Trois points à prendre en compte pour mettre en place un programme de sécurité efficace

Cet article invité est signé Alex Bovee, CEO et cofondateur de ConductorOne, une entreprise spécialisée dans la sécurité des identités.

Dans le paysage technologique actuel, en constante évolution et au rythme effréné, la mise en place d’un programme de sécurité efficace est essentielle pour toute organisation. J’ai eu le privilège d’accueillir Guy Podjarny, CEO et cofondateur de Snyk, dans All Aboard, un nouveau podcast produit par ConductorOne.

Au cours de notre échange, nous avons parlé de la mise à l’échelle des contrôles de sécurité dans un environnement cloud-first, des moyens de mesurer la réussite de votre programme de sécurité et de nos prévisions sur l’impact des conditions macroéconomiques actuelles sur les comportements d’achat en matière de sécurité.

Voici quelques temps forts de notre échange. Pour l’écouter dans son intégralité, retrouvez l’épisode ici (également disponible sur Apple Podcasts et Spotify).

Mettre à l’échelle les contrôles de sécurité grâce au shift left

Le « shift left » a gagné en popularité grâce à son efficacité. Il coûte cent fois moins cher et demande cent fois moins d’efforts de détecter un problème pendant le développement plutôt que lors d’audits ultérieurs. Au cours de la dernière décennie, le rythme d’adoption des logiciels a radicalement changé et « la capacité à suivre le rythme des logiciels, indépendamment, est vraiment de plus en plus hors de portée », explique Guy.

S’adapter à ce modèle n’a pas été simple, mais les gains d’efficacité promis et la création d’équipes plus agiles et productives justifiaient les difficultés à court terme. Au bout du compte, les développeurs comme les dirigeants veulent pouvoir créer et innover, et le faire plus vite que la concurrence. Les équipes de sécurité doivent envisager leurs responsabilités sous cet angle. « Les meilleures équipes de sécurité se voient comme une plateforme, explique Guy. Elles réussissent en permettant aux développeurs de créer des applications sécurisées, plus rapidement. »

En matière de sécurité, le développement agile peut consister à rapprocher les garde-fous et les contrôles du moment où les utilisateurs prennent réellement leurs décisions. « Vous les aidez à prendre une décision sécurisée, ou vous les empêchez de prendre une décision non sécurisée », explique Guy. Les équipes de sécurité doivent trouver des moyens créatifs d’intégrer leurs connaissances et leur expertise au pipeline de développement et de donner aux utilisateurs les moyens de créer de la valeur pour l’entreprise.

Mesurer la réussite de votre programme de sécurité

Voici trois moyens concrets de mesurer la réussite de votre programme de sécurité :

1. À l’aide d’indicateurs clés de performance (KPI) mesurables : Quel est le délai de réponse à un incident ? Combien de problèmes détectés en aval avaient été identifiés à l’avance ? Combien de personnes ou d’équipes de développement ont réellement participé aux tests et les ont menés à bien, par rapport à celles qui ne les ont pas effectués ? Lorsque vous mettez en place le programme de sécurité qui vous semble le mieux adapté à votre organisation, vous devez disposer de plusieurs moyens pour mesurer concrètement et vérifier son efficacité.

2. Examinez les résultats des contrôles de sécurité : Combien de vulnérabilités avons-nous ? Dans quel délai pouvons-nous les corriger ? Évaluer les résultats est utile, car c’est aussi un moyen relativement simple de mesurer votre niveau de sécurité. C’est important : sans résultats, aucun KPI ne peut être tiré de cet incident.

3. L’efficacité, l’indicateur le plus difficile à mesurer, mais le plus révélateur : Dans quelle mesure le programme de sécurité protège-t-il contre les attaques ? C’est l’aspect le plus difficile à mesurer, mais la meilleure méthode consiste à obtenir une validation externe. Combien de rapports de bug bounty ont-ils reçus ? Combien d’équipes red team interviennent ? Combien de problèmes ont-elles détectés ? L’évaluation ne sera jamais exhaustive — cela coûterait trop cher —, mais elle constitue un contrôle ponctuel complémentaire efficace pour vos actifs les plus sensibles. Il s’agit de réduire les risques, mais aussi d’améliorer la productivité des développeurs : dans quels délais les problèmes sont-ils corrigés ?

Privilégier la productivité et l’efficacité

Les équipes de sécurité deviennent elles-mêmes des équipes de développement. Le concept de « voie balisée », popularisé par Netflix, consiste pour une équipe plateforme à créer un parcours intégrant les contrôles nécessaires et à inciter les équipes à le suivre. Les développeurs peuvent s’en écarter, mais ils doivent alors satisfaire à des exigences supplémentaires et assumer davantage de travail pour démontrer eux-mêmes leur conformité et leur niveau de sécurité.

Lorsqu’une voie balisée existe, les utilisateurs sont moins susceptibles de choisir une autre option. Pour les solutions modernes, offrir une expérience utilisateur sans friction est de plus en plus important. Dans le domaine de la sécurité des identités, par exemple, les failles de sécurité sont souvent dues à des autorisations excessives. Pourquoi ? Parce qu’il est pénible de suivre, d’auditer et de révoquer les privilèges dans toute l’organisation. Résultat : les privilèges et les identifiants restent en circulation. J’ai cofondé ConductorOne pour répondre à ce problème, que j’ai moi-même constaté en travaillant dans le secteur des produits de sécurité au cours de la dernière décennie.

Les conditions macroéconomiques actuelles vont également entraîner un conflit entre une volonté de consolidation venue de la direction et la recherche d’efficacité et de réduction des coûts, cette dernière favorisant par nature la décentralisation. Comme le dit Guy : « Je pense que 2023 sera une année de retour à la raison pour beaucoup d’organisations. »

Démontrer la valeur d’une solution en matière de réduction des risques, tout en montrant comment elle contribue à améliorer la productivité, sera désormais un élément encore plus déterminant dans la décision d’achat. Les outils pratiques, capables d’en faire plus ou de mieux s’intégrer avec moins de ressources, seront privilégiés.

Pour revenir à la question de la mesure et au manque de références établies, Guy remarque : « Le secteur de la sécurité laisse encore une grande place à la subjectivité, davantage que bien d’autres secteurs. Parfois, les gens font les bons choix, parfois non. Mais aujourd’hui, nous sommes tous contraints d’y réfléchir sérieusement. C’est une évolution saine. »