Lorsqu’il s’agit de technologie, y compris de sécurité, il coûte souvent plus cher de réparer quelque chose plus tard que plus tôt. Rejeter les inévitables améliorations nécessaires pour corriger les logiciels de buggy ou les technologies obsolètes est comme « emprunter de l’argent en pensant que vous n’avez jamais dû le rembourser », déclare le programmeur Ward Cunningham, qui a développé le premier wiki.
Cunningham a inventé le terme « dette technique » il y a plus de dix ans pour décrire comment la technologie de buggy urgente fonctionne d’une manière similaire à l’accumulation d’intérêts sur une dette. Si vous ne payez pas le principal, les intérêts augmentent jusqu’à ce qu’ils consomment tout votre budget et deviennent impossibles à payer.
Demandez à une douzaine de professionnels de la technologie de définir la dette technique et vous obtiendrez une douzaine de réponses. Pour les développeurs de logiciels, la dette technique signifie probablement quelque chose le long des lignes de raccourcissement pour expédier du code. Un DSI, en revanche, peut considérer la dette technique comme l’impact cumulé des outils plus anciens qui entrave la capacité d’une organisation à fournir des capacités numériques et des innovations modernes à ses employés, partenaires et clients.
Dans les deux cas, l’accumulation du travail technique non traité nécessaire à la réussite future entraîne une augmentation des coûts et de la complexité. Le résultat final : le personnel informatique développe de plus en plus de solutions de contournement pour corriger ce qu’il aurait dû corriger plus tôt.
« Je considère la dette technique comme quelque chose qui découle du fait de devoir prendre des décisions qui répondent aux objectifs à court terme, mais créent des passifs à long terme », déclare Fernando Montenegro, analyste principal de la sécurité chez 451 Research, qui fait partie de S&P Global Market Intelligence.
Quelle que soit la définition, la dette technologique s’accumule. Lorsque McKinsey a interrogé 50 DSI en 2020, le cabinet de conseil en gestion a découvert que 10 % à 20 % du budget technologique alloué aux nouveaux produits était plutôt utilisé pour rembourser la dette technologique. En fait, la dette technologique représentait 20 à 40 % de l’investissement technologique actuel d’une organisation avant amortissement. Au moment de l’enquête, 60 % des DSI ont déclaré que leur dette technique avait considérablement augmenté au cours des trois dernières années.
Faire de la dette de sécurité technique une priorité
Jonathan Feldman ne souhaite pas accumuler trop d’intérêt sur la dette technique. En tant que DSI de la ville d’Asheville, Caroline du Nord, Feldman a travaillé dur pour s’assurer que les systèmes technologiques de sa ville restent à jour. Par exemple, il a régulièrement transféré les systèmes d’information d’Asheville des logiciels sur site vers le cloud.
« La dette technique découle de la nécessité de prendre des décisions qui répondent aux objectifs à court terme, mais créent des responsabilités à long terme. »Fernando Montenegro, analyste de sécurité, 451 Research
Bien que la modernisation de l’environnement informatique implique souvent l’adoption de logiciels cloud, elle implique également la construction d’une pile technologique de langages de programmation, de cadres et d’outils de développement capables d’adopter rapidement de nouvelles fonctionnalités et de s’adapter à l’évolution des exigences commerciales. À titre d’exemple, Feldman souligne comment les systèmes logiciels basés sur le cloud et le SaaS ont aidé la ville d’Asheville à passer rapidement au travail à distance pendant la pandémie.
« Nous n’avions pas à nous embêter avec les VPN et à obtenir des logiciels sur les endpoints des personnes », déclare Feldman. »Je connais les municipalités qui ont dû dépenser des centaines de milliers de dollars pour étendre leur concentrateur VPN afin d’accueillir tous leurs travailleurs à distance. Qui en sécurité pense que le VPN côté client est le moyen de faire la sécurité de nos jours ? Exactement personne. »
De nombreuses raisons expliquent pourquoi les entreprises accumulent des dettes techniques, notamment la gestion d’un trop grand nombre de plateformes de développement et d’une trop grande infrastructure vieillissante et existante. L’embauche et la rétention d’un personnel technique qualifié s’ajoutent à la charge, tout comme la myopie liée au manque de budget pour la maintenance des systèmes et des logiciels pendant leur durée.
Comment la dette technique devient une dette de sécurité technique
Une raison importante de la dette technique liée à la sécurité est la dichotomie entre la manière dont les professionnels de la sécurité et d’autres professionnels de la technologie perçoivent la technologie. « Les personnes chargées de la sécurité de l’information ont tendance à rencontrer des problèmes du point de vue de la manière dont elles peuvent briser quelque chose », déclare Nick Selby, directeur des systèmes d’information chez Paxos, une plateforme d’infrastructure de blockchain, et co-hôte du podcast Tech Debt Burndown . « Nous examinons ce qu’un pirate informatique voit de l’extérieur vers l’intérieur et essayons de trouver les zones ouvertes qui doivent être fermées. »
En revanche, les développeurs modernes veulent hiérarchiser les efforts « de l’intérieur vers l’extérieur », déclare Selby. Ils demandent ce qu’ils essaient de construire, ce qu’ils ne peuvent pas construire, comment pousser le code plus rapidement et ce qui les empêche.
Feldman note qu’une technologie vieille de dix ans est susceptible d’avoir des normes de chiffrement obsolètes, des API anciennes et un niveau de rigidité plus élevé par rapport aux applications plus flexibles d’aujourd’hui. « Il va être tout simplement horrible de sécuriser la plupart du temps », dit-il.
