Discussion :

[Jade Emy]

Les applications internes sont à l'origine de brèches dans 92 % des entreprises, la responsabilité de la sécurité ne repose plus sur des équipes dédiées, mais est désormais partagée.

Une nouvelle étude révèle que 92 % des entreprises interrogées ont subi une violation au cours de l'année écoulée en raison des vulnérabilités des applications développées en interne. Le rapport de Checkmarx montre que ces dernières années, la responsabilité de la sécurité des applications s'est éloignée des équipes dédiées à la sécurité et qu'elle est désormais partagée entre les responsables de la sécurité des applications et les développeurs.

Dans l'étude, 49 % des personnes interrogées déclarent que leurs développeurs sont impliqués dans les principaux achats de solutions AppSec, 41 % déclarent que les responsables AppSec sont impliqués et 40 % des personnes interrogées indiquent que le RSSI est impliqué.

Avec plus de logiciels à sécuriser, déployés dans plus d'environnements et moins de temps disponible pour les sécuriser, 91 % des entreprises ont sciemment publié des applications vulnérables. La pression commerciale est citée comme une raison importante de cette situation, 29 % des responsables AppSec déclarant qu'ils ont publié les applications "pour respecter une échéance liée à l'activité, aux fonctionnalités ou à la sécurité", 18 % des RSSI déclarant qu'ils espéraient que la vulnérabilité ne serait pas exploitable, et 29 % des développeurs déclarant que la vulnérabilité serait corrigée lors d'une version ultérieure.

"L'atténuation des risques AppSec devient une responsabilité partagée à une époque où les applications natives du cloud sont déployées plusieurs fois par jour", déclare Amit Daniel, directeur du marketing chez Checkmarx. "Les RSSI des entreprises s'adressent à Checkmarx à la recherche d'un moyen d'obtenir une visibilité sur la posture de sécurité de l'ensemble de leurs empreintes organisationnelles. Notre objectif est de leur fournir cette visibilité afin de construire ce que nous appelons 'DevSecTrust', ou la confiance entre les développeurs et la sécurité qui peut aider à amener leur maturité AppSec à un tout autre niveau".

Les préoccupations des développeurs en matière de sécurité se concentrent sur la tension entre les exigences de délais de livraison et les volumes potentiels de vulnérabilités à corriger - y compris le processus de développement entravé par les exigences de sécurité - la difficulté de savoir quelles vulnérabilités corriger et comment les classer par ordre de priorité et le manque de contexte pour aider à remédier aux vulnérabilités. Pour 61 % des développeurs, il est essentiel que la sécurité ne bloque ni ne ralentisse le processus de développement et qu'elle ne devienne pas un obstacle à la réussite de l'entreprise.

Source : Checkmarx

Et vous ?

Pensez-vous que cette étude est crédible ou pertinente ?
Quel est votre avis sur le sujet ?

Voir aussi :

Les principaux obstacles à la sécurisation des logiciels aujourd'hui dans le cycle DevOps, d'après une étude de Checkmarx

Quand DevSecOps devrait se lire SecDevOps, par Stéphane de Saint-Albin, Vice-président, Application & Cloud Security et Président, Rohde & Schwarz Cybersecurity SAS

86 % des développeurs de logiciels et des responsables AppSec ont sciemment déployé un code vulnérable en 2022 ou connaissent quelqu'un qui l'a fait, selon une étude de Checkmarx

[Anthony]

87 % des RSSI déclarent que la sécurité applicative est un angle mort au niveau du PDG et du conseil d'administration, et 72 % déclarent avoir connu un incident dans ce domaine au cours des 2 dernières années

Un nouveau rapport montre que les RSSI ont du mal à communiquer les menaces à la direction, ce qui laisse des lacunes dans la compréhension des cyber-risques par l'organisation.

L'étude de Dynatrace révèle que 87 % des RSSI déclarent que la sécurité des applications est un angle mort au niveau du PDG et du conseil d'administration.

Par ailleurs, sept cadres dirigeants sur dix interrogés affirment que les équipes de sécurité parlent en termes techniques sans fournir de contexte commercial. Cependant, 75 % des RSSI affirment que le problème est dû aux outils de sécurité qui ne peuvent pas générer des informations que les dirigeants et les conseils d'administration peuvent utiliser pour comprendre les risques de l'entreprise et prévenir les menaces.

