Le défi : adopter des outils de test de sécurité modernes
Le défi auquel Visma est confrontée consiste à assurer la sécurité d’un ensemble diversifié de stacks technologiques.
« Nous sommes une grande entreprise, mais nous sommes constitués de plus de 200 petites entreprises ou équipes réparties dans de nombreux pays », explique Per Olsson, conseiller en sécurité des applications chez Visma. « Cela complique les choses lorsqu’il s’agit de gérer un programme de sécurité centralisé à grande échelle.
C’est pourquoi l’entreprise est toujours à la recherche des outils de sécurité les plus modernes afin d’améliorer en permanence sa posture de sécurité.
« Nous cherchons régulièrement à savoir si nous utilisons les meilleurs outils disponibles, et nous avons conclu que ce n’était peut-être plus le cas pour nos outils actuels », précise Nicolai Brogaard, responsable des services d’analyse de la composition des logiciels (SCA) et de tests de sécurité des applications statiques (SAST) chez Visma. « Nous avons souhaité passer à une nouvelle génération d’outils de test de sécurité. »
La solution : le choix d’une solution au service des développeurs
Lorsque Visma évaluait les outils de sécurité, les deux critères déterminants étaient la capacité à intégrer automatiquement les développeurs et à fournir une interface intuitive. Snyk Open Source permet aujourd’hui à plus de 140 équipes de développement de détecter et de corriger les vulnérabilités dans les dépendances tierces qu’elles utilisent. L’interface intuitive de Snyk a encouragé les développeurs à adopter cet outil et à s’approprier la sécurité sans friction.
« La mesure clé du succès est la simplicité d’intégration d’un outil », explique M. Brogaard. « Il n’est pas facile d’introduire de nouveaux outils, en particulier dans le domaine de la sécurité. Il faut prouver que cet outil présente des avantages significatifs, et en ce qui concerne Snyk, tout le monde s’est accordé à dire que c’était le cas. »
En outre, Visma Cloud Delivery Model (VCDM) est la structure de gouvernance interne de l’entreprise, qui comprend Visma Application Security Program (VASP). Dans ce cadre, Visma dispose d’un indice de maturité qui mesure chacune de ses entreprises sous-jacentes à l’aide de nombreux paramètres, notamment le niveau d’intégration des outils de sécurité et le nombre de vulnérabilités non traitées. L’API Snyk permet à Visma d’extraire facilement ces données de tous les projets comprenant du code.
L’approche plug-and-play de Visma avec Snyk
Compte tenu de la taille et de la diversité des stacks technologiques de Visma, les intégrations fournies par Snyk étaient également déterminantes. Il n’y a pas de limites de gouvernance aux outils que peut utiliser chaque équipe de développement, si ce n’est qu’elle doit mettre en œuvre les outils de test de sécurité que l’équipe de sécurité a choisis. C’est pourquoi le solide écosystème de plugins et d’intégrations de Snyk a été un facteur décisif pour permettre aux développeurs de Visma d’utiliser en toute sécurité les outils de leur choix.
Le problème avec beaucoup de ces outils de test de sécurité est qu’ils nécessitent un si grand nombre de connaissances de base qu’une simple approche plug-and-play dans votre environnement n’est pas vraiment possible », constate M. Brogaard. « L’un des facteurs de différenciation de Snyk est donc de permettre aux développeurs de démarrer rapidement par eux-mêmes. »
L’impact : visibilité sur les vulnérabilités dans 20 000 projets
Depuis la mise en œuvre de Snyk, Visma a réalisé à ce jour plus de 600 000 tests sur plus de 20 000 projets contenant du code. La majorité de ces tests ont été lancés automatiquement au cours du processus de développement. Grâce à ces efforts, Visma a pu réduire les vulnérabilités de gravité élevée de 65 % et les vulnérabilités de gravité critique de 39 %.
Vous souhaitez en savoir plus sur le parcours de Visma ? Regardez la présentation de l’entreprise lors de la SnykCon 2021 : Leçons tirées de la création d’un programme AppSec au service des développeurs.