La sécurité de la chaîne d'approvisionnement commence par des logiciels sécurisés

Pourquoi l'utilisation d'un cadre de développement d'applications sécurisées est importante

Au cours de l'année écoulée, les attaques contre la chaîne d'approvisionnement sont devenues plus fréquentes que jamais, faisant de la sécurité des fournisseurs une préoccupation majeure pour de nombreuses organisations. Aujourd'hui, les MSP sont dans une position où ils doivent déterminer le niveau de sécurité de leurs fournisseurs en amont, afin de protéger leur entreprise et leurs clients en aval.

Comment cela se produit-il ? Beaucoup de ces attaques sont rendues possibles par des faiblesses dans les processus de développement de la sécurité des logiciels. De nos jours, de nombreuses applications sont conçues pour la vitesse, la performance et la facilité d'utilisation, donnant la priorité à l'agilité plutôt qu'à la sécurité. C'est pourquoi la sécurité est souvent négligée lorsqu'il s'agit du développement d'applications. Pourtant, la couche applicative continue d'être une cible facile, comme en témoigne la majorité des attaques dont elle est la cible. Selon un rapport de recherche récemment commandé et rédigé par l'Institut Cyentia, "56 % des incidents les plus importants des cinq dernières années sont liés à une forme ou une autre de problème de sécurité des applications web..." En fait, de nombreuses brèches très médiatisées aujourd'hui sont le résultat direct des attaques d'applications web suivantes :

• Contrôles d'accès vulnérables – Situation dans laquelle un utilisateur non autorisé ou un pirate informatique parvient à modifier ou à supprimer du contenu, voire, pire encore, à prendre le contrôle total d'une application web.
• Attaques par injection et par script intersite : des attaques consistant à injecter du code malveillant dans une application web, ce qui entraîne souvent une perte ou une suppression de données, un déni de service, voire la compromission totale du système.
• Vulnérabilités de type « Server-Side Request Forgery » (SSRF) – Dans ce cas, un pirate parvient à amener une application web à renvoyer une réponse du serveur vers une destination différente ou inconnue, en contournant les pare-feu ou les listes de contrôle d'accès.
• Applications non mises à jour, non prises en charge et obsolètes – Au fil du temps, les pirates informatiques finissent par trouver des failles à exploiter, même dans les applications les plus robustes, d’où la nécessité de s’assurer que les applications et les systèmes de gestion sont pris en charge et à jour.

Il est plus clair que jamais que les applications logicielles sont essentielles aux opérations des fournisseurs de services informatiques aujourd'hui. La majorité des applications ont accès à des données précieuses, c'est pourquoi les dommages causés par l'exploitation d'une application web non sécurisée peuvent être énormes. Qu'il s'agisse de RMM ou d'une solution de continuité des activités, nous ne pouvons pas sous-estimer l'importance de veiller à ce que les applications soient conçues en tenant compte de la sécurité.

Datto a adopté le modèle de maturité de la sécurité des bâtiments (BSIMM)

Datto a toujours mis la sécurité au premier plan. Dans le cadre de notre engagement à protéger les MSP et leurs clients, nous nous sommes donné pour mission de définir la norme d'excellence en matière de sécurité pour les chaînes d'approvisionnement en logiciels. Ainsi, nous maintenons un haut niveau de sécurité tout au long du cycle de développement des logiciels et nous évaluons et améliorons constamment nos processus de développement d'applications afin de nous aligner sur les normes de sécurité les plus élevées.

La sécurité de la chaîne d'approvisionnement devenant plus importante que jamais, nous considérons la sécurité du développement d'applications comme une composante nécessaire et stratégique de notre activité. C'est pourquoi nous avons adopté le cadre BSIMM pour démontrer notre engagement envers la communauté des distributeurs en tant que fournisseur et partenaire sécurisé.

Qu'est-ce que le BSIMM ?

Le modèle BSIMM (Building Security In Maturity Model) est une étude des initiatives de sécurité logicielle en cours (à un moment donné) qui quantifie le développement de la sécurité des applications (appsec). Le BSIMM aide les organisations à planifier, mettre en œuvre et mesurer leurs initiatives de sécurité logicielle. Une évaluation BSIMM fournit une évaluation objective, ponctuelle et basée sur des données afin que les développeurs puissent continuellement améliorer la sécurité de leurs applications.

