Comment bâtir une culture DevSecOps moderne : les enseignements de Jaguar Land Rover et Asda
Brian Piper
21 février 2024
0 minutes de lecture
Les personnes, les processus et les outils influent tous sur la capacité d’une organisation à maintenir un programme AppSec solide. Lors d’une récente table ronde à Black Hat Europe, Snyk a échangé avec deux clients — Jaguar Land Rover (JLR) et Asda — sur les défis spécifiques qu’ils rencontrent pour gérer leurs équipes de développement, intégrer de nouveaux outils de sécurité et instaurer un programme DevSecOps moderne dans l’ensemble de leur organisation.
JLR a commencé à fabriquer des voitures en 1935. Après plusieurs fusions et acquisitions — et près d’un siècle d’innovation technologique — l’entreprise emploie aujourd’hui 3 000 développeurs dans le monde, qui travaillent sur différents projets logiciels. Mike Welsh, Lead Enterprise Security Architect of DevSecOps chez JLR, est chargé de maintenir des stratégies à l’échelle de l’entreprise pour garantir des pratiques de développement sécurisées et fédérer des équipes diverses autour de processus communs.
À l’inverse, Asda n’en est qu’aux premières étapes de la mise en place de son programme DevSecOps. Bien qu’il s’agisse d’une marque établie, sa récente séparation de Walmart a conduit Asda à fonctionner comme « la plus grande start-up d’Europe ». Ruta Baltiejute, responsable DevSecOps chez Asda, met en place la culture DevSecOps de l’entreprise à partir de zéro, intègre de nouveaux outils et collabore avec les équipes d’ingénierie et de sécurité pour poser les bases de l’approche de l’entreprise en matière de développement sécurisé des applications.
Bien que les deux entreprises soient à des stades de maturité très différents lorsqu’il s’agit de bâtir une culture DevSecOps, les enseignements qu’elles ont tirés de leur parcours présentent certains points communs.
1. Faites participer les développeurs à la prise de décision
Lors de la table ronde, Mike et Ruta ont convenu que l’adhésion des développeurs est essentielle à la réussite d’une culture DevSecOps solide. Tous deux recommandent aux professionnels du DevSecOps d’associer les ingénieurs à chaque décision — qu’il s’agisse de proposer de nouveaux outils de développement ou de réaliser une preuve de concept. Cette collaboration est essentielle pour éviter que les ingénieurs ne s’opposent aux exigences de sécurité ou n’ignorent les outils qu’on leur impose. Mike explique : « Il est beaucoup plus facile de convaincre les gens d’adopter les outils que vous avez choisis et de continuer à les utiliser s’ils ont participé au processus de sélection. »
Sans adhésion, l’adoption de nouveaux processus ou outils en pâtira et compromettra sérieusement l’intégrité de votre programme. C’est une préoccupation majeure pour Mike et JLR. L’entreprise emploie des milliers d’ingénieurs en Europe, au Moyen-Orient et en Afrique (EMEA), en Asie-Pacifique (APAC) et sur le continent américain. Mike devait trouver des outils qui conviennent à tout le monde — et que chacun serait prêt à utiliser — afin que l’entreprise puisse avoir une visibilité complète sur sa base de code et comprendre les vulnérabilités pertinentes. Comme l’a dit Mike : « Cela ne sert à rien de ne voir que 10 % de votre base de code et d’essayer de déterminer si elle est sécurisée ou non. »
Snyk était la solution idéale. Reconnue dans le secteur, elle était souvent recommandée par les membres de la communauté de développeurs de JLR. Avec Snyk Open Source, Snyk Container et Snyk Code, Mike a pu harmoniser les politiques et les processus de l’équipe, et y intégrer Snyk. Désormais, chaque développeur peut utiliser Snyk pour détecter les vulnérabilités. Grâce à de nombreuses automatisations développées à l’aide de l’API de Snyk, JLR peut analyser efficacement pas moins de 14 000 projets dans son système de gestion de code. Cette solution permet aux développeurs de gagner en efficacité et de produire du code plus sécurisé.
2. Abordez les changements de processus en privilégiant les avantages
Avant d’introduire quoi que ce soit de nouveau, il est important de vous assurer que les changements de processus ou les nouveaux outils que vous prévoyez de mettre en place apporteront un bénéfice concret à votre équipe d’ingénierie. Après tout, pour adopter sans réserve un nouveau processus, les ingénieurs doivent comprendre en quoi il leur sera utile.
