Journée OWASP AppSec 2019 : Encourager les développeurs sécurisés

Plus tôt ce mois-ci, j'ai eu l'occasion d'assister Journée OWASP AppSec 2019 dans la belle ville de Melbourne. Ces événements destinés aux développeurs figurent parmi mes événements préférés du calendrier ; ils me rappellent avec humilité la communauté qui travaille sans relâche pour former et responsabiliser les ingénieurs et les spécialistes en logiciels afin qu'ils défendent la sécurité dans leur travail.

La liste des invités était sensationnelle, sans parler d'une diversité rafraîchissante, et je suis heureuse de pouvoir repartir inspirée, même après toutes ces années passées dans l'industrie. Des personnes comme Tanya Janca, Tony James et Teri Radichel a fait des présentations incroyables, tandis que Wireghoul« Les défis de codage sécurisé d'Eldar Marcussen ont testé sur place l'ensemble de l'auditorium, mais c'était formidable d'assister à une telle sensibilisation à la sécurité parmi les participants.

Cette année, Secure Code Warrior était un sponsor platine de l'événement. J'ai eu le sourire aux lèvres en me rappelant qu'il y a tout juste quatre ans, c'était l'équipe à l'origine de l'OWASP AppSec Day qui avait aidé notre start-up en lançant un stand gratuit et en proposant une promotion. C'était un moment de fierté de voir le chemin que nous avions parcouru en tant qu'entreprise et d'être reconnaissante de l'existence d'une communauté aussi généreuse composée de personnes incroyables.

Toni James : la sécurité du point de vue du développeur

S'il y a une chose que nous devons développer davantage dans ce monde, c'est l'empathie. Et lorsqu'il s'agit de rendre les logiciels plus sûrs à tous les niveaux, il est essentiel de comprendre la situation des développeurs.

J'ai beaucoup apprécié la présentation de Toni, et je suis sûr qu'elle a été immédiatement accessible à tous les développeurs. L'histoire ne se limite pas à « écrire du code sécurisé », et même si je suis convaincue que les développeurs bien formés à la sécurité constituent notre meilleure chance de lutter contre les vulnérabilités, il est impératif de prendre en compte leurs défis quotidiens.

Le travail d'un développeur de logiciels peut être présenté à des millions d'utilisateurs, prendre en charge des infrastructures critiques et être la force motrice des services que nous tenons pour acquis. La création de fonctionnalités, la mise en œuvre d'innovations commerciales et le respect de délais de livraison serrés créent une forte pression, et ce, avant qu'une équipe AppSec ne prenne une place importante et ne se consacre à son dur labeur. Toni a parlé de la vie dans cet environnement et de la façon dont une bonne dose d'empathie de la part de tous peut mener à de bien meilleurs processus et à de meilleurs résultats en matière de sécurité. Je suis très heureuse de constater que de tels progrès ont été réalisés pour combler le fossé entre les développeurs et les équipes AppSec ; en fin de compte, il s'agit d'un élément essentiel d'une culture de sécurité positive et florissante, et Toni est un excellent exemple de ce processus qui fonctionne incroyablement bien.

Tanya Janca et Teri Radichel : superhéros de la sécurité

Ce n'est pas une compétition, mais les contributions de Tanya Janca et Teri Radichel à la conférence figuraient parmi mes préférées. Dix minutes après le début de leur tutoriel sur les évaluations de sécurité du cloud à faire soi-même, ils ont mis en lumière leur incroyable expérience, leurs qualifications et leur expertise, mais aussi leur véritable chaleur et leur désir de partager leurs connaissances et de soutenir la communauté des développeurs. Ensemble, ils ont présenté des actions réalistes et exécutables visant à garantir la sécurité des implémentations d'Azure, y compris des conseils pratiques sur la définition de politiques de sécurité et les mesures de moindre privilège.

Une recherche rapide sur Google vous indiquera tout ce que vous devez savoir sur leur engagement à soutenir les développeurs au niveau local, grâce à une multitude de ressources gratuites, à des opportunités de mentorat et à des entretiens visant à promouvoir le côté amusant et engageant de la sécurité logicielle. Ce sont des champions inspirants et essentiels de notre communauté ; s'ils prennent la parole lors de la prochaine conférence sur la sécurité à laquelle vous assisterez, vous seriez furieux de manquer leur session.

Des clients sur la grande scène

C'était formidable de voir un si grand nombre de nos clients non seulement présents, mais également propriétaires de la scène et partageant leurs immenses connaissances en matière de sécurité avec le public.

Nous avons réussi à attraper TelstraAndrew Bailey prononce une conférence importante intitulée « Ajouter le « SEC'to DevOps ». Sa riche expérience en tant qu'ingénieur logiciel senior, désormais focalisé sur la sécurité des applications et le codage sécurisé, était une excellente perspective à souligner. Il a donné des conseils complets sur la manière d'injecter de la sécurité à chaque étape du SDLC (y compris, bien entendu, dès le début en formant davantage de développeurs au codage sécurisé).

Ken Johnson fait partie de GitHubde l'équipe de sécurité, et j'ai été ravi de le voir rejoindre le panel d'experts à la fin de la conférence. À l'instar des autres panélistes, il était très heureux de répondre aux questions pressantes du public, y compris celles qui ne reçoivent pas nécessairement l'attention qu'elles méritent de la part des médias. En plus de plusieurs points de vue sur le secteur, il a fait parler au panel de l'importance du bien-être et de l'équilibre entre vie professionnelle et vie privée, ce qui est très important en cette ère d'épuisement des développeurs.

Je tiens à remercier chaleureusement Julian Berton et toute l'équipe de l'OWASP Melbourne pour cette nouvelle conférence incroyable. Rendez-vous l'année prochaine (avec d'autres autocollants).