, l’adoption dépend avant tout de la perception des outils : sont-ils des leviers de qualité ou des obstacles ? En définissant d’abord de bonnes pratiques de sécurité, les organisations peuvent ensuite choisir des outils adaptés aux développeurs et mettre en place des automatisations afin que leur adoption dans toute l’organisation s’impose naturellement comme la solution la plus simple.

Le périmètre de l’AppSec en 2021

Les professionnels de la sécurité présents à la table ronde s’accordent globalement à dire que la sécurité des applications doit couvrir tous les domaines de vulnérabilité liés aux applications — de la sécurité de l’infrastructure et du cloud à la configuration des conteneurs et des réseaux. À mesure que davantage de technologies sont abstraites sous forme logicielle, ce qui simplifie et accélère le développement, le rôle des équipes AppSec s’étend et évolue.

« J’ai toujours organisé mes équipes autour de la sécurité offensive, considérée comme une capacité à part entière », explique Koch. « Plutôt que de séparer les compétences par domaine — applications, infrastructure ou cloud — il est logique, du point de vue de la direction, de regrouper ces activités, car les technologies sous-jacentes et leur utilisation au sein de l’organisation continuent d’évoluer. »

Les grandes entreprises qui doivent sécuriser un nombre considérable d’actifs ou des technologies de niche peuvent toutefois obtenir de meilleurs résultats en répartissant ces fonctions dans des équipes plus petites afin d’améliorer la couverture en profondeur. Cela dit, les données de chacun de ces domaines sont précieuses et interdépendantes ; même lorsque les équipes sont distinctes, les vulnérabilités présentent souvent des schémas similaires. En outre, l’objectif reste le même pour chacune de ces fonctions : il s’agit généralement d’une question de structure organisationnelle et de politique interne.

L’AppSec ne cessant d’évoluer d’année en année, Snyk organise régulièrement des webinaires afin de recueillir différents points de vue de professionnels de la sécurité du secteur. Ces tables rondes permettent à Snyk de mieux comprendre les besoins des équipes de sécurité des applications et des développeurs, pour que l’entreprise puisse continuer à adapter ses produits aux enjeux de sécurité d’organisations comme Reddit — et bien d’autres.