Comment sensibiliser, former et responsabiliser les développeurs en matière de sécurité

Avis à tous les développeurs ! Le moment est venu de prendre en charge la sécurité de vos applications. Cela peut sembler intimidant pour certains d’entre vous, mais pas d’inquiétude ! De nombreuses ressources, outils et pratiques vous guideront sur la voie de l’excellence DevSecOps. Dans cet article, nous vous présentons quelques épisodes de The Secure developer, un podcast au format interview animé par Guy Podjarny, le PDG de Snyk. Depuis plus d’un an, Guy y a reçu plusieurs des plus grands penseurs de notre secteur, dont Adam Jacob, directeur technique de Chef, Francois Raynaud, fondateur de DevSecCon, et James Governor de Redmonk, pour n’en citer que quelques-uns.

Nous savons désormais tous que les développeurs sont les nouveaux faiseurs de rois. Ceux qui ne se concentrent pas sur leurs besoins et ne tiennent pas compte de leurs conseils finiront par courir après leurs concurrents. Dans ce contexte, comment pouvons-nous, en tant que secteur ou à titre individuel, donner aux développeurs les moyens d’agir en leur apportant les connaissances et l’autorité nécessaires pour gérer efficacement la sécurité ? Pour répondre à cette question, j’ai sélectionné quelques épisodes de la série dans lesquels Guy interroge différentes équipes de sécurité afin de montrer comment y parvenir.

Donner aux développeurs les moyens d’agir en matière de sécurité

Épisode 1 : donner la priorité au développement sécurisé

Dans le premier épisode du podcast The Secure Developer, Guy reçoit Kyle Randolph, ingénieur principal en sécurité chez Optimizely, où il a été le premier à occuper ce poste. Kyle et Guy évoquent la mise en place de bonnes pratiques de sécurité et la création de relais au sein de l’équipe de sécurité, ainsi que l’importance de rester proche des ingénieurs. Kyle aborde également la tâche parfois difficile, mais toujours essentielle, qui consiste à faire de la sécurité une priorité dans une organisation d’ingénierie. Il raconte son expérience chez Optimizely, Adobe et Twitter.

« En restant proche des équipes d’ingénierie, vous savez ce qui se construit et ce qui préoccupe les ingénieurs. Il est beaucoup plus facile d’influencer les ingénieurs et de faire en sorte qu’ils viennent aussi vers vous. »

Kyle Randolph

« Si le sujet les intéresse et les passionne, ils seront probablement beaucoup plus productifs en travaillant dessus que si on le leur impose. »

Kyle Randolph

Écouter The Secure Developer - Ép. #1, donner la priorité au développement sécurisé

Épisode 11 : comment PagerDuty assure sa sécurité

Guy reçoit Arup Chakrabarti, Kevin Babcock et Rich Adams de PagerDuty. Ils expliquent comment ils mettent en pratique leur vision de la sécurité, qui consiste à « faciliter les bons choix », en créant des outils pour automatiser davantage la sécurité, en faisant preuve de transparence et en donnant aux développeurs les moyens d’agir. Il s’agit de choisir les bons outils et de concevoir une expérience de sécurité qui n’impose pas de contraintes, mais aide plutôt à comprendre comment les vulnérabilités peuvent être exploitées. Donner aux équipes la possibilité de casser les choses leur donne aussi une forte envie de les protéger ensuite.

« Au lieu de donner aux gens une liste de règles, nous avons changé d’approche en leur montrant ce que font les attaquants et comment casser des mots de passe. Nous l’avons illustré avec des animations sophistiquées, ce qui a suscité davantage d’intérêt. »

Rich Adams

« Pour impliquer toute l’équipe, nous avons constaté qu’une rotation et un système de répartition des appels fonctionnent bien : lorsqu’un problème survient, la personne d’astreinte doit le comprendre et s’en occuper. »

Kevin Babcock

« Beaucoup d’outils de sécurité partent implicitement du principe que vous disposez d’une armée de spécialistes et d’analystes en sécurité. »

Arup Chakrabarti

Épisode 13 : la sécurité chez New Relic

Guy s’entretient avec Shaun Gordon, responsable de la sécurité chez New Relic. Shaun nous raconte comment il a commencé sa carrière dans la sécurité après avoir travaillé comme développeur, et explique comment le rôle de la sécurité a évolué chez New Relic. Il expose leur approche : adapter les processus de sécurité aux méthodes de travail des développeurs. Il souligne aussi l’importance des alertes d’exception, des tableaux de bord et de l’automatisation pour accompagner une organisation en forte croissance.

« Je n’ai jamais été le hacker traditionnel qui aime attaquer les systèmes. Je n’ai jamais acquis ces compétences dans un cadre formel. J’y suis arrivé un peu par hasard et, depuis le début, j’ai abordé la sécurité comme un développeur, comme un défenseur. »

Shaun Gordon

« J’ai une philosophie pour mon équipe : je veux adapter notre façon de faire de la sécurité à la manière dont les développeurs font leur travail. »

Shaun Gordon

Que faire maintenant ?

Vous avez manifestement envie de devenir vous-même un développeur soucieux de la sécurité, ou d’aider vos développeurs à prendre en charge la sécurité. Si c’est le cas, pensez à vous abonner au podcast The Secure Developer et à écouter les nouveaux épisodes dès leur parution ! Et si vous souhaitez donner à vos développeurs les outils nécessaires pour détecter efficacement les vulnérabilités connues et les licences problématiques, puis corriger les problèmes, découvrez Snyk : ses tests pour les projets open source sont gratuits et illimités.