Ruta recommande de mener des recherches pour comprendre les difficultés rencontrées par les développeurs, puis de leur communiquer les conclusions afin qu’ils les comprennent eux aussi. Prenez le temps d’observer vos développeurs à l’œuvre et de leur faire part de vos observations. Regardez comment ils travaillent et soulignez les difficultés qu’ils rencontrent au quotidien (par exemple, un processus chronophage). Il peut s’agir d’un problème bien connu que les développeurs seront heureux de détailler, ou de quelque chose qu’ils n’avaient peut-être même pas remarqué — ou qu’ils n’avaient pas identifié comme une possibilité d’amélioration.
Une fois que vous savez en quoi une exigence sera bénéfique aux développeurs, vous devez leur expliquer ces avantages. Expliquez à vos développeurs comment et pourquoi un nouveau processus leur simplifiera la vie, renforcera leur sécurité ou améliorera leur efficacité au quotidien.
Chez Asda, Ruta s’est heurtée à une certaine résistance à l’égard des nouveaux outils et processus, notamment de la part des employés et des sous-traitants les plus expérimentés. Après sa séparation de Walmart, l’entreprise se trouvait dans une situation ambiguë : à certains égards, elle fonctionnait comme une nouvelle entité et, à d’autres, comme une entreprise établie. Ajoutez à cela une croissance rapide — le programme d’ingénierie a en fait triplé — et il est naturel que les ingénieurs se montrent réticents.
Ruta et son équipe ont profité de cette occasion unique pour développer simultanément les équipes d’ingénierie et de sécurité à partir de zéro, en encourageant la collaboration avec les développeurs tandis qu’ils étudiaient les nombreuses solutions disponibles. Au final, Snyk s’est avéré être le meilleur choix pour Asda, qui a adopté l’ensemble de la plateforme Snyk (Snyk Open Source, Snyk Code, Snyk IaC et Snyk Container). La solution apporte des avantages concrets aux ingénieurs dans leur travail quotidien et répond aux préoccupations et aux exigences de l’équipe de sécurité.
Votre équipe se montre particulièrement réticente ? Si rien d’autre ne fonctionne, Mike suggère de miser sur la ludification. Les chiffres parlent d’eux-mêmes, et les ingénieurs aiment voir concrètement les différences entre les approches. Faites preuve de transparence sur les résultats obtenus par les différentes équipes qui suivent des processus distincts, afin de montrer clairement les avantages de chaque approche.
3. Simplifiez le processus d’intégration
Aussi bénéfique qu’un nouveau processus puisse être, les développeurs ne prêteront attention à votre présentation et ne l’adopteront — ou n’adopteront l’outil associé — que si sa mise en œuvre est simple.
Comme Ruta l’a rappelé aux participants : « Vous ne convaincrez jamais un développeur de lire un document de 50 pages expliquant comment il est censé procéder dans l’entreprise. Si vous lui fournissez les outils et un moyen simple de s’y prendre, il respectera les politiques comme il se doit. »
4. Tirez collectivement les leçons des expériences passées
En théorie, la collaboration est une excellente chose. Mais pour vous assurer que chacun prenne ses responsabilités, mieux vaut formaliser un processus de collaboration afin que toutes les voix soient entendues. Votre équipe dispose probablement d’un vaste savoir collectif et d’une grande expérience. Quel meilleur endroit pour trouver de nouvelles idées ou des retours sur les outils et les processus ?
Chez JLR, Mike et son équipe ont créé une guilde DevSecOps réunissant des représentants de différents services de l’entreprise, aux parcours professionnels variés. Ces représentants se rencontrent pour discuter des outils qu’ils ont utilisés par le passé ou de ceux qu’il pourrait être intéressant d’évaluer. Le savoir collectif de la guilde aide JLR à structurer ses efforts de collaboration et à hiérarchiser ses priorités parmi la multitude d’outils disponibles.
Dans une culture DevSecOps, la collaboration est essentielle
Au fond, chacun de ces enseignements souligne l’importance de la coopération entre les équipes de sécurité et de développement. Où que vous en soyez dans votre parcours DevSecOps, la solidité et la pérennité de votre programme dépendent de l’adhésion de toutes les personnes concernées. Découvrez la session complète de Black Hat pour approfondir ces enseignements.
Vous cherchez un outil que vos équipes de développement et de sécurité apprécieront ? Découvrez la plateforme de sécurité moderne pour les développeurs de Snyk.
