Daniel Damas, RSSI en Nationale-Nederlanden

Il existe une dicotomía habituelle entre les exigences du commerce, qui donnent la priorité à la vitesse de déploiement et à la rigueur de la cybersécurité. Il est habituel de comparer les équipements de direction que les départements de cybersécurité peuvent également ralentir ou ralentir différents projets.

Daniel Damas, responsable de l’assurance informatique et RSSI aux Pays-Bas, a décidé de rompre avec cette friction avec la mise en œuvre de l’assurance informatique, un projet pionnier qui fusionne la qualité, la sécurité et l’ingénierie des plates-formes dans un écosystème automatisé.

C’est sur cette voie que nous assumons le leadership de l’assurance qualité (AQ) qui fournit le monde de la sécurité informatique, ce qui nous permet d’identifier une symbiose naturelle entre toutes les disciplines. Selon nos propres arguments, «un défaut de qualité peut dériver d’un défaut de sécurité et tout défaut de sécurité est un défaut de qualité», une prémisse qui a été convertie dans le pilier fondamental de toute votre stratégie à l’intérieur du département qui dirige.

Cette vision intégratrice a provoqué que la Nationale-Nederlanden prenne une décision audacieuse : la zone de gouvernement doit contrôler directement les pipelines de distribution. La clé radicale est qu’il n’est pas possible de predicar le concept de Security by Design de forme théorique, car il sera nécessaire de fournir votre expérience technique pour garantir la résilience avant de lancer la production.

Pour cela, l’équipe de Damas a conçu un flux basé sur des archives YAML qui agissent comme gardiens du processus. Comme nous l’expliquons, nous avons développé un YAML qui fait en sorte que toute la production soit enregistrée et quand il est conforme aux règles de qualité, de sécurité et de conception. De cette manière, si un développeur s’acquitte de cette série d’exigences, le système offre une autonomie totale pour le décharger sans nécessité d’approbations manuelles externes ».

Comment faire la mise en œuvre

La mise en œuvre de ce modèle n’a pas été utile, en particulier pour le retour culturel que supposent les équipes de développement. Au cours de l’année et du milieu où a duré la position en marche initiale, il a fallu transformer la perception des ingénieurs, qui au départ ont vu cette mesure comme une restriction à votre créativité ou vitesse. Damas a enfocó la narrativa de forma que les desarrolladores entendieran que le système travaille pour eux et non contre eux. «Les desarrolladores sentaient que ce changement pourrait être une chemise de force et c’est justement là qu’ils ont traité de montrer que je ne suis pas un bouchon. Pour cela, j’indiquerai en expliquant que si le département de sécurité informatique intervient moins, mieux pour eux». À titre d’exemple, celui que Daniel propose est que les développeurs circulaires soient par un autopiste, qu’ils aient uns garde-fous et permettent des vitesses plus élevées, et non sur une route comarcale qui prend soin des mêmes choses et réduit la vitesse. « Alorse dentro de estos guardarraíles tecnológicos, el desarrollador gana a une vitesse de croisière qu’avant il était impossible d’alcanzar due aux contrôles burocratiques », explique Damas.

L’excellence de cette architecture a permis à la zone d’évoluer de se nommer aujourd’hui IT Assurance, une structure qui intègre quatre fonctions critiques : sécurité informatique, assurance qualité, gouvernance de l’ingénierie de plate-forme et gestion des services informatiques. Cette consolidation permet de disposer d’une visibilité panoramique inédite sur l’état de la technologie de l’entreprise, avec des indicateurs précis sur les incidents, les vulnérabilités et la vitesse d’entrée. «Maintenant, j’ai un pack complet avec toute la visibilité informatique d’où vous faites rapport aux membres du comité de direction des communications comme nous allons, si nous accélérons ou dónde están los points chauds», a déclaré le responsable de l’assurance informatique et RSSI en Nationale-Nederlanden, qui a la capacité d’analyse permettre de prendre des décisions stratégiques. basadas en datos reales y no en meras suposiciones.

Y apparaît la IA

Avec la base de l’automatisation établie, la Nationale-Nederlanden a fait le pas logique suivant dans le dernier trimestre de l’année passée en intégrant l’Intelligence Artificielle Générative dans le cycle de vie du logiciel. Sans embargo, Damas conseille aux criminels de se lever par enthousiasme excessif sans un contrôle strict. L’assureur a observé que l’utilisation non contrôlée de IA peut générer une tâche technique importante, alors qu’elle corrige le code généré automatiquement, ce qui coûte plus de temps qu’il ne l’écrit à partir de zéro. «Estamos generando deuda técnica. Le problème est que lorsque vous avez généré beaucoup de choses et d’essais de révision, le fait que vous ajustiez le plus longtemps possible pour que vous puissiez générer le code», explique Damas. Pour éviter ce scénario, j’ai développé un cadre de gouvernance pour la propia IA, qui dicte ce qui peut et ne peut pas faire fonctionner la machine.