Les observations du BSIMM s'appuient sur un cadre composé de 12 pratiques de sécurité logicielle regroupées en quatre domaines : « Gouvernance », « Renseignement », « Points de contact SSDL » et « Déploiement », qui englobe actuellement 122 activités distinctes réparties sur trois niveaux de maturité. Le domaine « Gouvernance », par exemple, comprend des activités relevant des pratiques d'organisation, de gestion et de mesure d'une initiative de sécurité logicielle.

Pourquoi avons-nous choisi BSIMM et pas d'autres frameworks ?

• Le BSIMM est la référence mondiale en matière de sécurité logicielle : bien qu'il existe de nombreux cadres de référence en matière de sécurité des applications, le BSIMM est le seul à permettre aux organisations d'évaluer de manière formelle la maturité de leur programme de sécurité des applications par rapport à d'autres programmes de référence, en s'appuyant sur des données d'observation concrètes fournies par un organisme neutre.
• Le BSIMM reste toujours d'actualité : ce modèle est mis à jour chaque année, ce qui est unique, sur la base d'une observation continue des activités BSIMM menées par les entreprises participantes.
• Le BSIMM fournit des données d'évaluation indépendantes : cela nous permet de présenter à nos clients, partenaires et autorités de régulation l'état de la sécurité de nos logiciels en nous appuyant sur des données indépendantes et quantitatives.
• La communauté BSIMM : En participant au BSIMM, nous bénéficions d'un accès direct à des ressources, aux membres de la communauté et aux conférences annuelles, ce qui nous permet de rester au fait des dernières grandes tendances en matière de sécurité des applications, de collaborer à la résolution de défis techniques et de contribuer à l'amélioration des pratiques de sécurité des applications dans leur ensemble.

Datto prend la tête du classement

Sachant que le développement d'applications sécurisées est crucial pour la posture de sécurité globale de toute entreprise, Datto s'est engagé à mettre en œuvre l'outil et le cadre de référence de la sécurité des logiciels du BSIMM.

En effectuant la première évaluation BSIMM pour Datto Remote Monitoring and Management (RMM), Datto est sorti avec un classement stellaire, rivalisant avec les processus d'application sécurisés et le développement d'applications seulement réalisé par 128 des développeurs d'applications les plus sécurisés de l'industrie utilisés dans les principales institutions informatiques, financières et les entreprises du Fortune 500.

Résumé de l'évaluation de Datto RMM

• Les résultats de Datto ont dépassé l'objectif initial, en obtenant un score supérieur à la moyenne dans 8 des 12 pratiques
• Classé dans le top 20% des entreprises qui subissent leur première évaluation
• Son score se situe dans le top 5 des entreprises qui ont un groupe de sécurité logicielle de moins de deux ans.
• Datto réalise l'activité la plus importante liée à l'amélioration de la sécurité des logiciels : elle dispose d'un SSG dédié qui peut obtenir des ressources et conduire des changements organisationnels

Par rapport à la moyenne des notes élevées de tous les participants au BSIMM12, Datto se situe au-dessus de la moyenne en Stratégie & métriques, Conformité & politiques, Formation, Modèles d'attaque, Revue de code, Tests de sécurité, Tests de pénétration, et Gestion de configuration & Gestion des vulnérabilités. Les notes de Datto apparaissent proches de la moyenne dans les domaines Standards & Exigences, et Environnement logiciel. Les résultats de cette observation montrent également que les plans et les priorités de Datto sont bien alignés avec les recommandations et les conseils du BSIMM dans la poursuite d'une initiative de sécurité logicielle bien équilibrée.

"Datto réalise l'activité la plus importante liée à l'amélioration de la sécurité des logiciels : elle dispose d'un groupe dédié à la sécurité des logiciels qui peut obtenir des ressources et conduire des changements organisationnels."

Cette évaluation initiale témoigne de l'engagement constant de Datto en faveur d'un développement de code sécurisé, et prouve que Datto est le seul fournisseur informatique dédié à la communauté des MSP à avoir non seulement obtenu la validation BSIMM, mais aussi atteint ce niveau de score BSIMM.

Il n'a jamais été aussi important de prendre des décisions éclairées en matière de logiciels de sécurité et les conséquences en aval n'ont jamais été aussi critiques.

Contactez-nouspour en savoir plus sur l'évaluation BSIMM de Datto.