Table ronde WillowTree : la sécurité des organisations en hypercroissance

Les éditeurs de logiciels modernes proposent souvent de nombreuses choses à la fois. Leur activité ne se limite pas à un seul produit ou service : leurs outils de sécurité doivent suivre le rythme. Steve Kinman (CISO terrain, Snyk) et Adrian Guevara (responsable de la cybersécurité, WillowTree) ont récemment participé à une table ronde sur les défis que pose la mise en œuvre de la sécurité du code dans un environnement en constante évolution pour les organisations en hypercroissance.

WillowTree est une agence numérique qui crée des applications pour plusieurs entreprises du Fortune 500 très connues. En tant qu’agence, « WillowTree travaille avec de nombreux langages de programmation », explique Guevara. « L’un des défis dont nous allons parler ici, c’est qu’il ne s’agit pas d’un seul langage, d’une seule plateforme ou d’un seul produit. Nous créons des produits pour des entreprises, puis nous les leur remettons. » Alors que de nombreux projets à haut risque sont menés en parallèle, Guevara s’attache à concilier innovation et vigilance en matière de sécurité au sein de l’organisation.

Lors de la table ronde, Guevara a décrit comment il avait instauré des bonnes pratiques de sécurité et choisi un ensemble d’outils adapté aux besoins spécifiques de WillowTree.

L’évolution vers la sécurité

Lorsque Guevara, qui avait auparavant travaillé dans l’audit et la conformité, a pris ses fonctions actuelles, « les clients ne se préoccupaient pas vraiment » des mesures de sécurité internes de WillowTree. Il explique que la situation a radicalement changé ces dernières années. « Aujourd’hui, ils veulent connaître toutes les dépendances et s’assurer que vous n’utilisez pas de licences GPL et qu’il n’y a pas de vulnérabilités très médiatisées dans les conteneurs, les bibliothèques et les langages de programmation que vous utilisez. »

Cet intérêt pour la sécurité du code faisait écho aux efforts que Guevara menait en interne depuis ses six années chez WillowTree. À son arrivée, la sécurité reposait principalement sur l’analyse statique et, parce qu’elle était indépendante des processus de développement, entraînait des coûts élevés. Comme il devenait difficile d’agrandir directement les équipes de sécurité, le moyen le plus efficace d’améliorer la sécurité consistait à l’intégrer aux processus de développement. L’adoption d’un flux de travail de développement agile et moderne était essentielle pour WillowTree. Comme l’explique Guevara : « Nous avons fait de la sécurité la voie la plus facile, celle que les équipes suivent automatiquement, sans que nous ayons à intervenir beaucoup. »

L’adoption d’une approche de la sécurité axée sur les développeurs a commencé avec les développeurs seniors de WillowTree. En leur demandant de tester des outils de sécurité et de participer au processus de sélection, Guevara leur a donné la parole et l’occasion d’exprimer leurs besoins. Il a estimé que « convaincre le groupe des seniors était la première étape » vers une culture de sécurité réussie.

« L’avis des développeurs seniors comptait plus que le mien, car s’ils n’aiment pas l’outil, ils ne l’utiliseront pas. »

Adrian Guevara

Comme il l’a expliqué, passer de « la sécurité veut que nous fassions ça » à « Adrian veut que nous fassions ça » a été essentiel pour rapprocher les équipes de sécurité et de développement. Pour les équipes de sécurité, se montrer humain et expliquer l’importance de ses demandes « change toute la dynamique entre vous et le développeur ». Au bout du compte, les développeurs et les professionnels de la sécurité font tous partie de la même équipe. La communication et la collaboration sont indispensables à la réussite de la mise en production, et cela commence souvent par les outils choisis par l’équipe.

