Du code sorti de la cage : pourquoi les développeurs sécurisés peuvent expédier sans limites

Cet article a été initialement publié dans SD Times. Il a été mis à jour et diffusé ici.

‍

La vérification des compétences a fait partie de notre vie pendant la majeure partie de l'ère moderne, car elle nous confère une validité et ouvre des portes qui ne seraient pas disponibles autrement. La conduite, par exemple, est un rite de passage important pour la plupart, et nous sommes censés passer une série d'évaluations standardisées pour confirmer que l'on peut nous faire confiance avec une machine de quatre mille livres, capable de parcourir plus de cent miles à l'heure. Les erreurs, surtout lorsqu'elles sont commises rapidement, peuvent vous coûter ce privilège, voire une vie humaine.

Et si, pour certains, conduire était plus qu'un simple confort au quotidien et devenait un métier d'élite ? Une personne peut poursuivre son parcours d'amélioration des compétences et devenir pilote de F1, où elle est autorisée à piloter des machines qui vont plus vite que ce que n'importe quel civil pourrait gérer de manière réaliste sans risque d'erreur énorme à haute vitesse.

À cette fin, il semble surprenant que la plupart des développeurs qui travaillent sur du code qui alimente des infrastructures critiques, des automobiles, des technologies médicales, etc., le fassent sans avoir préalablement vérifié leurs prouesses en matière de sécurité. D'un autre côté, pourquoi les développeurs experts en sécurité, qui ont prouvé à plusieurs reprises qu'ils savaient comment créer des objets en toute sécurité, doivent-ils faire la queue avec tous les autres acteurs des pipelines de développement de plus en plus lents à cause de toutes les barrières de sécurité ? L'industrie ne voit pas cela comme un oubli, c'est la norme.

Grâce à des recherches approfondies, nous savons que la plupart des développeurs ne donnent tout simplement pas la priorité à la sécurité dans leur code, et ne disposent pas de la formation régulière requise pour gérer de nombreux bogues de sécurité courants. Cela explique en partie pourquoi la sécurité à grande vitesse semble être une chimère, et de nombreux développeurs dotés de fonctionnalités de sécurité ont l'impression d'être coincés sur la voie lente de l'autoroute derrière un groupe d'apprentis conducteurs.

Malgré cela, le monde de la sécurité progresse lentement et il existe une demande croissante pour les développeurs qui possèdent des compétences en matière de sécurité vérifiées et capables de démarrer immédiatement. L'administration Biden Décret exécutif visant à améliorer la cybersécurité du pays appelle spécifiquement à l'évaluation des pratiques de sécurité des fournisseurs - et de leur cohorte de développement - pour tout fournisseur de la chaîne d'approvisionnement logicielle du gouvernement américain. Il va de soi que l'accent mis sur les compétences des développeurs en matière de sécurité ne fera que croître dans la plupart des secteurs, mais avec peu d'évaluations conformes aux normes du secteur, comment les entreprises peuvent-elles prouver que leur programme de sécurité développe des compétences vérifiables en matière de sécurité des développeurs sans pour autant compromettre la performance ou empêcher les développeurs soucieux de la sécurité de déployer leurs ailes ?

Contrôle d'accès basé sur le mérite : cela pourrait-il fonctionner ?

Les contrôles de sécurité basés sur le moindre privilège sont essentiels dans de nombreuses organisations, avec l'idée que chaque rôle se voit attribuer l'accès aux logiciels, aux données et aux systèmes en fonction des besoins dans le contexte de son travail, et rien de plus. Cette méthode, en particulier lorsqu'elle est associée à des principes d'autorisation Zero Trust, est utile pour exploiter toute l'étendue de la surface d'attaque. Et, vraiment, nous devrions postuler cette même stratégie pour les autorisations d'API, et d'autres cas d'utilisation basés sur des logiciels en standard.

Dans le secteur de la sécurité, la plupart d'entre nous sont parfaitement conscients du fait que les logiciels sont en train de dévorer le monde, et le code des systèmes intégrés qui font fonctionner votre friteuse à air n'est vraiment pas différent du code qui permet de maintenir le réseau électrique en bon état de fonctionnement, en termes de potentiel d'exploitation. Nos vies et nos données critiques sont à la merci des acteurs de la menace, et chaque développeur doit comprendre à quel point il peut renforcer son code lorsqu'il est correctement formé. Cela nécessite une mise à niveau sérieuse de la culture de sécurité d'une organisation, mais pour une véritable responsabilité partagée à la manière de DevSecOps, les développeurs ont besoin d'une raison de se soucier davantage du rôle qu'ils jouent, et peut-être que le moyen le plus rapide de changer d'état d'esprit serait de lier l'accès au référentiel de code à des résultats d'apprentissage sécurisés en matière de codage.

Si nous prenons l'exemple d'une organisation du secteur BFSI, il y a de fortes chances qu'il existe des référentiels hautement sensibles contenant des données clients ou stockant des informations précieuses telles que les numéros de cartes de crédit. Alors, pourquoi devons-nous partir du principe que chaque ingénieur auquel l'accès a été accordé est sensibilisé à la sécurité, est conforme aux exigences strictes de la norme PCI-DSS et est capable d'apporter des modifications à la branche principale rapidement et sans incident ? Bien que cela puisse être le cas pour certains, il serait beaucoup plus sûr de restreindre l'accès à ces systèmes délicats jusqu'à ce que ces connaissances soient prouvées.

Le défi est que dans la plupart des entreprises, la mise en œuvre d'un scénario « licence pour coder » serait ardue et, selon la solution de formation, un peu trop manuelle pour répondre à tout type d'objectif de sécurité en termes de rapidité. Cependant, la bonne combinaison de formation intégrative et d'outils peut être au cœur d'une stratégie de sécurité défensive dirigée par les développeurs.

Une intégration efficace de la formation n'est pas impossible.

Trouver des solutions de renforcement des compétences des développeurs qui répondent à la fois à des objectifs commerciaux à haute vitesse et à leur flux de travail représente la moitié de la bataille, mais faire un effort supplémentaire pour dépasser les formations de conformité de type « individualisé » est le seul moyen de commencer à constater une réduction significative des vulnérabilités au niveau du code. Et pour les développeurs qui ont réussi à faire leurs preuves ? Eh bien, le monde du codage leur appartient, et ils n'ont pas à être entravés par des contrôles de sécurité qui supposent qu'ils ne peuvent pas s'y retrouver dans les bases.

L'amélioration des compétences pratiques qui s'intègre parfaitement à l'environnement de développement fournit le contexte nécessaire aux ingénieurs pour réellement comprendre et appliquer les concepts de codage sécurisé. Ces mêmes intégrations peuvent être utilisées pour gérer efficacement l'accès aux systèmes critiques, garantissant ainsi que ceux qui excellent dans leurs résultats d'apprentissage travaillent sans entrave sur les tâches sensibles les plus prioritaires. Cela facilite également la mise en œuvre de récompenses et de reconnaissances, garantissant ainsi que les développeurs compétents en matière de sécurité soient considérés comme des ambitieux au sein de leur cohorte.

Comme beaucoup de choses dans la vie, la fortune sourit aux plus courageux, et briser le statu quo en adoptant une approche originale de la vérification des compétences des développeurs est exactement ce dont nous avons besoin pour améliorer les normes de demain en matière de qualité de code acceptable sans sacrifier la vitesse.