Faux positifs : les architectures natives du cloud submergent les solutions de sécurité traditionnelles. Étude : seulement 3 % des entreprises ont une visibilité en temps réel sur les vulnérabilités d'exécution.
Les approches traditionnelles de la sécurité des applications sont submergées par l'utilisation croissante d'architectures cloud natives, de DevOps et de méthodologies agiles. C'est l'un des résultats de l'enquête mondiale indépendante commandée par le fournisseur d'intelligence logicielle Dynatrace. L'étude a été menée auprès de 700 personnes responsables de la sécurité de l'information et des données dans les entreprises (CISO).
Trop de faux positifs
Les organisations transfèrent de plus en plus la responsabilité aux développeurs pour accélérer l'innovation. Cependant, des systèmes informatiques complexes et des outils de sécurité obsolètes ralentissent le processus en générant de nombreux messages d'alarme, qui s'avèrent souvent être de faux positifs après une vérification manuelle approfondie. Un soi-disant faux positif est une erreur dans un contrôle dans lequel une condition prédéfinie a été incorrectement reconnue comme telle. Les entreprises ont donc besoin d'une nouvelle approche optimisée pour les environnements multicloud, Kubernetes et DevSecOps.
L'étude gratuite "Une évaluation précise et automatique des risques et de l'impact est essentielle pour DevSecOps" est disponible en téléchargement. Elle montre:
- Selon 89 % des RSSI, les microservices, les conteneurs et Kubernetes ont créé des angles morts pour la sécurité des applications.
- 74 % des RSSI affirment que les solutions de sécurité traditionnelles telles que les scanners de vulnérabilités ne sont plus adaptées au monde natif du cloud d'aujourd'hui.
- 97 % des organisations manquent de visibilité en temps réel sur les vulnérabilités d'exécution dans les environnements de production conteneurisés.
- Près des deux tiers (63 %) des RSSI pensent que le développement DevOps et Agile a rendu plus difficile l'identification et la gestion des vulnérabilités logicielles.
- 71 % des RSSI ne sont pas totalement sûrs que le code est exempt de vulnérabilités avant de le mettre en ligne.
Étude « L'évaluation précise et automatique des risques et de l'impact est essentielle pour DevSecOps » (Photo : dynatrace).
« L'utilisation croissante des architectures natives du cloud surpasse complètement les approches traditionnelles de la sécurité des applications », a déclaré Bernd Greifeneder, fondateur et directeur de la technologie chez Dynatrace. « Cette étude confirme ce que nous attendions depuis longtemps : les analyses de vulnérabilité manuelles et les évaluations d'impact ne peuvent plus suivre le rythme des changements dans les environnements cloud dynamiques et les cycles d'innovation rapides d'aujourd'hui. L'évaluation des risques est devenue presque impossible en raison du nombre croissant de dépendances de services internes et externes, de la dynamique d'exécution, de la livraison continue et du développement de logiciels multilingues tirant parti d'un nombre toujours croissant de technologies tierces. Les équipes déjà surchargées sont obligées de choisir entre rapidité et sécurité. Ce faisant, ils exposent leurs organisations à des risques inutiles.
Autres résultats de l'étude
- En moyenne, les entreprises répondent chaque mois à 2.169 XNUMX nouvelles alertes de vulnérabilité d'application.
- Selon 77 % des RSSI, la plupart des alertes de sécurité et des vulnérabilités signalées sont des faux positifs qui ne nécessitent aucune action.
- Pour 68 % des RSSI, le volume d'alertes rend très difficile la hiérarchisation des vulnérabilités par risque et impact.
- 64 % des RSSI affirment que les développeurs n'ont pas toujours le temps de corriger les vulnérabilités avant que le code ne passe en production.
- 77 % des RSSI pensent que la seule façon de suivre le rythme des environnements d'applications cloud modernes est de remplacer le provisionnement, la configuration et la gestion manuels par des approches automatisées.
- Les équipes d'application contournent parfois les analyses de vulnérabilité pour accélérer la livraison des logiciels, selon 28 % des RSSI.
"Alors que les entreprises adoptent DevSecOps, elles doivent également doter leurs équipes de solutions qui fournissent une analyse automatique, en temps réel et continue des risques et des impacts pour chaque vulnérabilité, à la fois pour les environnements de pré-production et de production", a poursuivi Greifeneder. « Le module de sécurité des applications sur la plateforme d'intelligence logicielle de Dynatrace permet aux organisations de tirer parti de l'automatisation, de l'IA, de l'évolutivité et de la robustesse de Dynatrace. Il peut être étendu pour garantir des cycles de publication plus sécurisés - en sachant que les applications cloud natives sont exemptes de vulnérabilités."
L'étude est basée sur une enquête mondiale auprès de 700 RSSI dans des entreprises de plus de 1.000 2021 employés, menée par Coleman Parkes pour le compte de Dynatrace en 200. Il comprend 100 répondants aux États-Unis, 50 chacun en Allemagne, en France, au Royaume-Uni et en Espagne, et XNUMX chacun au Brésil et au Mexique.
Plus sur dynatrace.com
À propos de Dynatrace
Dynatrace fournit une intelligence logicielle pour simplifier la complexité du cloud et accélérer la transformation numérique. Grâce à une observabilité automatisée et intelligente hautement évolutive, notre plateforme tout-en-un fournit des réponses précises sur les performances et la sécurité des applications, l'infrastructure sous-jacente et l'expérience de tous les utilisateurs. Cela permet aux entreprises d'innover plus rapidement, de travailler ensemble plus efficacement et de générer de la valeur ajoutée avec beaucoup moins d'efforts. C'est pourquoi bon nombre des plus grandes entreprises du monde font confiance à Dynatrace® pour moderniser et automatiser les opérations cloud, publier de meilleurs logiciels plus rapidement et offrir des expériences numériques inégalées.