Choisir une plateforme de sécurité

Lorsque Guevara a commencé à évaluer les outils de sécurité destinés aux développeurs, il devait résoudre trois problèmes principaux. Les processus de sécurité en place chez WillowTree généraient trop de bruit, étaient trop lents et n’étaient pas viables, car ils restaient en dehors du flux de travail de développement. Les développeurs devaient penser à vérifier les analyses de sécurité, qui prenaient du temps et produisaient un grand nombre de faux positifs, puis intégrer les rapports de vulnérabilité à leur flux de travail au besoin — une étape souvent oubliée dans le tourbillon du développement. L’équipe de sécurité devait alors intervenir pour atténuer elle-même les vulnérabilités, puis transmettre les correctifs aux développeurs afin qu’ils les intègrent à la planification de leurs sprints. Avec toutes ces étapes à répéter à chaque fois, le processus est vite devenu intenable.

Snyk s’est démarqué pendant la période d’essai, car notre flux de travail reproduisait celui du développement agile que Guevara cherchait à mettre en place. Les développeurs aiment utiliser des technologies de qualité et, « grâce à cela, nous avons intégré Snyk aux IDE, aux demandes de fusion et à l’intégration continue, ce qui a rendu les choses beaucoup plus agréables. Je n’ai même pas eu besoin de former les équipes. Snyk expliquait mieux comment corriger un problème et pourquoi il était présent », explique Guevara. Pour l’équipe de WillowTree, développer les connaissances en sécurité et comprendre pourquoi certains correctifs étaient appliqués était essentiel pour instaurer une culture de sécurité mobilisant les développeurs. En comparant les outils, Guevara a constaté que « l’engagement avec leur outil précédent était d’environ 20 %. Avec Snyk, je l’ai vu passer à 90 % ». L’interface intuitive et facile à utiliser de Snyk a aidé l’équipe à produire du code sécurisé plus efficacement, avec un délai moyen de correction réduit de 58 %. « En moyenne, il nous fallait 60 jours pour résoudre les vulnérabilités ; maintenant, nous sommes à 25 jours », précise Guevara.

Les améliorations quantifiables apportées par Snyk étaient impressionnantes, mais elles n’ont pas été décisives. Pour Guevara, « la raison pour laquelle j’ai choisi Snyk, c’est le partenariat. Les faux positifs et le bruit ont diminué, et le flux de travail nous plaît déjà, mais est-ce que j’aurai un bon partenaire ? » De nombreux outils peuvent rechercher des vulnérabilités et fournir des rapports, mais le programme de sécurité en pleine croissance de WillowTree avait besoin d’un partenaire axé sur les développeurs, prêt à travailler avec l’équipe sur le long terme. « C’est le partenariat qui m’a vraiment convaincu. À l’époque, Snyk ne prenait pas encore en charge tous les langages de programmation, mais grâce à ce partenariat, j’ai obtenu des engagements pour ajouter ceux dont nous avions besoin, et jusqu’ici, cela a bien fonctionné », explique Guevara.

Concilier sécurité et innovation

WillowTree a poursuivi sa croissance rapide ces dernières années. Plusieurs expansions et acquisitions ont porté ses effectifs à 1 000 développeurs répartis dans trois entreprises. Chacune a ses propres exigences et processus, et, en tant qu’agence, WillowTree utilise aussi souvent les outils et systèmes de gestion des tickets de ses clients. Dans ce contexte, Guevara souligne que « Snyk est le fil conducteur qui relie tous ces projets ». Pour Guevara et son équipe, Snyk constitue le socle de la collaboration entre les différentes fonctions et a aidé WillowTree à élaborer et à maintenir des pratiques de sécurité adaptées au rythme soutenu des organisations en hypercroissance.

Que vous soyez une agence qui doit respecter diverses normes de sécurité de ses clients ou une organisation qui souhaite renforcer la sécurité du code de ses équipes internes, Snyk peut vous aider. Commencez votre essai gratuit dès aujourd’hui ou réservez une démo pour découvrir comment Snyk peut vous aider à développer rapidement tout en restant en sécurité.