Table ronde DevSecCon : qu’est-ce qui vient en premier, la sécurité ou l’application ?

Dans le développement d’applications, la sécurité joue un rôle de plus en plus important pour protéger l’infrastructure et les données, et garantir un haut niveau de confiance des utilisateurs. Récemment, les membres de Snyk Vandana Verma Sehgal et DeveloperSteve ont animé une table ronde avec des experts chevronnés du secteur, qui ont partagé leur point de vue sur le moment précis où la sécurité doit être intégrée au développement d’applications.

« Si vous regardez comment le secteur a adopté le principe du shift-left security dans le cycle de vie du développement logiciel, vous constatez que la sécurité passe au premier plan. C’est également vrai lors de la création initiale de nouvelles applications : la sécurité est intégrée dès la phase d’idéation afin d’identifier des moyens de créer des applications plus sûres. »

« En tant que développeurs, nous concevons des applications en pensant à leurs utilisateurs finaux. Garantir la sécurité de leur expérience et protéger leurs données est essentiel. Nos utilisateurs finaux nous font confiance pour créer leurs applications, et les protéger est indispensable pour préserver cette confiance. »

La table ronde

Nous avons accueilli autour de la table Lidia Giuliano (architecte sécurité et membre de Blackhat Asia), Michael Cheng (ingénieur logiciel principal chez GovTech Singapore), Sandeep Singh (consultant en sécurité chez NotSoSecure et responsable du chapitre OWASP Delhi) et Pas Apicella (ingénieur solutions principal chez Snyk).

Pour lancer la discussion, nous avons commencé par la question suivante : « Le développement d’applications doit-il commencer par la définition de règles de sécurité ? »

Lidia : Je compare souvent le développement d’applications à la construction d’une maison. Certains points doivent être approuvés avant le début des travaux, puis des contrôles de conformité sont effectués à chaque étape pour vérifier que tout se déroule comme prévu.

Michael : Comme nous développons de nombreuses applications pour le gouvernement, nous avons mis en place des règles et des directives pour nous assurer que nos outils et nos environnements respectent les normes en vigueur. Du point de vue du développement, cela définit les attentes, non seulement quant aux outils autorisés, mais aussi à leur utilisation.

Le principal point soulevé par les participants au sujet des outils était la nécessité d’une étroite collaboration entre les équipes de sécurité et de développement. Cela permet de répondre aux exigences relatives aux outils et aux environnements de développement, tout en garantissant un niveau de sécurité prédéfini. Pour approfondir cette idée, nous avons demandé à Sandeep : « À quels aspects de la sécurité faut-il penser lorsqu’on commence à définir le périmètre d’une application ? »

Sandeep : Il est important de toujours garder à l’esprit les principes fondamentaux de sécurité, même les plus élémentaires : assainir les saisies et les données des utilisateurs, sécuriser l’authentification et les privilèges dans l’infrastructure et les plateformes applicatives. Cela nous ramène à quelques questions simples à se poser pendant le cycle de vie du développement logiciel (SDLC), par exemple : qui utilisera mon application ? Quel type de données est généré, et où est-il stocké ? Que se passe-t-il si ces données sont compromises ?

La discussion a ensuite abordé la question fondamentale de la table ronde : à quel moment est-il trop tôt pour intégrer la sécurité au processus de développement d’applications ? Nous avons notamment demandé : « À quel stade le plus précoce avez-vous vu la sécurité être intégrée au processus ? »

Pas : Certains clients avec lesquels je travaille chez Snyk commencent par vouloir utiliser les pipelines DevOps pour automatiser la sécurité dans leur processus CI/CD. Je leur demande plutôt quels outils de sécurité destinés aux développeurs sont à la disposition des équipes de développement pour détecter et comprendre les vulnérabilités le plus tôt possible dans le processus.

Sandeep a souligné que faire travailler des spécialistes de la sécurité aux côtés des développeurs favorise la sensibilisation des deux équipes. Lidia a ajouté qu’il est important de cultiver une approche à l’échelle de l’équipe et de faire émerger des référents en sensibilisation à la sécurité au sein des équipes de développement pour y contribuer.

Lidia : Quand j’étais développeuse, il nous était interdit d’utiliser certaines syntaxes de langage en raison des risques de sécurité, même si nous savions que cela compliquait le développement des applications, car cela limitait les possibilités de déboguer le code, y compris dans les environnements de développement.

En définitive, les participants semblaient s’accorder sur un point : il n’est jamais trop tôt pour intégrer la sécurité au processus de développement d’applications. Intégrer la sécurité au flux de travail dès le départ la rapproche des équipes de développement et favorise une approche plus globale tout au long du processus. Même au stade de l’idéation, cela permet aux équipes d’adopter une approche davantage axée sur la sécurité.

Regardez l’enregistrement complet de la table ronde :

Play Video: Snyk Panel: Which Comes First, Security or the App?

Démarrez avec Snyk dans votre SDLC

Intégrez Snyk à votre SDLC et détectez les problèmes potentiels en analysant le code, les packages open source, les images de conteneurs et l’IaC.