L'évolution du programme de sécurité des applications de Datto et du BSIMM
La sécurité a toujours été, et reste, l’une des priorités absolues de Datto dans le cadre de nos efforts visant à fournir les meilleures solutions de leur catégorie à nos partenaires. La sécurité ne pouvant être assurée de manière isolée, mais nécessitant l’engagement et le dévouement de l’ensemble de l’organisation, nous nous efforçons sans cesse de rechercher des opportunités pour améliorer la collaboration avec toutes les parties prenantes. Cela signifie qu’à tout moment, nous menons de nombreuses initiatives et améliorations en matière de sécurité, que nous réévaluons et hiérarchisons en permanence. Notre agilité nous permet de rester flexibles et ouverts aux besoins de nos partenaires et de la communauté en matière de sécurité. Dans le cadre de cet effort, Datto a récemment mis à jour son programme de divulgation des vulnérabilités (VDP), dont j’ai parlé ici. Compte tenu du moment et du sujet, j’ai estimé que c’était également une bonne occasion de retracer brièvement l’histoire de l’une de nos initiatives les plus transformatrices en matière de sécurité chez Datto.
Le parcours de la construction de produits sécurisés avec un framework de premier ordre
En 2019, plusieurs ingénieurs de Datto se sont lancés dans notre démarche « Building Security In Maturity Model » (BSIMM). Forts d’une équipe composée de deux ingénieurs en sécurité intégrés et d’un architecte de sécurité, nous avons commencé à rechercher un moyen d’améliorer de manière globale le programme de sécurité des applications de Datto, de façon pertinente, structurée et mesurable. Nous avons choisi de commencer par nous inspirer du BSIMM. Conformément à notre culture agile, nous recherchions des initiatives faciles à mettre en œuvre et susceptibles d’avoir un impact positif sur la sécurité de nos produits. Il s’agissait d’une première étape importante, car elle nous a non seulement donné le temps de comprendre le BSIMM, mais aussi de commencer à identifier et à documenter les axes d’amélioration. Cela nous a ensuite permis de cerner la portée et l’ampleur d’une partie du travail que nous devions et souhaitions accomplir. Alors que ce travail commençait à prendre de l’ampleur, notre responsable de programme, Emilyann Fogarty, s’est impliquée et a contribué à faire connaître le programme, à sensibiliser les équipes et à rallier le soutien nécessaire à sa mise en œuvre.
Parallèlement à nos travaux sur le BSIMM, nous avons évalué d’autres cadres de sécurité des applications susceptibles de nous convenir, notamment ceux du NIST et de l’OWASP Open SAMM. Bien que nous ayons reconnu la valeur de ces cadres et que nous envisagions d’en intégrer certains éléments dans le cadre de sécurité des applications de Datto, ils se traduisent par une auto-attestation et n’offrent pas la possibilité d’une évaluation par un tiers impartial. Ces autres cadres sont également de nature statique, alors que la sécurité évolue à un rythme effréné. Le BSIMM reste d’actualité et fait l’objet d’une maintenance régulière, avec des mises à jour annuelles qui intègrent les nouvelles fonctionnalités utilisées par certains des meilleurs programmes de sécurité au monde pour protéger leurs applications.
A l'époque, nous avons estimé qu'il aurait été insuffisant de tirer parti d'un cadre qui n'était pas proactif dans l'identification et la mise en évidence des capacités et pratiques importantes en matière de sécurité. Parce que nous nous imposons les normes les plus élevées au nom de la communauté des MSP, nous avons choisi de commencer avec le seul cadre qui offre le plus haut niveau d'assurance vérifiable par le biais d'une évaluation par une tierce partie. En réalisant une évaluation BSIMM, Datto rejoindrait une cohorte de plus de 120 organisations soucieuses de la sécurité, principalement dans les services technologiques et financiers, y compris Cisco et Paypal, qui aident à établir la base de référence par leur participation. Datto deviendrait ainsi le premier, et jusqu'à présent le seul, fournisseur 100 % axé sur les canaux de distribution IT à devenir membre de cette cohorte.
Grâce à l’aide d’Emilyann et à une meilleure compréhension de nos objectifs avec le BSIMM, nous avons commencé à définir et à mettre en place notre programme BSIMM au-delà du périmètre de nos produits individuels. Tout d’abord, nous avons entamé le processus de constitution de notre « satellite » en sollicitant des volontaires au sein des départements d’ingénierie logicielle de Datto. C’est ainsi qu’est né notre programme « Security Champion ». Pour soutenir et donner les moyens d’agir à ce groupe de personnes, nous avons fait appel à une équipe de responsables techniques qui sont finalement devenus le noyau dur de notre groupe dédié à la sécurité logicielle. Ce groupe a été chargé de contribuer à la gestion et à la supervision du programme BSIMM.
J’ai eu le privilège d’être nommé l’un des premiers « Security Champions » au début de l’année 2020. Mon intégration au sein de l’équipe « Autotask Professional Services Automation (PSA) » de Datto m’a permis de voir notre réseau de « Security Champions » se développer. Ce qui n’était au départ qu’un groupe de trois membres de l’équipe de sécurité s’est rapidement transformé en un réseau comptant bien plus de 30 « Security Champions », DevSecOps et autres bénévoles et collaborateurs, intégrés et répartis (je suis fier de le dire) dans chacun de nos produits. Cette partie de notre programme a atteint un tel niveau de maturité que, bien qu’Infocyte soit une acquisition très récente pour Datto, la question de l’intégration d’un « Security Champion » dédié a été incluse dès les premières étapes de la due diligence et des processus de planification du partenariat.
