DevSecOps gagne du terrain, mais la sécurité est toujours à la traîne

Les développeurs de logiciels et les équipes opérationnelles continuent d'adopter DevOps et d'autres méthodologies agiles ainsi que les services d'automatisation et de low-code, mais ils se heurtent toujours à des problèmes de sécurité, aux retombées de la pandémie de COVID-19 et à une pénurie d'agents de sécurité qualifiés, selon un rapport. Enquête annuelle récemment publiée par GitLab.

DevSecOps se traduit par une meilleure qualité de code, une productivité des développeurs plus élevée et une efficacité opérationnelle améliorée, selon une enquête menée auprès de plus de 5,000 57 développeurs de logiciels, spécialistes des opérations et professionnels de la sécurité des applications. La sécurité reste cependant un problème. Alors que plus de la moitié (XNUMX %) des personnes interrogées considèrent la sécurité comme un indicateur de performance, presque le même nombre déclarent qu'il est « difficile d'amener les développeurs à donner la priorité à la correction des vulnérabilités du code ».

L'enquête menée par le fournisseur de chaînes d'outils souligne que tous les participants au processus de développement et de déploiement doivent encore améliorer les communications et les relations entre les groupes, déclare Johnathan Hunt, vice-président de la sécurité de l'information et de la cybersécurité chez GitLab.

« Amener les développeurs et les professionnels de la sécurité à mieux travailler ensemble nécessite une approche du développement logiciel axée sur la culture, via la création d'une culture DevOps », explique Hunt. « Une plateforme DevOps se prête bien à cette approche en offrant aux organisations une collaboration transparente entre les équipes DevSecOps, une propriété partagée de la sécurité et de la conformité, ainsi que des utilisations stratégiques de technologies telles que l'automatisation et l'IA/ML.

Mélanger et assortir

Les enquête trouvée qu'il n'existe pas d'approche dominante unique en matière de développement logiciel et que la plupart des équipes utilisent un mélange d'approches. Alors qu'une majorité des équipes de développement (47 %) utilisaient DevOps et DevSecOps, d'autres approches agiles représentaient également des parts importantes : 34 % des équipes utilisaient Scrum, 24 % utilisaient Kanban et 29 % utilisaient les méthodologies Lean. Les équipes ont même étendu leur utilisation du développement Waterfall, avec plus d'un quart (26 %) ayant adopté cette approche.

« Les équipes DevOps ne se limitent pas à une seule façon de travailler », explique Hunt. «Ils sont flexibles et disposés à ajuster leurs approches pour répondre aux divers besoins de l'entreprise et des projets.»

L'augmentation des approches agiles en matière de développement et de déploiement de logiciels a entraîné un déploiement plus rapide des logiciels. Sept personnes interrogées sur dix ont déclaré que leurs équipes se déployaient au moins une fois tous les quelques jours ou plus fréquemment, un bond de 11 points par rapport à 2021. L'intégration des tests, du déploiement et des contrôles de sécurité automatisés dans le pipeline de développement est un facteur clé pour accélérer le déploiement des applications, avec près de la moitié (47 %) des équipes affirmant que leurs tests sont entièrement automatisés aujourd'hui, contre 25 % en 2021.

L’adoption d’API low-code et no-code pour le développement a également rendu les équipes plus efficaces. Les deux tiers (66 %) des personnes interrogées utilisent au moins un outil low-code ou no-code dans leur pratique DevOps, une augmentation significative par rapport aux 25 % des personnes interrogées en 2021.

Pourtant, le nombre croissant d’options de développement, de déploiement et de sécurisation des logiciels a entraîné davantage de confusion, conduisant les équipes DevOps à chercher à simplifier leur pipeline et leurs ensembles d’outils, selon l’étude de GitLab. Alors que 44 % des équipes DevOps utilisent entre deux et cinq outils pour gérer le processus de développement logiciel, 41 % utilisent entre six et dix outils.

"Cela représente beaucoup d'outils, et 69 % des personnes interrogées nous ont dit qu'elles aimeraient consolider leurs chaînes d'outils", a déclaré GitLab dans le rapport d'enquête.

L’IA et l’apprentissage automatique « à la hausse »

Les technologies d’intelligence artificielle et d’apprentissage automatique ont connu une adoption mitigée parmi les développeurs et les spécialistes de la sécurité des applications. Bien que l’IA/ML figure au bas de la liste des priorités pour les futures carrières des développeurs, une majorité de professionnels de la sécurité (54 %) ont déclaré que l’IA/ML les aiderait le plus dans leur future carrière. L’IA/ML convient particulièrement au domaine de la sécurité. Par exemple, les systèmes IA/ML peuvent être formés pour détecter et répondre aux menaces, générer des alertes et déclencher des ensembles de règles.

« Mais l’IA/ML est loin d’être hors des radars des développeurs. En fait, son utilisation est en augmentation », déclare Hunt, ajoutant : « Ceci est particulièrement utile lorsqu'il s'agit de détecter et de se défendre contre les attaques et les acteurs malveillants, car les professionnels de la sécurité ne peuvent pas surveiller chaque paquet et chaque connexion qui traverse un réseau. »

La sécurité continue de jouer un rôle plus important dans le pipeline de développement logiciel, avec 57 % des entreprises déplaçant la responsabilité de la sécurité « vers la gauche » et rendant les développeurs plus responsables des vulnérabilités de leur code. Pourtant, il reste encore du chemin à parcourir, un nombre important de développeurs accusant la sécurité d'être responsable des retards et la répartition des responsabilités en matière de sécurité logicielle est très changeante.

"Bien que les développeurs et les opérateurs assument une part plus importante de la propriété de la sécurité, ce n'est pas si simple pour l'équipe sec", a déclaré GitLab dans le rapport. « En 2020 et 2021, le pourcentage de professionnels de la sécurité qui se disaient entièrement responsables de la sécurité était à peu près le même que ceux qui disaient que tout le monde était responsable. »