Certains RSSI font de la pénurie de compétences en sécurité une opportunité

Alors que je me rends à San Francisco cette semaine pour assister à la RSA, je me prépare à de nombreuses discussions avec les RISO. Cela peut vous surprendre, mais la conversation avec de nombreux RSSI n'est pas heureuse ces derniers temps.

Ils savent que les risques de sécurité augmentent, mais nombre d'entre eux ne voient pas l'opportunité d'améliorer la sécurité. Ils pensent plutôt que leur organisation est plus susceptible que jamais d'être victime d'une violation de données ou d'une attaque de cybersécurité.

L'un des thèmes les plus fréquemment abordés dans mes conversations régulières avec les CISO concerne leurs préoccupations concernant la pénurie problématique de compétences en cybersécurité.

« Notre équipe de sécurité n'est pas assez importante pour la taille de notre équipe d'ingénierie ou de notre entreprise. »

« Notre équipe de sécurité continue d'être recrutée par des entreprises étrangères qui proposent des salaires extraordinaires et la possibilité de travailler et d'explorer d'autres continents. »

« Nos experts en sécurité sont trop occupés à combattre les incendies pour continuer à développer leurs compétences ».

Ce thème est étayé par plusieurs rapports de recherche, notamment une enquête réalisée par le Ponemon Institute en 2017, selon laquelle le « manque de personnel interne compétent » est arrivé en tête de toutes les autres formes de préoccupations des CISO en matière de cybersécurité en 2018.

Ce déficit critique de compétences en matière de sécurité ne devrait pas disparaître de sitôt, en particulier sur des marchés tels que l'Australie, où les meilleurs talents déménagent souvent à l'étranger et où les lois sur l'immigration compliquent de plus en plus le recrutement d'experts en sécurité étrangers dans le pays.

L'un des aspects intéressants de la pénurie de compétences en Australie est que l'incapacité de recruter des experts qualifiés a conduit à une attention positive au renforcement des compétences en matière de sécurité nationale. Comme Benjamin Franklin était censé l'avoir dit : « L'adversité engendre des opportunités ». Les gouvernements, les établissements d'enseignement, les entreprises et les start-up australiens travaillent sur des programmes visant à développer une gamme de compétences en matière de sécurité au niveau local.

L'adversité des compétences en matière de sécurité a certainement créé des opportunités dans le domaine du développement des compétences de codage sécurisé au sein des équipes de développement internes et externalisées. Étant donné que la plupart des principales failles de sécurité dans le monde peuvent être attribuées à des erreurs de codage et qu'une violation coûte en moyenne 3,6 millions de dollars américains, la sécurité des logiciels représente certainement une partie importante du défi de sécurité. L'une des dépenses les plus importantes (et en augmentation) des budgets de sécurité des applications est consacrée à l'identification réactive de la sécurité des applications et à la correction, les mêmes bogues se reproduisant souvent année après année.

Permettre aux développeurs d'écrire du code sécurisé dès le départ est l'occasion pour les RSSI de prendre le contrôle proactif de la situation en matière de sécurité et d'apporter des améliorations rapides, faciles et mesurables », tant pour les équipes de sécurité que pour les équipes de développement.

Il ne s'agit pas de remplacer les experts en sécurité par des développeurs, mais plutôt d'impliquer les développeurs sur les questions de sécurité, d'intégrer la sécurité dans leur état d'esprit quotidien et de leur apprendre à coder en toute sécurité de manière amusante, efficace et efficiente. Il en résultera qu'une expertise limitée en matière de sécurité pourra être mieux utilisée pour trouver et corriger les bogues complexes et réellement difficiles, plutôt que pour traiter les mêmes anciennes vulnérabilités.

Pour certains RSSI, tout cela peut sembler trop beau pour être vrai, ou trop difficile à mettre en œuvre, mais la vérité est que ce n'est ni l'un ni l'autre. Chez Secure Code Warrior, nous avons vu de plus en plus de RSSI saisir cette opportunité et transformer ainsi la vie professionnelle des équipes de sécurité et de développement.

Les banques australiennes sont l'un des groupes de RSSI qui ont joué un rôle de premier plan au niveau mondial en matière de développement d'un état d'esprit et de compétences solides en matière de sécurité chez leurs développeurs de logiciels. Les banques australiennes ont été les premières à adopter cette approche en 2016 et 2017. Les six plus grandes banques du pays encouragent et mobilisent désormais activement leurs équipes de développement pour développer des compétences de codage sécurisées grâce à notre environnement d'apprentissage en ligne, adapté à votre rythme et gamifié. Les banques examinent également régulièrement les indicateurs et les rapports en temps réel afin de vérifier les forces et les faiblesses de leurs développeurs et de leurs équipes.

Des résultats tangibles et positifs découlent de cette approche, notamment une réduction de l'apparition de vulnérabilités courantes, une sensibilisation accrue des développeurs à la sécurité et une amélioration des relations entre les équipes de sécurité et de développement. Les entreprises qui investissent dans la formation de leurs développeurs à coder en toute sécurité réduiront la pression sur leurs talents actuels en matière de sécurité et réduiront leur exposition à la sécurité logicielle.

Si vous êtes un CISO (ou si vous en connaissez un) et que vous vous sentez déprimé par la situation en matière de sécurité au sein de votre organisation, je vous encourage à réfléchir à un moyen simple de marquer des points d'amélioration de la sécurité positifs et tangibles. Donnez à vos développeurs les moyens d'apprendre à coder en toute sécurité de manière pertinente, positive et amusante. Vos équipes de sécurité et de développement vous en seront reconnaissantes et vous réduirez également les coûts et les retards liés à l'innovation et au développement de produits. Je parie que cela ouvrira la voie à de nombreuses conversations positives sur la sécurité _...

Permettre aux développeurs d'écrire du code sécurisé dès le départ est l'occasion pour les RSSI de prendre le contrôle proactif de la situation en matière de sécurité et d'apporter des améliorations rapides, faciles et mesurables », tant pour les équipes de sécurité que pour les équipes de développement.