Le défi : détecter et corriger les vulnérabilités sans ralentir les équipes
DFDS possède une riche histoire : il y a 150 ans, l’entreprise transportait du fret et des marchandises ; aujourd’hui, elle gère des opérations logistiques partout dans le monde. DFDS comprend deux grandes divisions : la division Ferry, qui transporte des marchandises et des passagers sur les lignes de ferry européennes, et la division Logistics, qui propose des solutions de transport et de logistique.
La division Logistics de DFDS propose à ses clients divers outils numériques, notamment des services de suivi des expéditions en temps réel, de simplification du dédouanement et de réservation de chargements. En coulisses, l’équipe DFDS compte plus de 200 développeurs qui assurent la maintenance et l’évolution de cette gamme de produits.
Lors d’un audit complet de leur pipeline de développement, notamment de leurs applications et de leurs environnements cloud, l’équipe DFDS a découvert d’importantes lacunes en matière de visibilité sur la sécurité. Elle a également constaté des niveaux de maturité très variables au sein de l’organisation. Certaines équipes avaient une meilleure visibilité sur le nombre de vulnérabilités et une bonne maîtrise de la sécurité des applications, tandis que d’autres n’en avaient pas. Chaque équipe utilisait aussi sa propre combinaison d’outils open source et commerciaux, au lieu d’adopter une approche standardisée de la sécurité.
L’équipe DFDS avait besoin d’une nouvelle solution pour harmoniser les pratiques de sécurité dans toute l’entreprise. Il était toutefois tout aussi important que ces contrôles ne restreignent pas les développeurs et ne ralentissent pas leur travail.
« Il s’est avéré que le plus grand risque était le manque de visibilité sur notre chaîne d’approvisionnement », explique John Smith, architecte de domaine – SecOps. « Nous avons constaté des niveaux de maturité différents d’une équipe et d’une tribu à l’autre. »
La solution : Snyk Open Source et Snyk Code
L’équipe DFDS a décidé d’utiliser Snyk Open Source et Snyk Code dans ses équipes de développement, afin de sécuriser le code interne comme le code tiers. Elle a choisi Snyk pour sa simplicité de mise en œuvre et ses fonctionnalités de reporting avancées.
« Avec bon nombre des solutions de remplacement que nous avons étudiées, il fallait toujours ajouter un fichier YAML ou un fichier de configuration dans chaque dépôt », explique John. « Le problème, c’est que si je vais voir les responsables produit pour leur dire : “J’ai besoin que vous créiez un ticket ou un PBI pour chaque dépôt”, ils vont me répondre qu’ils n’ont pas le temps. Comme Snyk ne présente pas cet obstacle, j’ai pu élaborer un processus de déploiement qui ne nécessitait aucune intervention des responsables produit. »
L’équipe DFDS a également apprécié que Snyk puisse servir de « compagnon de sécurité » à chaque développeur, quel que soit son niveau d’expertise. Elle a commencé à utiliser Snyk Learn depuis la plateforme pour renforcer la sensibilisation à la sécurité.
Selon John : « L’important était d’amener les gens à comprendre, ou au moins à commencer à réfléchir à l’application d’un état d’esprit axé sur la sécurité au cours du sprint. Et aussi à se dire : “… examinons les données dont nous disposons actuellement et essayons de réduire le nombre des problèmes les plus graves”. »
Les bons outils et la bonne formation pour réussir en matière de sécurité
Après avoir déployé les solutions Snyk pour le code interne et tiers et utilisé Snyk Learn pour former les développeurs, l’équipe DFDS a constaté un intérêt plus général pour la correction des problèmes de sécurité. Les développeurs allaient plus loin pour détecter et corriger les vulnérabilités. La sécurité des applications, auparavant perçue comme un problème insurmontable auquel personne ne s’attaquait, est devenue une initiative réalisable et stimulante pour les équipes de développement.
« Depuis la mise en place de Snyk, on nous pose beaucoup de questions : “Qu’est-ce que c’est ? Qu’est-ce qu’une CVE ? Qu’est-ce que MITRE ?” », raconte John. « Les gens commencent donc à lire les détails des vulnérabilités dans Snyk Learn et à chercher à comprendre, par exemple, ce qu’est une injection SQL. Cela montre qu’avec Snyk, nous contribuons indirectement à créer une culture de la curiosité. Et la curiosité en matière de sécurité, c’est formidable : si nous pouvons la transformer en engagement et faire de ces personnes des référents en sécurité, elles auront de l’influence au sein de leur équipe. »
Résultats : moins de vulnérabilités et une curiosité accrue
Depuis l’adoption de Snyk, l’équipe DFDS a réduit de 50 % le nombre total de vulnérabilités. Il y a quelques semaines, elle a également signalé qu’il ne restait aucune vulnérabilité critique ancienne. Elle prévoit ensuite d’intégrer davantage Snyk aux IDE utilisés par ses équipes de développement, afin d’encourager l’adoption continue de l’outil.
« Grâce aux contrôles qualité et aux sprints consacrés à la sécurité, [les développeurs] peuvent consacrer beaucoup moins de temps aux vulnérabilités critiques dans leur travail quotidien. »
Grâce à Snyk, DFDS peut adopter une approche proactive de la sécurité et permettre aux développeurs de publier rapidement et en toute sécurité de nouvelles offres et mises à jour.