La sécurité avant tout dans le logiciel ? L’IA peut contribuer à en faire une pratique quotidienne
L’IA est sur le point d’ajouter plus de poids aux efforts DevSecOps - mais beaucoup restent sceptiques quant à ses implications.
DevSecOps - comme son jumeau fraternel, DevOps - est un processus en jeu depuis plusieurs années maintenant dans les magasins de logiciels, destiné à permettre des flux de travail plus collaboratifs et plus intelligents. Aujourd’hui, l’IA est sur le point de renforcer ces efforts, mais nombreux sont ceux qui restent sceptiques quant à ses implications.
Ce sont quelques-uns des points à retenir d'une récente enquête du SANS Institute, impliquant 363 responsables et responsables informatiques, qui révèle un intérêt croissant pour l'ajout de capacités d'IA ou d'apprentissage automatique aux flux de travail DevSecOps. Au cours de l'année écoulée, on a constaté une augmentation significative (16 %) du recours à l'IA ou à la science des données pour améliorer le DevSecOps grâce à l'investigation et à l'expérimentation, passant de 33 % en 2022 à 49 % en 2023.
Même si l’intérêt pour l’application de l’IA au cycle de vie du développement logiciel est croissant, il existe également un scepticisme sain quant à l’idée d’aller à fond lors de l’injection de l’IA dans les flux de travail. « Un fort pourcentage de personnes interrogées, environ 30 %, ont déclaré ne pas utiliser du tout les capacités de l'IA ou de la science des données », notent les auteurs du SANS, Ben Allen et Chris Edmundson. "Cela peut refléter des problèmes tels que le niveau croissant de préoccupation concernant la confidentialité des données et la propriété de la propriété intellectuelle."
DevSecOps, tel que défini dans le rapport, « représente l'intersection du développement logiciel (Dev), de la sécurité (Sec) et des opérations (Ops) avec l'objectif d'automatiser, de surveiller et d'intégrer la sécurité tout au long de toutes les phases du cycle de vie du développement logiciel ». En d’autres termes, établissez des processus pour intégrer la sécurité dès le début - la phase de conception - et accompagnez-la jusqu’au déploiement.
En fin de compte, un effort DevSecOps qui fonctionne bien permet « de réduire le temps nécessaire pour résoudre les problèmes de sécurité, de réduire les processus de sécurité et de s'approprier davantage la sécurité des applications », déclarent Allen et Edmundson.
On a constaté une augmentation du nombre de projets pilotes intégrant des opérations de sécurité à la fois dans les catégories « opérations d'IA et d'apprentissage automatique » (19 % entièrement ou partiellement intégrées) et « opérations de science des données » (24 %). Il s'agit d'une « indication possible que les organisations effectuent une modélisation des menaces et des évaluations des risques avant d'incorporer des capacités d'IA dans leurs produits », déclarent les auteurs.
De nombreuses organisations ressentent un besoin urgent de personnel DevSecOps plus qualifié : 38 % signalent des déficits de compétences dans ce domaine. "Comme la demande continue de dépasser l'offre dans ce domaine, il existe un réel besoin de susciter davantage d'intérêt pour ce domaine en constante évolution", insistent les auteurs. « Pour faire face à la pénurie de talents face aux pressions concurrentielles, les organisations devraient tirer davantage parti des pratiques DevSecOps éprouvées et explorer les capacités technologiques émergentes. »
L'ingénierie de plateforme, destinée à rationaliser le flux de logiciels depuis l'idée jusqu'à la mise en œuvre, gagne également du terrain : elle est entièrement ou partiellement adoptée par 27 % des personnes interrogées. « À mesure que les fonctionnalités de développement en libre-service inhérentes à une pratique d'ingénierie de plate-forme évoluent, il sera essentiel de tirer parti de l'orchestration utilisée pour créer, empaqueter, tester et déployer une application afin d'incorporer des tests et des outils de sécurité à des points clés du chemin qui a suivi. été aménagé", déclarent Allen et Edmundson. "Une plateforme d'ingénierie logicielle bien mise en œuvre, conçue en étroite collaboration avec les acteurs de la sécurité, pourrait probablement répondre aux objectifs d'orchestration et de corrélation de la sécurité des applications d'une organisation."