Comment Dun & Bradstreet et Shutterstock ont mis en place des programmes de champions de la sécurité performants

Le mois dernier, nous avons organisé une table ronde sur la création et le développement d’un programme de champions de la sécurité performant. Les champions de la sécurité sont des développeurs qui s’intéressent à la sécurité et qui ont un pied dans le développement. Ils font le lien entre les équipes de développement et de sécurité afin de favoriser la collaboration et le partage des connaissances. Ces programmes peuvent jouer un rôle essentiel pour livrer systématiquement des applications sécurisées au rythme exigé par l’entreprise.

Lors de cette session, Nitin Bhargava (vice-président et responsable mondial de la sécurité des produits et de l’architecture chez Dun & Bradstreet) et Christian Bobadilla (directeur de la sécurité des produits et des applications chez Shutterstock) nous ont fait part des enseignements tirés de leurs programmes respectifs. Voici quelques points forts et principaux enseignements.

Comment réussir à intégrer la sécurité dès le début du développement

Shutterstock et Dun & Bradstreet ont toutes deux adopté une approche qui intègre la sécurité dès le début, soit en faisant intervenir les développeurs plus tôt dans le processus de sécurité, soit en intégrant la sécurité plus tôt dans le processus de développement. Quelle que soit l’approche, l’objectif est de répondre à deux enjeux : la grave pénurie de talents en sécurité et le renforcement de la sécurité de l’entreprise, en identifiant et en impliquant des personnes passionnées par le sujet.

Lors du lancement d’un programme de champions de la sécurité, Bhargava a souligné trois aspects auxquels il a accordé une attention particulière chez Dun & Bradstreet :

• Définir les attentes avec les équipes de développement : vous devez préciser clairement ce que vous attendez des équipes de développement, la part de responsabilité qu’elles doivent assumer et le pourcentage de leur temps qu’un champion de la sécurité devra consacrer au programme. Vous devez ensuite communiquer clairement les rôles et les responsabilités.

• Collecter des indicateurs : vous avez probablement commencé par un mandat peu contraignant pour tester un programme de champions. Mais si vous souhaitez l’étendre à une plus grande partie de l’organisation, vous aurez besoin d’indicateurs. Vous devez pouvoir répondre à la direction lorsqu’elle vous demande : « Quelle est la valeur de ce programme ? »

• Créer une communauté soudée : une petite communauté soudée est essentielle pour partager les enseignements et se sentir impliqué et motivé à faire réussir le programme.

Chez Shutterstock, Bobadilla a adopté une approche différente pour créer un programme : il l’a rendu ludique et convivial en organisant des événements et des activités comme un village de hacking, un escape game et une chasse au trésor. Cette approche présente plusieurs avantages :

• Faire connaissance : les développeurs apprennent vraiment à connaître l’équipe de sécurité. S’ils doivent parler de problèmes liés à la sécurité ou signaler des vulnérabilités, ils savent à qui s’adresser et sont à l’aise pour le faire, car ils ont déjà échangé avec elle dans un cadre informel.

• Apprendre en s’amusant : tout en s’amusant, les participants découvrent aussi la sécurité de manière concrète. Les événements sont conçus pour éveiller leur curiosité et, souvent, ils reviennent ensuite poser des questions.

• Inclure tout le monde : ces événements ne sont pas réservés aux développeurs. D’autres équipes, comme le service juridique, sont invitées à participer et à se former, ce qui contribue à instaurer une culture où chacun comprend l’importance des principes de sécurité.

Cette approche légère vise avant tout à faire en sorte que les participants considèrent leur place dans le programme comme un privilège plutôt que comme une responsabilité supplémentaire.

Faire la différence

La conversation s’est ensuite tournée vers les avantages d’une collaboration avec les champions de la sécurité des équipes de développement. Bhargava a expliqué que, sans interlocuteur dédié, on peut avoir l’impression d’échanger avec des personnes différentes à chaque fois. Il devient alors difficile d’assurer une communication fluide et efficace. À l’inverse, désigner un champion dans chaque équipe a aidé Dun & Bradstreet à faciliter l’intégration, à élaborer des stratégies de remédiation et à maintenir l’engagement.

Le programme les a également aidés à déployer les mesures de sécurité à l’échelle de l’organisation. Selon Bhargava, lorsque vous passez de 10 ou 20 applications à plusieurs milliers en peu de temps, votre réseau de champions doit jouer le rôle de « prolongement de l’équipe de sécurité des applications ».

En cherchant à faire évoluer la culture de Shutterstock, Bobadilla a constaté un phénomène inattendu. Les collaborateurs ont commencé à signaler spontanément des problèmes et des e-mails de phishing, et à faire appel à l’équipe de sécurité lorsqu’ils travaillaient sur une nouvelle idée ou fonctionnalité. Ce n’était pas le cas auparavant. Ce changement témoignait de l’évolution de la culture de sensibilisation à la sécurité.

Conseils pour lancer un programme de champions de la sécurité

Dun & Bradstreet et Shutterstock ont toutes deux partagé des conseils utiles pour lancer un programme de champions de la sécurité dans votre organisation.

« Commencez modestement et identifiez quelques partenaires ou personnes au sein de la communauté de développement qui s’intéressent réellement à la sécurité et qui sont passionnés par le sujet », conseille Bhargava.

Il ajoute : « Définissez précisément ce que vous attendez de ces personnes et le temps que cela leur demandera en plus de leur travail habituel de développement. Vous pourrez ensuite formaliser davantage le programme. »

« Dès leur premier jour, nous faisons découvrir l’équipe de sécurité aux nouveaux arrivants lors d’une session d’accueil consacrée à la sécurité », explique Bobadilla.

« Ne réservez pas les événements consacrés à la sécurité aux seuls développeurs. Si vous les ouvrez à tous les collaborateurs, vous verrez que des personnes de différentes équipes se soucient de la sécurité, et leur participation contribuera à améliorer l’entreprise », ajoute-t-il.

Prendre collectivement ses responsabilités en matière de sécurité

Pour conclure, les autres participants à la table ronde ont partagé leur expérience des programmes de champions de la sécurité. Tous s’accordaient à dire qu’un tel programme favorise un changement de perception : la sécurité est adoptée plutôt qu’évitée. Ces programmes aident également les développeurs à prendre en charge leur part du développement sécurisé, afin que les équipes de développement deviennent autonomes sur le long terme. Au final, il s’agit de faire de la sécurité une compétence essentielle des développeurs, au même titre que la qualité et les performances.

Pour en savoir plus sur les programmes de champions de la sécurité, consultez notre nouveau livre blanc : Comment créer un programme de champions de la sécurité.