SnykCon en bref : créer un programme AppSec axé sur les développeurs

Mettre en place un programme de sécurité des applications peut sembler insurmontable. Le flot constant de contenus qui encouragent les équipes à intégrer la sécurité dès le début du développement est motivant, mais ne vous aide pas à vous lancer. Observer des organisations dotées d’initiatives AppSec matures peut donner l’impression que l’écart est impossible à combler, alors même qu’un plan d’action concret reste difficile à trouver. Comme tout autre aspect du développement logiciel, la sécurité des applications est un parcours. Et ce parcours est bien plus agréable avec quelques principes directeurs.

L’édition de SnykCon de l’an dernier a donné une mine de conseils et de bonnes pratiques en AppSec. Deux conférences réunissant des clients de Snyk portaient sur la mise en place et le maintien d’une culture du développement sécurisé dans votre organisation. Lors de l’une d’elles, Per Olsson (conseiller AppSec chez Visma) a partagé les enseignements tirés de son passage de développeur à conseiller en sécurité. Pour l’autre, nous avons réuni un panel de trois experts en sécurité issus de secteurs différents afin de discuter de la façon dont ils ont créé des programmes de sécurité efficaces à partir de zéro.

Ces conférences ouvrent le dialogue sur les étapes, les jalons et les défis d’un programme AppSec en développement, et nous donnent une feuille de route vers une culture de la sécurité efficace.

Lancer votre programme AppSec de zéro

Qu’est-ce que l’AppSec ?

Pour créer un programme à partir de zéro, il est important de comprendre ce qu’est la sécurité des applications, ainsi que vos besoins spécifiques. Olsson l’a bien résumé : « L’AppSec ne concerne pas du tout la sécurité des applications ». La sécurité commence par les personnes. Toutes les personnes qui composent une organisation — développeurs, responsables, équipes d’assurance qualité, équipes de conception et services juridiques — constituent le socle d’un programme de sécurité. La plupart des incidents de sécurité sont dus à des erreurs humaines et, lorsque les délais sont serrés, les équipes peuvent reléguer la sécurité au second plan au profit de fonctionnalités ou d’autres tâches dont le retour sur investissement est évident. La première étape consiste donc à faire de la sécurité une priorité.

Commencez modestement

Tous les experts de SnykCon s’accordaient sur un point : il faut commencer modestement. Les programmes de sécurité de grande envergure ne se construisent pas du jour au lendemain ; au début, il faut éviter de se comparer aux autres. Chez Visma, l’équipe de sécurité a commencé sous la forme d’un groupe d’intérêt réunissant un responsable et plusieurs développeurs. Nicholas Vinson (responsable DevSecOps chez Pearson) et

Gagan Bhatia (responsable de la mise en œuvre de la cybersécurité chez 10x Banking) ont encouragé les responsables produit à intégrer un ingénieur en sécurité expérimenté au sein d’une petite équipe de développeurs motivés, afin qu’ils collaborent pour définir les exigences et les menaces potentielles. Il est important de partager les pratiques de codage sécurisé avec tous les développeurs et de leur donner les moyens d’intégrer l’AppSec au SDLC existant de façon créative. L’objectif final est un changement de culture en faveur du codage sécurisé, qui commence à l’échelle individuelle.

Lâcher prise sur le contrôle

Enfin, la sécurité doit lâcher une partie de son contrôle. L’équipe de sécurité doit guider les développeurs et leur servir de ressource, pas de gardienne. Il faut remplacer la culture en silos qui caractérise les méthodes de sécurité traditionnelles par la transparence et la collaboration transversale. Chaque équipe d’une organisation a des besoins, des objectifs et des méthodes de livraison qui lui sont propres. En donnant aux équipes de développement des outils et des conseils concrets, on leur permet de prendre en charge leurs programmes AppSec et on renforce leur engagement en faveur des pratiques de codage sécurisé.