La nouvelle génération de sécurité des applications chez Datto
Alors que la portée et l'échelle de l'initiative de sécurité des applications de Datto continuaient de croître, il est devenu évident que nous avions besoin d'une équipe plus centralisée pour aider à coordonner ce travail de sécurité qui s'accélérait. C'est ainsi qu'est né le département de sécurité des applications de Datto, nouvellement formalisé et dédié. Alors que la sécurité des applications existait déjà au sein de Datto, elle a été combinée avec le département de sécurité offensive, ce qui signifie que l'équipe était responsable à la fois de la sécurité des applications et de la sécurité offensive. Au fur et à mesure de la croissance de Datto et de l'augmentation des activités liées à la sécurité des applications et au BSIMM, la nécessité de créer un département distinct pour la sécurité des applications s'est imposée. Cette restructuration a permis à l'équipe de sécurité offensive de se concentrer sur des activités très spécifiques telles que le Pentesting, le Red Teaming, l'Exploit R&D et l'ingénierie sociale. Elle a également permis à la sécurité des applications de se concentrer uniquement sur l'aide apportée à nos produits pour créer des logiciels sûrs en intégrant des pratiques de sécurité dans toutes les phases du cycle de vie du développement logiciel (SDLC).
Après avoir observé et aidé à guider le développement de notre programme BSIMM et de notre satellite de champions de la sécurité, j'ai été ravi qu'on me demande de gérer et de formaliser la nouvelle équipe de sécurité des applications. En utilisant mes nombreuses années d'expérience au sein de notre équipe de sécurité offensive, en tirant parti de mon expérience en génie logiciel et en m'appuyant sur mon temps en tant que champion de la sécurité de PSA, j'ai pour objectif unique d'aider à guider Datto et nos produits dans nos efforts pour atteindre et maintenir un niveau élevé de maturité en matière de sécurité pour tous nos produits. En plus de cette transition, le VDP de Datto est également devenu la responsabilité de notre département de sécurité des applications et des discussions ont commencé sur la façon d'améliorer les processus internes du VDP et sur ce à quoi l'avenir du programme pourrait ressembler.
En quoi toutes ces informations sur la sécurité des applications sont-elles pertinentes pour le PDV ? Le réseau de champions de la sécurité mentionné précédemment est désormais directement responsable de l'assistance à l'équipe de sécurité des applications pour toutes les initiatives liées à la sécurité. Ils sont également habilités au sein de leurs propres équipes à mener leurs propres initiatives de sécurité avec le soutien de notre équipe de sécurité des applications et de la direction de l'ingénierie.
Avoir un VDP externe ou un programme de Bug Bounty (BBP) est une nouvelle activité de niveau 3 du BSIMM, introduite pour la première fois dans la v12 du cadre. Grâce à nos efforts proactifs et continus dans la recherche de moyens d'améliorer la collaboration autour de la sécurité, nous avions déjà un VDP en place. En raison de notre maturité dans ce domaine, j'ai été invité à participer à un groupe d'experts lors de la conférence BSIMM 2021, spécifiquement sur ce sujet, aux côtés d'experts de Yahoo et de Lenovo.
Validation par un tiers
L’élargissement du rôle et des responsabilités de notre département Sécurité des applications s’est imposé comme une conséquence naturelle de notre engagement à adapter nos défenses afin de protéger Datto et nos partenaires MSP. L’équipe de sécurité de l’information de Datto a suivi de près l’évolution du paysage des menaces pesant sur le secteur des services informatiques en 2018 et 2019, et avait déjà anticipé que les attaques visant la sécurité logicielle des fournisseurs de la chaîne d’approvisionnement des MSP deviendraient un problème de plus en plus important. Les actions que nous avons menées au cours de l’année et demie qui a suivi nous ont préparés à un écosystème plus hostile qui s’est pleinement manifesté en 2021,annéeque nous qualifions d’«année des attaques visant la chaîne d’approvisionnement des MSP». Au milieu du chaos qui régnait dans le secteur, le travail que nous avions accompli pour nous préparer à une sécurité logicielle vérifiable a abouti à la réalisation de notre première évaluation BSIMM officielle, menée par Synopsys pour la solution RMM de Datto.
Bien qu’il s’agisse d’un nouveau programme et d’un nouveau département, les résultats de l’évaluation RMM ont montré que Datto dispose d’un niveau de maturité équivalent à celui d’entreprises dont les programmes de sécurité logicielle sont en place depuis 5,7 ans. Il s’agit là d’une formidable réussite, et même si j’aimerais que le service Sécurité des applications s’en attribue tout le mérite, la réalité est que nos produits mettaient déjà en œuvre de nombreuses mesures de sécurité et bonnes pratiques dans le but de « faire ce qu’il faut » et de protéger la confidentialité, l’intégrité et la disponibilité de nos partenaires et de leurs données.
Mais nous ne nous sommes pas arrêtés là. En décembre 2021, nous avons procédé à une évaluation de Datto Networking, qui a donné des résultats similaires. Cette année, nous prévoyons de mener une évaluation BSIMM officielle portant sur un nombre bien plus important de nos produits. Le premier d’entre eux sera notre produit dédié à la continuité d’activité, dont le lancement est prévu pour la première semaine d’avril 2022.
Notre engagement continu envers la communauté MSP
Bien que nous soyons fiers des résultats de l'évaluation et des progrès réalisés par nos produits, la sécurité est plus critique que jamais. C'est le moment de continuer à accélérer notre engagement pour s'assurer que nous fournissons les produits les plus sûrs possibles à nos partenaires. Datto et notre équipe de sécurité des applications ne font que commencer dans un cycle de vie continu de la maturité de la sécurité. Je suis honoré d'avoir eu la chance de partager un aperçu des progrès que nous avons réalisés et je suis impatient de partager plus de détails sur notre travail avec la communauté à l'avenir.