Le rapport indique que 72 % des RSSI déclarent que leur organisation a connu un incident de sécurité applicative au cours des deux dernières années. Ces incidents comportent des risques importants, les RSSI soulignant les conséquences communes qu'ils ont subies, notamment l'impact sur le chiffre d'affaires (47 %), les amendes réglementaires (36 %) et la perte de parts de marché (28 %).

Il est d'autant plus important de combler ce fossé en matière de technologie et de communication que la montée en puissance des attaques pilotées par l'IA et des cybermenaces avancées accroît considérablement les risques pour les entreprises. 52 % des RSSI sont préoccupés par le potentiel de l'IA à permettre aux cybercriminels de créer de nouveaux exploits plus rapidement et de les exécuter à plus grande échelle.

"Les incidents de cybersécurité peuvent avoir des conséquences dévastatrices pour les organisations et leurs clients, c'est pourquoi la question est devenue à juste titre une préoccupation critique au niveau du conseil d'administration ", déclare Bernd Greifeneder, directeur de la technologie chez Dynatrace. "Cependant, de nombreux RSSI ont du mal à aligner les équipes de sécurité sur les cadres supérieurs parce qu'ils sont incapables d'élever la conversation des bits et des octets aux risques spécifiques de l'entreprise. Les RSSI doivent de toute urgence trouver un moyen de surmonter cet obstacle et de créer une culture de responsabilité partagée en matière de cybersécurité. Cela sera essentiel pour améliorer leur capacité à répondre efficacement aux incidents de sécurité et à minimiser leur exposition aux risques".

Alors qu'ils recherchent des solutions, 83 % des RSSI affirment que l'automatisation DevSecOps est plus importante pour gérer le risque de vulnérabilités introduites par l'IA. En outre, 71 % des RSSI affirment que l'automatisation DevSecOps est essentielle pour s'assurer que des mesures raisonnables ont été prises pour minimiser le risque de sécurité des applications.

A propos de Dynatrace
Dynatrace est une société d'intelligence logicielle qui fournit des outils de gestion et de surveillance des performances des applications pour les entreprises. Leur plateforme aide les organisations à optimiser leurs applications logicielles, à améliorer l'expérience des utilisateurs et à augmenter la productivité en fournissant des informations en temps réel sur la performance des applications et le comportement des utilisateurs finaux.

Source : "The state of application security in 2024" (étude de Dynatrace)

Et vous ?

Quel est votre avis sur le sujet ?
Trouvez-vous les conclusions de cette étude de Dynatrace crédibles ou pertinentes ?

Voir aussi :

Les applications internes sont à l'origine de brèches dans 92 % des entreprises, la responsabilité de la sécurité ne repose plus sur des équipes dédiées, mais est désormais partagée

86% des organisations auraient consciemment déployé du code applicatif vulnérable et subi, pour 88% d'entre-elles au moins, une violation de sécurité en conséquence, au cours de l'année passée

[Jade Emy]

Près de la moitié des applications d'entreprise enfreignent les directives de base en matière de gestion des identifiants, compromettant ainsi les politiques des fournisseurs d'identité centralisés (IdP)

Près de la moitié des applications d'entreprise enfreignent les directives de base en matière de gestion des identifiants, 44 % compromettant les politiques des fournisseurs d'identité centralisés (IdP) et 40 % ne respectant pas les normes largement acceptées en matière de contrôle des identités. Pour remédier à ce problème, les entreprises peuvent utiliser divers outils et méthodes courants afin d'évaluer les risques liés à la sécurité des identités dans leur environnement.

La sécurité des applications d'entreprise est l'un des domaines les plus critiques. En 2024, une étude a révélé que 92 % des entreprises interrogées ont subi une violation au cours de l'année écoulée en raison des vulnérabilités des applications développées en interne. Le rapport indiquait qu'avec plus de logiciels à sécuriser, déployés dans plus d'environnements et moins de temps disponible pour les sécuriser, 91 % des entreprises ont sciemment publié des applications vulnérables.

