Assurance Qualité en cybersécurité

Face au fléau qu'est devenue la cybercriminalité, la sécurité s'impose comme une préoccupation majeure au sein de toutes les entreprises. À commencer par celles qui s'apprêtent à initier un nouveau projet digital. Il n'y a plus de cibles insignifiantes. Les petites sociétés ont été identifiées comme maillons faibles par les hackers. Surtout les plus talentueuses. Elles sont désormais ciblées pour toucher par la bande leur clientèle de grands groupes plutôt armées contre des attaques frontales. Tous et toutes vivent ainsi dans la menace d'un effet domino descendant des bureaux jusqu'à la production.

Le grand réveil ?

ll est toujours trop onéreux de réparer ce que l'on aurait gagné à bien penser d'entrée. Mieux vaut donc éviter tout sentiment d'impunité autre que fondé sur des tests d'immunité. Un test initial de Véracode mené sur 23 000 entreprises a révélé que 83% de leurs 85 000 applications présentaient au moins un défaut de cybersécurité. Mais que faut-il tester ? Quand et comment ? Il n'existe pas de solution unique contre une cybercriminalité aux multiples visages. C'est entreprise par entreprise que doivent être définis le périmètre et le scénario de toute démarche qualité en cybersécurité.

Tester le diagnostic

Les premières mesures à prendre sont heureusement universelles : estimation de vulnérabilité + test de pénétration. Ces précautions de base permettent d'arrêter de subir pour commencer à gérer. Les petites entreprises comme les grandes vont bientôt s'engager dans cette voie afin d'éviter rançons, vols et dommages. Mais aussi pour répondre à des demandes de clients et satisfaire aux exigences des certifications et normes industrielles à venir. L'arsenal anti-hackers dispose en ce sens des deux armes lourdes pour passer en mode actif : les diagnostics d'experts anti-intrusions et les scanners de vulnérabilité. Nous voici au seuil de la sécurisation automatique.

Conseils de Tech Leaders

La cybersécurité demande à être pensée en termes stratégiques. Le plus en amont possible. Les Tech Leaders interviewés par Forbes sur leurs best practices face aux hackers sont unanimes sur ce point. C'est pourquoi la sécurité digitale gagne idéalement à être intégrée dès la définition des critères de qualité d'un nouveau projet. Le nouveau motto est désormais : QUALITE = SECURITE. En décodé : une prise en compte des attentes des utilisateurs et une intégration simultanée des mesures de sécurité concourent à l'établissement d'une Assurance Qualité blindée.

Assurance automatique

Stocker des données sensibles de ses clients crée le devoir de faire siennes leurs préoccupations de sécurité. Et ce qui vaut pour les plateformes d'infogérance géantes est tout aussi valable pour le service compta d'une PME. La hausse généralisée du niveau d'exigence trouve sa solution la plus aboutie dans l'intégration de procédures de tests automatisées dès la phase conception. Les premières vagues de tests peuvent ainsi produire d'entrées de premiers gains en qualité de sécurité. Paroles de Tech Leaders !

Partout et à tout moment

En l'absence de solution universelle , les experts en tests de cybersécurité ont développé une méthode pointue augmentée d'automatisations. Le but étant d'aider les entreprises à penser sécurité asap et juste. L'Application Security Testing (AST) a été mise au point pour permettre de tout tester n'importe où et n'importe quand dans l'ensemble du cycle de vie d'une solution logicielle. Le processus peut démarrer dès qu'un artefact probant a été généré.

Orchestration en AST

L'AST offre la possibilité précieuse de tester immédiatement conformité, adhérence, fiabilité, résilience… et donc qualité et sécurité. Elle permet aussi de retrouver le loisir de ne pas tout tester en permanence. Se libérer l'esprit est le premier bénéfice d'une orchestration globale millimétrée. En AST, le reste suit automatiquement. L'Application Security Testing permet de programmer un parcours d'amélioration progressif par étapes vers un succès pensé sur le long terme. Les procédures de tests accroissent encore la pertinence de cette démarche en l'enrichissant de faits concrets.

Flux détendus

En bottom-up, les expressions de besoins en matière d'automatisation et de « test everything » des groupes d'ingénieurs n'en sont que plus précises. Ce sera ici une barrière de sécurité et là toute une transformation digitale ! En top-down, se communique symétriquement la vision stratégique des changements culturels à favoriser au niveau des procédures et usages internes.

Sécurité = Tests

L'automatisation des tests garantit leur pertinence et leur efficience face à des menaces actives 7/7 et H24. Les interventions qui s'imposent sont non seulement identifiées mais aussi programmées dans le temps pour survenir uniquement au moment opportun dans le cadre d'une vision globale. Un engagement des équipes de sécurité dès ce niveau est gage d'une politique de management des risques plus efficace. Une stratégie fondée sur les seuls aspects techniques ne pourrait clairement pas s'avérer fructueuse. Elle n'inscrirait aucunement la cybersécurité dans la culture de l'entreprise.

Assurance Qualité

Il résulte de la mise en place d'une Assurance Qualité la garantie que le projet sera mené avec la même rigueur et le même esprit du build au run. Les différents intervenants pourront se succéder sans que le fil se perde. La prise en compte de toute demande d'intervention potentiellement génératrice d'un gain en sécurité présuppose un impératif stratégique ou technique précis. Des prérequis sont exigés. Des jalons posés. Tout a été planifié, cartographié pour faciliter l'avancée en ligne droite. Des contrôles aux contrôles de contrôles et à l'automatisation des contrôles de contrôles. Avec, pour chaque cycle, les gains en qualité conséquents à la clé.

Nouveaux Supermen

L'heure est à une recherche élargie de sécurité dans la qualité. Et de qualité dans la sécurité. Dans ce contexte de sensibilisation et d'acculturation de l'interne, est né un nouveau métier : les « Security Champions ». Leur rôle consiste à incarner l'esprit et la lettre de l'Assurance Qualité établie pour intégrer les mesures de cybersécurité dans une stratégie globale. Les Security Champions viennent gonfler les rangs de la défense au sein des entreprises dans ce cadre normé pensé sur mesure. Leur mission est triple. Connaître tous les motifs de recourir à des tests. Définir précisément le périmètre à tester. Savoir quand lancer un test de vulnérabilité.

Devenir balèze en cybersécurité

Bienvenue aux Security Champions ! Ces ambassadeurs de l'Assurance Qualité en entreprise sont des interlocuteurs rêvés pour les spécialistes en cybersécurité transversaux. Car les hyper-spécialistes de cette hyper-spécialité qu'est aujourd'hui la cybercriminalité sont rares. Et il faudra bientôt de nombreux Cyber Experts accrédités dans le cadre des Certifications. Ne pas rester les bras croisés. AODB ouvre des séances et des parcours de formation en cybersécurité. Avis aux candidats à la tranquillité…