Ce cadre garantit que l’IA se comporte comme un exemple de société ciudadano, en respectant également les détails qui pourraient être moindres mais qui affectent l’image de la marque, comme, par exemple, les couleurs et les styles d’entreprise, qui ne restent jamais à l’esprit pour que l’IA n’ait pas d’alucine. «Nous avons chargé tout le processus pour que l’application soit installée en me assurant que les compétences, les bibliothèques, les structures, les configurations standard,… jusqu’à ce que les couleurs soient les choses pour que cela ne soit pas équivalent», détaille Damas.

De cette manière, l’IA des Pays-Bas n’a pas un seul genre de code, car elle réalise une analyse de sécurité statique (SAST) et dynamique (DAST), car elle détecte des vulnérabilités telles que des erreurs SQL ou des scripts intersite avant que le code ne soit approprié pour votre intégration. De plus, il est capable de documenter des applications, de créer des architectures et de réaliser des essais unitaires avec une couverture de code supérieure de forme autonome à 80%.

Pruebas de qualité

L’une des avancées les plus importantes a été réalisée dans le cadre des tests de qualité (QA). Traditionnellement, il s’agit d’un manuel de forme car les testeurs doivent répéter des processus fastidieux avant tout changement minimal dans le logiciel. Maintenant, Nationale-Nederlanden utilise l’IA qui saisit les actions d’un être humain et la convertit instantanément en code de test que l’IA peut maintenir et évoluer. Ceci est particulièrement utile sur les plates-formes complètes de Salesforce, où avant de tester des fenêtres de forme manuelle jusqu’à 17 fois provoquées par des erreurs enchaînées. «Aujourd’hui, quelqu’un qui n’a pas d’idée de programmation, il suffit d’écrire en cas d’essai et de donner un numéro, l’IA fait le reste», affirme Damas sur la façon dont il a démocratisé la création d’automatisations d’essais.

L’efficacité a augmenté au milieu de ce système d’agents d’IA — qui a été coordonné par 26 agents spécialisés comme planificateurs, réviseurs ou simplificateurs — est énorme. En cas d’utilisation réelle surveillée par l’entreprise, le développement et le test d’une fonctionnalité qu’un programmeur senior a dû suivre pendant plusieurs jours de travail manuel, a été complété par le système assisté par IA en seulement trois heures. Cela suppose une accélération de 13 fois (13x), superposant le média du marché. De plus, vous aurez une couverture de test à 100% et un taux de sécurité nul ».

Pour ce niveau d’automatisation, la Nationale-Nederlanden maintient une entreprise politique sur l’importance du facteur humain. Nous considérons qu’il s’agit d’une « erreur garrafal » de la part des ingénieurs, car ils sont les seuls capables de superviser objectivement le code de l’IA et de porter la connaissance du commerce nécessaire pour éviter des pertes financières ou de réputation. Par conséquent, le modèle inclut toujours une étape de validation humaine avant toute étape critique de la production, garantissant que la décision finale ne sera pas prise en compte uniquement dans un algorithme.

Pour alimenter cet écosystème d’innovation, la sécurité développe une culture d’apprentissage continue lors des Tech Talks, des réunions quincenales où ils partagent des découvertes sur les thèmes qui ont trait à l’informatique quantitative jusqu’à de nouvelles bibliothèques d’IA. Et comme l’explique le responsable de l’assurance informatique et RSSI en Nationale-Nederlanden, « il s’agit d’une réunion où nous allons partager des connaissances, des gens externes et des expériences que nous pouvons appliquer dans notre travail. L’objectif final est de réduire la charge cognitive des employés lors de l’utilisation de composants réutilisables. De cette façon, un nouveau développeur peut se concentrer sur la logique de négociation de son projet sans se soucier de l’infrastructure, car la plate-forme prouve tous les outils nécessaires de forme standardisée.

En dernière instance, la mission d’assurance informatique est de garantir un service optimal et résilient, en réduisant la complexité et en éliminant les coûts inutiles dérivés du manque de normes. «Ma mission unique est d’assurer le déploiement optimal et la résilience des applications et des services afin de réduire la complexité et les coûts», conclut Daniel Damas. Le projet n’a fait que rendre la situation plus rapide aux Pays-Bas, car il a construit un système de sécurité et de qualité non négociable, car il a intégré des séries dans chaque ligne de code que l’entreprise produit, il y a des mains humaines ou une intelligence artificielle du gouvernement.