Play Video: Lessons learned from building a developer-first AppSec program

Faire évoluer une approche AppSec mature

Amélioration continue

Une fois le programme lancé, le travail d’amélioration commence. À mesure que la confiance s’installe entre les équipes de sécurité, de développement et de direction, il devient possible d’évaluer les outils et les workflows. Olsson a procédé ainsi en interrogeant les équipes de développement avec lesquelles il travaillait. Cela a permis à l’équipe de sécurité en pleine croissance de gagner en efficacité, de vérifier que le plan de sécurité répondait aux besoins des développeurs et de repérer les menaces passées entre les mailles du filet. À mesure que les tâches de sécurité sont intégrées plus tôt au développement, l’automatisation et les tests continus soutiennent notre programme AppSec en fournissant des données cohérentes.

Définir la réussite

Les équipes de sécurité en croissance peinent souvent à mesurer leur réussite. Contrairement à la livraison de fonctionnalités, les initiatives de sécurité ne produisent pas toujours des résultats immédiatement visibles (comment mesurer toutes les violations que vous n’avez pas subies ?). Et si les outils fournissent de nombreuses données, leur mise en contexte peut s’avérer difficile. Pour commencer à définir les critères de réussite d’un programme de sécurité, il est important de « savoir quelque chose qu’on ignorait hier », a déclaré Stefan Steglich (responsable produit de la sécurité des applications chez Skybetting & Gaming).

Vos indicateurs de réussite doivent servir le message de votre programme, et non l’inverse. Pensez également à célébrer les premières victoires. Qu’il s’agisse de retours positifs sur le programme en général ou d’une utilisation accrue des outils de sécurité retenus, il est important de prendre du recul et de mesurer le chemin parcouru.

Des indicateurs pratiques

Pour suivre des indicateurs pratiques, Vinson recommande d’en surveiller trois types : les exigences de conception, les indicateurs opérationnels et les évaluations de la maturité en sécurité. Les exigences de conception découlent de la modélisation des menaces. Ces indicateurs permettent de vérifier que votre programme AppSec prend en compte tous les risques potentiels identifiés et de détecter les nouvelles menaces à mesure qu’elles apparaissent. Les indicateurs opérationnels portent sur les statistiques de vulnérabilités. Qu’il s’agisse des résultats des analyses SAST, du nombre de correctifs ou d’autres données, ces indicateurs révèlent les tendances en matière de vulnérabilités et nous aident à affiner nos exigences de conception. Enfin, une évaluation de la maturité en sécurité met les indicateurs précédents et le programme dans son ensemble en contexte. Cette évaluation plus globale permet de déterminer où nous en sommes dans notre parcours AppSec et si nous sommes prêts à passer à l’étape suivante. Les données sur les besoins non satisfaits, la capacité de l’équipe à gérer les tâches de sécurité et l’adoption des principes de sécurité à tous les niveaux sont essentielles pour planifier la suite.

Play Video: Building an AppSec Program from the Ground Up

L’AppSec doit accompagner les développeurs

Que votre équipe de sécurité compte une ou cent personnes, les défis sont similaires. Définir un plan de sécurité, élaborer des indicateurs pertinents et expliquer tout cela aux membres de l’équipe est un processus continu, qui n’est jamais vraiment terminé. Les outils que nous choisissons pour soutenir le développement de nos programmes AppSec jouent un rôle majeur dans leur efficacité. Les programmes trop génériques ou fondés sur des modèles théoriques ne conviendront probablement pas à une approche de sécurité adaptée à vos besoins. Les outils d’analyse qui fournissent de nombreuses données peuvent être utiles aux experts en sécurité, mais pas nécessairement aux développeurs que nous cherchons à accompagner.

C’est pourquoi Snyk a été conçu pour les développeurs. Notre plateforme aide les organisations à sécuriser leurs applications dans un environnement unique, au service des équipes de sécurité comme de développement. Quand vous pouvez détecter et corriger des vulnérabilités en codant — parfois en cinq minutes seulement —, vous éliminez les goulets d’étranglement de vos processus AppSec. Commencez votre essai gratuit dès aujourd’hui et découvrez comment nous aidons des millions de développeurs à accélérer leur travail tout en restant en sécurité.