Récemment, un nouveau rapport a révélé l'état de la sécurité des applications d'entreprise. Le rapport d'Orchid Security montre que près de la moitié des applications d'entreprise enfreignent les directives de base en matière de gestion des identifiants, 44 % compromettant les politiques des fournisseurs d'identité centralisés (IdP) et 40 % ne respectant pas les normes largement acceptées en matière de contrôle des identités.

Orchid a analysé les flux d'authentification et les pratiques d'autorisation profondément intégrés dans les applications d'entreprise et a trouvé des identifiants en texte clair dans près de la moitié d'entre elles. Ceux-ci sont généralement associés à des flux d'accès alternatifs, souvent pour des comptes non humains, mais ils constituent également une cible facile pour les acteurs malveillants qui cherchent à s'introduire ou à se déplacer latéralement.

Bien que les IdP soient très courants dans les entreprises et constituent un outil précieux pour centraliser les pratiques d'authentification sécurisées, l'étude révèle que dans 44 % des cas, aucun IdP n'était utilisé par au moins un chemin d'authentification proposé par l'application.

Les meilleures pratiques de base pour maintenir la sécurité des identités comprennent la surveillance et même le contrôle du taux de tentatives de connexion, la mise en place d'un verrouillage du compte après un certain nombre de tentatives infructueuses, l'application de règles de complexité des mots de passe, la configuration de la durée de vie des jetons, etc. Pourtant, le rapport montre que chacune de ces mesures est absente dans environ 40 % des cas.

"Ces lacunes en matière de sécurité des identités ne reflètent en aucun cas les compétences des équipes actuelles chargées de la gestion des identités et des accès", déclare Roy Katmor, PDG et cofondateur d'Orchid Security. "En réalité, avec une entreprise moyenne qui utilise plus de 1 200 applications, certaines développées et déployées à l'échelle mondiale, d'autres introduites par des bureaux régionaux ou des secteurs d'activité spécifiques, il est extrêmement difficile de simplement connaître toutes les applications utilisées. Sans parler de comprendre pleinement non seulement les flux d'identité standard audités, mais aussi toutes les voies d'authentification et les attributs d'autorisation possibles au sein de chaque application. Cette complexité est encore aggravée par le fait que, jusqu'à présent, le processus était en grande partie manuel."

Pour remédier à ce problème, les entreprises peuvent utiliser divers outils et méthodes courants afin d'évaluer les risques liés à la sécurité des identités dans leur environnement. Il s'agit notamment des tests de sécurité statiques des applications (SAST), des revues d'architecture, des tests de pénétration et de l'utilisation de la gestion des informations et des événements de sécurité (SIEM) pour surveiller les applications.

"Les organisations ne peuvent plus se permettre de négliger l'identité en tant qu'élément central de leur posture de sécurité", ajoute Katmor. "Même sans outils automatisés tels qu'Orchid Security, les équipes peuvent prendre des mesures pratiques, allant de la révision manuelle du code à l'amélioration de l'architecture et de la surveillance. L'identité reste le vecteur d'attaque le plus courant, et une évaluation proactive et multicouche est essentielle pour réduire l'exposition."

Pour rappel, un rapport de Digital.ai en mars 2025 a montré que les attaques d'applications ont bondi à 83 % en janvier 2025, contre 65 % en 2024, ce qui soumet les équipes de sécurité à une pression immense alors que le développement des applications s'accélère. La surface d'attaque croissante n'augmente pas seulement le nombre total d'attaques en raison d'une couverture de sécurité incomplète, mais fournit également un terrain fertile pour les acteurs de la menace.


Présentation du rapport d'Orchid Security

Alors que de nombreuses organisations pensent avoir « couvert l'identité », les évaluations au niveau des applications révèlent systématiquement des faiblesses critiques, allant de la mauvaise gestion des identifiants et des flux d'authentification non sécurisés à l'utilisation inappropriée des protocoles et aux lacunes dans l'application des contrôles essentiels.

