Comment mesurer la sécurité des applications : indicateurs, outils et KPI

De nombreuses organisations ont mis en place une forme de programme de sécurité des applications en adoptant des outils et des processus tels que les tests statiques de sécurité des applications (SAST), l’analyse de la composition logicielle (SCA) ou une culture DevSecOps. S’il est important de mettre en œuvre ces pratiques de sécurité des applications, il est tout aussi essentiel d’en évaluer l’efficacité.

Mesurer la réussite de votre programme de sécurité des applications est essentiel pour gérer les risques et faire évoluer le programme au fil du temps. Dans cet article, nous verrons pourquoi il est important de mesurer les résultats en matière de sécurité logicielle, quels indicateurs clés suivre et quels outils utiliser pour recueillir ces données.

Pourquoi les indicateurs AppSec sont-ils importants ?

S’il est important de choisir les bonnes solutions et les bons processus de sécurité des applications, les organisations doivent aussi démontrer leur efficacité au fil du temps. Les indicateurs de sécurité des applications donnent une vision claire de ce qui fonctionne ou non, afin de garantir l’efficacité de votre équipe.

Mesurer la réussite de votre programme de sécurité des applications contribue également aux objectifs suivants :

• Gestion des risques. Il est impossible d’éliminer tous les risques dans un cycle de développement moderne. Toutefois, les indicateurs permettent aux équipes de sécurité de décider quels risques non critiques elles sont prêtes à accepter et de déterminer quels risques critiques pour l’activité doivent être traités immédiatement. 

• Adhésion de la direction. Les indicateurs de sécurité issus des outils mettent en évidence les réussites, le ROI et les axes de développement d’un programme AppSec, ce qui aide les équipes de sécurité à obtenir l’adhésion de la direction. Ils permettent aussi aux dirigeants de prendre des décisions éclairées pour améliorer le programme de sécurité des applications.

• Meilleure collaboration entre les équipes. Les équipes de sécurité peuvent renforcer la confiance des équipes d’ingénierie en démontrant l’efficacité des outils et pratiques AppSec qu’elles ont choisis. Les indicateurs peuvent aussi aider les développeurs à sécuriser leur propre code. Lorsque ces équipes constatent concrètement que les efforts de sécurité portent leurs fruits, elles sont plus susceptibles d’adopter les pratiques AppSec au quotidien. 

• Conformité. Des réglementations telles que SOC2 obligent les organisations à fournir des données quantitatives sur leurs efforts en matière de sécurité des applications. Les entreprises ont tout intérêt à recueillir ces indicateurs de façon proactive, avant qu’un auditeur ou un client potentiel ne les leur demande.

• Amélioration globale de la posture de sécurité. Les indicateurs donnent à votre équipe une feuille de route claire : ils montrent quels outils et processus sont efficaces et lesquels doivent être améliorés. En vous appuyant sur des données concrètes pour développer votre programme de sécurité des applications, vous renforcerez votre posture de sécurité au fil du temps.
  

Quels KPI de sécurité devez-vous suivre ?

Les équipes doivent évaluer l’efficacité de leur programme AppSec sous plusieurs angles. En suivant différents KPI, elles peuvent vérifier que leur programme de sécurité des applications répond aux besoins et à la structure propres à leur organisation. Voici cinq indicateurs pour commencer :

1. Vulnérabilités exploitables. Combien de vos ressources présentent des vulnérabilités exploitables et accessibles ? Combien d’entre elles affichent un score CVSS élevé ou critique ?

2. Conformité aux référentiels. Dans quelle mesure votre programme respecte-t-il les référentiels de conformité tels que FEDRamp, SOC2, PCI et ISO ? Répondez-vous aux exigences propres à votre secteur et à votre région, comme HIPAA ou le RGPD ?

3. Respect des politiques de l’organisation. Quel pourcentage de vos applications respecte les politiques de sécurité internes ? Ces politiques propres à l’entreprise portent souvent sur les applications critiques pour sa mission et sur d’autres priorités opérationnelles.

4. Délai de correction. Combien de temps faut-il aux équipes de sécurité et de développement pour corriger les vulnérabilités majeures détectées par un outil ?

