La notion ‘secure by design’ devient un critère de base, elle n’est plus une option. L’Application Security Testing devient donc primordial, explique Patricia Cordonnier, Security Solution Sales, Sogeti.

° L’Application Security Testing n’est pas nouveau. Sogeti est active dans les tests et l’assurance qualité depuis plus de 20 ans… Les motivations (drivers) des entreprises à tester ont-elles, par contre, évolué ? Sont-elles plus sensibles, aujourd’hui, au principe du testing ?

Patricia Cordonnier : «Aujourd’hui, le monde évolue très vite et on accorde de plus en plus d’importance à l’amélioration de l’expérience utilisateur en sortant rapidement les nouvelles applications. Cette exigence de vitesse donne l’impression à beaucoup d’organisations qu’elles n’ont pas assez de temps à consacrer à la sécurité, ce qui augmente les risques pour leurs applications commerciales critiques.

«Afin d’assurer une expérience utilisateur positive et sécurisée, les organisations doivent intégrer le testing sécurité dans le cycle de développement de leurs applications.  

«Dans ce contexte, Sogeti organise le 14 juin une session qui a pour thème un autre souci qui touche le monde applicatif : « How sure are you that your applications and website are not a hackers’ highway into your IT landscape ? »

° La mobilité, un des piliers du SMAC, expose davantage l’entreprise aux risques. Les entreprises sont-elles conscientes de l’importance à sécuriser les apps, et donc à les tester avant de les lancer ?

«Les applications Web et mobiles capturent et retiennent des données sensibles des sociétés, mais aussi des clients. Cependant, elles sont extrêmement vulnérables : 80% des cyber-attaques surviennent au niveau de l’application. Jusqu’à récemment, les applications étaient vues comme présentant peu de risques puisqu’elles étaient en grande partie internes, la priorité était donc donnée à la sécurisation de l’infrastructure des organisations. Mais les applications sont maintenant ouvertes au monde extérieur. Ajoutez à cela un manque de formation en sécurité chez les développeurs d’applications qui se concentrent plutôt sur la fonctionnalité du produit et il apparait clairement qu’une approche plus proactive de la sécurité est nécessaire.»

° Sogeti est leader en Europe et aux Etats-Unis dans le domaine du testing. Observez-vous des différences d’un pays à l’autre ? Est-on plus sensible au testing dans certains pays ? L’est-on aussi davantage dans certains domaines d’activités, a priori plus critiques ?

«L’Application Security Testing est plus populaire dans les pays où l’activité Testing est déjà mieux intégrée historiquement, comme l’Allemagne ou les Pays-Bas. En Belgique, l’AST devient un élément crucial lors de l’établissement d’une roadmap sécurité.»

° La solution Application Security Testing est automatisée par HP Fortify on Demand. Pourquoi ce choix ? Quel est le ‘plus’ de Sogeti ? N’utilisez-vous pas, également, des outils IBM Rational ?

«Sogeti a choisi deux solutions dans le domaine de la Sécurité : HPE / Fortify on demand et AppScan d’IBM. Nous pouvons assister nos clients dans le choix et la mise en œuvre de ces deux offres. AppScan est souvent choisie. En revanche, pour notre offre AST (Application Security Testing) en mode SaaS (Software-as-a-Service), nous avons choisi d’installer le produit de HPE dans notre SOC (Security Operation Center) de Luxembourg. Le model OPEX de la solution SaaS que Sogeti propose est un ‘plus’ car il est très rapide à mettre en place dans l’environnement du client : c’est un service qui fait ses preuves dès l’installation auprès du développement, de l’IT et de l’opérationnel.»

° Quels conseils donneriez-vous aux entreprises et organisations qui hésitent encore à inclure une étape de testing dans leur stratégie IT ?

«Des applications sécures son -ou vont bientôt devenir- une manière de se différentier auprès des utilisateurs et des clients finaux. Le cycle de développement et la mise en production est de plus en plus court et l’opérationnel insiste pour garder une vitesse adéquate. En parallèle, les applications web, mobiles et transactionnelles sont de plus en plus vulnérables. La notion ‘secure by design’ devient un critère de base, elle n’est plus une option. Automatisée par HP Fortify on Demand, notre solution Application Security Testing protège les systèmes et applications critiques des entreprises et répond aux enjeux grandissants de la Cybersécurité. En outre, c’est une offre SaaS qui permet de bien budgéter la sécurité dans le cycle de développement.»

https://www.capgemini.com/cybersecurity/application-security-testing