Les vulnérabilités les plus courantes en matière de sécurité des identités, avec leur prévalence, étaient les suivantes :

• 48 % : Stockage d'identifiants en clair codés en dur ou utilisation d'un hachage faible
  
• 44 % : Chemins d'authentification qui contournent le fournisseur d'identité de l'entreprise
  
• 40 % : Absence de contrôles de base tels que la limitation du débit, le verrouillage des comptes et la complexité des mots de passe
  
• 37 % : Protocoles d'authentification obsolètes ou non standard
  
• 37 % : des applications n'ont pas appliqué les contrôles d'accès de manière complète ou totale

Comprendre, et a fortiori maintenir, la posture de sécurité des identités au sein d'une grande organisation, avec son parc d'applications diversifié et en constante évolution, est un défi permanent.

N'oubliez pas que ce parc comprend des applications créées par différents développeurs, à différents moments, à une époque où la technologie, la réglementation et les cyberrisques étaient différents, voire par différentes organisations si des acquisitions faisaient partie de la stratégie de croissance.

Toute approche, mais surtout une approche automatisée, qui offre une vue complète et précise de l'état réel des identités, est extrêmement précieuse pour les RSSI. En particulier lorsqu'elle permet de mettre en évidence tous les flux d'identités codés dans chaque application. Nous savons que de nombreux acteurs malveillants sont habiles à trouver des moyens alternatifs ou oubliés pour pénétrer dans nos organisations, et ce rapport met en évidence les vulnérabilités les plus courantes auxquelles nous devons prêter attention (et remédier).

Les informations partagées ici sont instructives pour tous les professionnels de la cybersécurité.

1. Identifiants stockés de manière non sécurisée : 48 % des applications stockent les identifiants en clair.

Une mesure de contrôle fondamentale consistant à sécuriser correctement les identifiants au sein des applications est souvent ignorée. Près de la moitié des applications analysées s'appuient encore sur des identifiants codés en dur ou stockés de manière inappropriée.

Découvertes :

• Identifiants intégrés dans les bases de code, les fichiers de configuration ou les scripts d'automatisation.
• Justification fréquente : « Seuls les humains utilisent l'IdP. Il s'agit de chemins d'accès de système à système. »
• Particulièrement courant dans les comptes machine/service et les scénarios NHI (identité non humaine).

Ces identifiants sont faciles à collecter, difficiles à renouveler et souvent partagés entre les systèmes. S'ils sont exposés, même brièvement, ils peuvent devenir des points d'ancrage à fort impact pour les attaquants et constituent un vecteur courant pour les mouvements latéraux et l'accès persistant.

2. Utilisation partielle des fournisseurs d'identité (IdP) : 44 % des applications ont des chemins d'authentification qui contournent le fournisseur d'identité (IdP) de l'entreprise.

Un contrôle clé consistant à acheminer toutes les authentifications via un fournisseur d'identité centralisé n'est pas appliqué de manière cohérente. Dans 44 % des cas, les applications avaient au moins un chemin d'accès qui contournait l'IdP de l'entreprise.

Découvertes :

• Chemins de connexion directs ou locaux non gérés par des politiques globales.
• Souvent justifié par : « Nous devions fournir un accès aux sous-traitants ou aux fournisseurs. »
• Courant dans les applications avec des répertoires autonomes ou hérités.

Ces chemins ont tendance à être des angles morts complets, ce qui en fait des cibles idéales pour les attaquants qui peuvent les exploiter en toute discrétion à l'aide d'identifiants souvent obsolètes ou oubliés.


3. Absence de contrôles d'identité de base : 40 % des applications ne disposent pas de contrôles de base tels que la limitation du débit, le verrouillage des comptes et la complexité des mots de passe.

De nombreux contrôles essentiels tels que la limitation du taux de connexion, le verrouillage des comptes et la complexité des mots de passe sont absents de nombreuses applications. 40 % des systèmes ne disposaient pas d'une ou plusieurs de ces protections.

Découvertes :

• Absence d'application des règles de base en matière de connexion.
• Variabilité entre les équipes de développement et les bases de code.
• Fréquent dans les outils développés en interne ou hérités.

Sans ces contrôles, les pirates ont plus de possibilités de tester par force brute ou de tester les identifiants volés.


4. Protocoles d'authentification obsolètes : 37 % des applications utilisent des protocoles d'authentification obsolètes ou non standard.