La dette technique de sécurité amplifie les failles latentes de sécurité qui rendent plus difficile la protection des applications, infrastructures et endpoints obsolètes. « Je ne peux pas penser à un exemple de dette technique qui n’affecte pas la sécurité, dans la mesure où la dette technique affecte presque toujours le débit, l’évolutivité, la résilience et la disponibilité », déclare Selby.
Les coûts de la dette technologique sont souvent difficiles à découvrir. Peut-être apparaissent-ils dans des systèmes existants qui sont difficiles à entretenir, ou dans un ancien code qui ne répond pas aux besoins actuels, mais qui est trop coûteux à remplacer, ou dans des données stockées dans des silos qui ne peuvent pas être analysés et utilisés correctement. Les équipes de sécurité peuvent découvrir qu’elles sont limitées dans leur capacité à assurer en toute sécurité la confidentialité, l’intégrité et la disponibilité des systèmes et des informations.
Étant donné que chaque entreprise a une dette technologique et que la dette technologique a un impact substantiel sur la sécurité, que peut faire un leader ? Les professionnels de la sécurité recommandent de réduire la dette technique en matière de sécurité à un niveau gérable :
Faire venir les équipes de sécurité plus tôt
Être introduit tôt peut signifier être impliqué dans un nouveau système ou une nouvelle application pendant la phase de conception, ou lorsque l’ajout de nouvelles fonctionnalités ou de modifications pourrait modifier le niveau de risque d’une entreprise.
« Pour les professionnels de la sécurité, plus tôt nous obtenons le document de conception, mieux c’est », déclare Selby de Paxos. Il recommande d’intégrer des ingénieurs en sécurité dans les équipes d’ingénierie afin qu’ils travaillent ensemble dès le premier jour. « Il n’y a [n’a] eu aucun appel à la sécurité jusqu’en bout de ligne pour vérifier les choses et s’assurer qu’elles sont toutes bonnes », dit-il. « L’équipe de sécurité était déjà là, ce qui le rend bon tout le temps. »
Hiérarchiser le remboursement de la dette
La dette technologique dans chaque entreprise sera différente, ainsi que les moyens optimaux de la réduire. Parfois, la dette de sécurité technique peut apparaître comme des plateformes commerciales obsolètes qui nécessitent beaucoup d’efforts supplémentaires pour la sécuriser. D’autres fois, une entreprise aurait pu déployer trop d’outils de sécurité sans suffisamment de professionnels qualifiés pour les exécuter.
[Lire également : Cybersécurité fédérale : Trop d’outils gâchent le bouillon]
« De nombreuses choses qui ont un impact élevé sur la sécurité peuvent ne pas sembler directement liées à la sécurité », déclare Selby. « C’est souvent le travail fondamental qui comprend la dette technique, comme rafraîchir l’équipement ou obtenir les bons outils pour le travail. Beaucoup de ces éléments ont tendance à avoir un impact global plus élevé sur la sécurité. »
Effectuer des paiements réguliers de la dette
Peu importe la taille ou la maturité d’une organisation. Toutes les organisations s’endettent au fil du temps. L’important est de définir un délai dédié pour rembourser la dette existante. « Si vous êtes une entreprise dotée de tout type de base technologique, c’est exactement comme ça », déclare Selby.
Moderniser l’environnement
La modernisation ne consiste pas uniquement à disposer des dernières technologies les plus performantes, juste pour le plaisir de l’avoir. Il s’agit d’avoir une pile technologique d’entreprise suffisamment agile pour se développer et évoluer à mesure que les exigences de votre entreprise évoluent.
« Qui, en matière de sécurité, pense que le VPN côté client est le moyen d’assurer la sécurité de nos jours ? Exactement personne. »Jonathan Feldman, DSI, ville d’Asheville, Caroline du Nord.
Lorsque les organisations ne se modernisent pas, le DSI peut devoir dire à une unité commerciale que l’entreprise ne peut pas faire un investissement important pour activer une nouvelle fonctionnalité, déclare Feldman d’Asheville. « Alors qu’avec une plateforme moderne, il serait probablement possible d’inverser simplement les choses. »
Structurer les investissements technologiques au fil du temps
De nombreuses demandes budgétaires ne portent que sur les coûts initiaux du système et du déploiement sans examiner comment la dette technologique est encourue au fil du temps. « Ce n’est pas que nous avons besoin de5 millions USD, puis cette application est effectuée en termes d’investissement en capital », déclare Feldman. « Ce qui est nécessaire, c’est un engagement de l’organisation à dépenser un certain montant chaque trimestre pendant le cycle de vie de l’application. »
Ajoute le Monténégro de 451 Research : « Vous êtes toujours responsable de ce que vous avez déployé. Les organisations doivent disposer des ressources nécessaires pour s’assurer qu’elles prévoient non seulement de traiter la dette, mais également d’éviter d’encourir trop de dette en ne gérant pas correctement les systèmes tout au long de leur cycle de vie. »
[Lire également : comment DevOps et la sécurité peuvent fonctionner ensemble]
En fin de compte, les organisations peuvent décider de rembourser la dette technique, mais cette décision peut ne pas être quelque chose que les équipes de sécurité et les dirigeants contrôlent. Le Monténégro conseille aux dirigeants de la sécurité d’informer l’ensemble de la direction informatique de l’entreprise que lorsque les organisations assument certains types de dette technique, cela peut avoir de grandes conséquences sur leur profil de risque.
« Vous ne recevrez pas de cartes de Noël d’une équipe qui est obligée de retarder les lancements de produits en raison de failles de sécurité », dit-il. « Mais l’organisation doit faire un choix important. »
