Remigius Stalder a rencontré notre expert en sécurité Christian Schneider pour la première fois en 2018, à l'occasion de son exposé sur la sécurité en informatique et dans le cloud lors du congrès JavaLand. La présentation était si intéressante que Remi a voulu faire sa connaissance juste après. Car ces thèmes deviennent toujours plus importants et Remi Stalder voulait introduire au plus vite les exigences de sécurité les plus élevées pour notre logiciel Vanillaplan.
Christian Schneider est un expert et formateur en sécurité reconnu, fort de longues années d'expérience en sécurité informatique et en attaques de systèmes. Il a commencé sa carrière en 1997 comme développeur logiciel indépendant et a réorienté son activité vers la sécurité informatique en 2005. Comme formateur, il anime des formations en sécurité informatique chez des clients ou en ligne. Il prend plaisir à intégrer, pour les développeurs de projets informatiques, toutes sortes d'aspects de sécurité dès le processus de développement. Mais plus encore que de simplement parler de sécurité, Christian anime régulièrement des formations ouvertes devant un public lors de conférences nationales et internationales importantes.
Sa mission : intégrer la sécurité dès le développement du logiciel et favoriser la sécurité comme culture au sein de l'équipe, plutôt que d'y venir après coup. Son exigence et sa philosophie sont de trouver des solutions simples à des problèmes complexes et de partager ce savoir.
Une mesure importante pour la sécurité en informatique et dans le cloud est par exemple un «application pentest». Christian se transforme alors en hacker au chapeau blanc et mène, avec des programmes de test spécialisés, de véritables attaques externes contre le système. Un protocole recense toutes les failles trouvées. Les résultats sont ensuite discutés avec les développeurs et Christian montre pas à pas comment combler les failles de sécurité.
Christian a récemment développé un outil autonome nommé «threagile» pour la modélisation agile de scénarios de menaces, qui suscite un vif intérêt. Une analyse avec cet outil constitue la base du traitement des risques de sécurité, sur la foi d'un rapport détaillé qui les hiérarchise selon la gravité de leurs conséquences.
Depuis 2018, notre application Vanillaplan est régulièrement testée par Christian Schneider. Un scénario de menace individuel est d'abord établi. L'architecture du logiciel est ensuite examinée et, pour finir, le test d'intrusion est réalisé. Un protocole est établi pour chaque test et les analyses sont discutées en détail. Il en résulte aussi un effet d'apprentissage : nos développeurs sont sensibilisés aux points faibles et peuvent ainsi éviter les principales failles de sécurité dès la programmation.
Nous adressons ici un grand merci pour cette bonne collaboration et ce soutien.
Vers le site de Christian Schneider
Agile Threat Modeling
Ces derniers jours, on a pu lire dans la presse des problèmes de sécurité massifs chez quelques grands éditeurs de logiciels. Il en va autrement chez Vanillaplan. Car nous faisons tout le nécessaire pour nos clients afin que notre logiciel soit et reste aussi sûr que possible. Cela comprend nos contrôles de sécurité réguliers par un expert en sécurité externe reconnu. Qui il est et ce qu'il fait exactement, vous pouvez le lire dans cet article. Et au passage : demandez donc une fois à votre fournisseur de logiciels ce qu'il fait pour votre sécurité. Bonne lecture…