De nombreuses entreprises continuent de s'appuyer sur des protocoles d'authentification obsolètes. 37 % des cas incluaient des approches non sécurisées ou non standard.

Découvertes :

• Utilisation de FTP, NTLM et de systèmes de jetons personnalisés.
• Courant dans les piles d'applications de niche ou héritées.
• Souvent un sous-produit de la dette technique ou de l'autonomie des développeurs.

Ces protocoles sont plus difficiles à sécuriser, moins visibles pour les outils de surveillance et élargissent la surface d'attaque de l'organisation.


5. Application des contrôles d'accès, un manquement à l'hygiène : 37 % des applications n'ont pas appliqué les contrôles d'accès de manière cohérente, voire pas du tout.

Même après l'authentification, 37 % des applications négligent l'application des contrôles d'accès, ne disposant pas de garde-fous essentiels tels que les contrôles d'accès basés sur les rôles, les attributs ou les politiques. Cette défaillance fondamentale érode le principe du moindre privilège, transformant silencieusement les identités courantes en cibles de grande valeur, exposant l'entreprise à des violations telles que l'incident de Jaguar Land Rover en 2025 et enfreignant les normes PCI-DSS, SOC 2, ISO 27001, GDPR et HIPAA.

Découvertes

• Cas où « tous les utilisateurs » avaient un accès complet.
• Applications sans contrôle des autorisations.
• Mauvaises configurations permettant un accès anonyme.

Des contrôles d'accès faibles sapent le principe du moindre privilège, permettant aux utilisateurs et aux comptes d'obtenir un accès excessif au fil du temps, les transformant ainsi en cibles de grande valeur. Pire encore, ces défaillances sont silencieuses et semblent conformes jusqu'à ce qu'une violation ou un audit révèle les lacunes.

Voici les conclusions finales du rapport :

La géographie semble influencer les pratiques. Les équipes de développement européennes semblent relativement plus rigoureuses dans la mise en œuvre des contrôles d'identité fondamentaux. D'après certaines anecdotes, cela pourrait s'expliquer par l'utilisation structurée, bien que souvent restrictive, d'Active Directory pour l'authentification et l'autorisation.

Malgré ces différences régionales, d'importantes lacunes et failles dans la mise en œuvre des contrôles d'identité restent très répandues.

Compte tenu des risques cybernétiques et de conformité associés à l'absence de contrôles de sécurité des identités, nous recommandons vivement aux entreprises d'évaluer régulièrement et de manière plus complète leur posture de sécurité des identités dans toutes les applications et tous les flux d'identités. Cette évaluation doit aller au-delà des meilleures pratiques établies et inclure des examens approfondis, au niveau du code et axés sur l'ingénierie, afin de mettre au jour les mécanismes d'identité cachés et les vulnérabilités négligées.

Source : Orchid Security

Et vous ?

Pensez-vous que ce rapport est crédible ou pertinent ?
Quel est votre avis sur le sujet ?

Voir aussi :

87 % des RSSI déclarent que la sécurité applicative est un angle mort au niveau du PDG et du conseil d'administration et 72 % déclarent avoir connu un incident dans ce domaine au cours des 2 dernières années

85 % des chefs d'entreprise déclarent que la cybersécurité est essentielle à la croissance de l'entreprise et 61 % sont préoccupés par les menaces de cybersécurité à cause de l'IA, selon Gartner

Le chiffre d'affaires mondial des applications d'entreprise a augmenté de 12 % en 2023 et devrait dépasser les 600 milliards de dollars en 2028. Les trois premiers étant SAP, Salesforce et Oracle, d'après IDC

[Anselme45]

Peut-être que lorsque les directives seront applicables au monde réel et qu'elles pourront se résumer à une page A4... Ces directives seront plus souvent appliquées!

Est-ce qu'un seul développeur présent sur ce forum a essayé de lire, ne serait-ce qu'une fois, les directives européennes concernant la protection des données? Vous savez les célèbres RGPD

En réalité, tout le monde a sur les lèvres le mot "RGPD", mais pas un seul n'a lu la documentation qui s'y rapporte dans la totalité... Les plus assidus auront simplement lu un "résumé" fait par "on ne sait qui"