5. Couverture des outils. Votre couverture globale présente-t-elle des lacunes que votre équipe doit combler ? Ces indicateurs sont particulièrement importants pour les entreprises récemment acquises ou fusionnées, car elles apportent probablement de nouvelles ressources critiques qui ne sont pas couvertes par les outils de sécurité existants.

Outils pour mesurer la réussite en matière de sécurité des applications

Comment les équipes peuvent-elles commencer à recueillir ces précieux indicateurs ? Plusieurs outils permettent de mesurer la sécurité des applications. Parmi les solutions AppSec les plus courantes, on trouve :

• Tests statiques de sécurité des applications (SAST) - Les outils SAST empêchent l’introduction de vulnérabilités dans votre base de code. Ils analysent le code propriétaire dans votre IDE ou à différentes étapes de votre pipeline CI/CD. 

• Analyse de la composition logicielle (SCA) - Les outils SCA analysent les packages et dépendances open source à la recherche de vulnérabilités. En associant les données SCA aux résultats des analyses SAST, les équipes obtiennent une meilleure compréhension de la posture de sécurité de leur code propriétaire et tiers.

• Sécurité des conteneurs. La sécurité des conteneurs détecte les lacunes de sécurité dans les charges de travail conteneurisées. Elle porte sur l’analyse des vulnérabilités, du pipeline à la production, puis suggère des mesures correctives, comme remplacer une image de base non sécurisée par une version plus sûre.

• Outils de sécurité cloud. Les outils de sécurité cloud, comme la gestion de la posture de sécurité cloud (CSPM) et les outils de sécurité IaC, aident les équipes à repérer les erreurs de configuration cloud dans leurs environnements. 

• Outils de développement. Lorsqu’ils sont connectés à un outil de sécurité (par exemple, une plateforme ASPM), les indicateurs issus des outils SCM tels que GitHub ou Bitbucket peuvent renseigner sur la maturité de votre programme AppSec. Le regroupement des activités de ces outils dans votre plateforme ASPM met en lumière les réussites et les lacunes de votre approche AppSec actuelle.

Comment l’ASPM aide les entreprises à tirer parti de la mesure AppSec  

Chaque solution AppSec fournit des informations précieuses, mais les organisations peinent encore à mesurer leurs résultats en raison de la disparité entre les outils. Par exemple, examiner uniquement les indicateurs d’un outil SCA donne une vision incomplète des risques liés aux applications, car cela ne tient pas compte de la sécurité du code propriétaire, des conteneurs, etc. Vous pouvez gagner en efficacité et réduire le bruit en centralisant toutes vos données de sécurité dans une plateforme de gestion de la posture de sécurité des applications (ASPM).

Les outils ASPM regroupent les données de vos ressources et outils de sécurité existants pour vous donner un contexte détaillé sur votre posture de sécurité globale. L’ASPM joue le rôle de « tour de contrôle aérien » de votre programme AppSec en offrant une visibilité complète sur votre environnement applicatif et les mesures de sécurité déjà en place.

Une plateforme de sécurité unifiée facilite grandement les échanges avec les équipes d’ingénierie. Au lieu de classer les problèmes par type de vulnérabilité, un indicateur souvent peu utile aux ingénieurs, vous pouvez examiner leur emplacement exact, ainsi que la finalité métier et les responsables de chaque application concernée. 

Une plateforme ASPM fournit également une évaluation plus précise de la santé globale du programme grâce à des analyses améliorées. Elle quantifie aussi le risque global pour l’activité associé à des vulnérabilités spécifiques. Cette vision complète du programme de sécurité des applications fournit aux équipes dirigeantes les données nécessaires pour déterminer ce qui fonctionne et ce qui doit être amélioré. La direction peut alors s’appuyer sur ces données précises pour repérer et combler les lacunes.

Les informations métier, les analyses de sécurité et les indicateurs de performance issus de la mesure de votre programme AppSec sont essentiels pour protéger vos applications contre les risques. En regroupant tous ces indicateurs dans un tableau de bord unique, vous transformez des mesures disparates en informations exploitables. Découvrez comment l’ASPM peut aider votre organisation à obtenir une vision complète des mesures de sécurité de vos applications.

FAQ